URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID12
Нить номер: 5062
[ Назад ]
Исходное сообщение
"спам через squid"
Отправлено pelmen , 14-Авг-07 16:38 
Всем здравствуйте!

Был у нас роутер на FreeBSD, но он в один прекрасный ден накрылся, какие-то проблеммы с железом. Пришлось поставить новый, тоже на FreeBSD 6.1 + на него же установил прозрачного squid'a, настроил nat и ушли домой. В понедельник звонит провайдер и говорит что с нашего IP рассылается спам и количество входящего и исходящего трафика переваливает за все мыслимые пределы. От интернета я сразу же отключился и начал разбираться в чем дело. Просмотрел все лог файлы, но следов проникновения на Фрю я не обнаружил, так же нет и новых файлов созданных за выходные дни. Начал просматривать логи squid'a и увидил кучу записей типа 200.55.93.59 TCP_MISS/200 8655 CONNECT 200.123.128.80:25 - DIRECT/200.123.128.80. сформировал отчет sarg'om, но той цыфры которую говорит провайдер по израсходованному трафику я не увидел. Вопрос в следующем: если кто-то через наш squid пересылал почту, то все что через него проходило отображено в логах или нет, я имею ввиду размер пересылаемой информации?

Заранее спасибо!

Содержание
Сообщения в этом обсуждении
"спам через squid"
Отправлено ipmanyak , 15-Авг-07 10:19 
Сквид здесь не причем ! Он не умеет работать с почтой, поскольку это чистый HTTP прокси и более ничего. Виноват твой NAT ! Вероятнее всего в твоей локальной сети поймали вирей и  smtp троянов, которые и шлют мимо прокси через NAT. Проверяй антивирусами раб станции.  


"спам через squid"
Отправлено anonymous , 15-Авг-07 15:22 
>Сквид здесь не причем ! Он не умеет работать с почтой, поскольку
>это чистый HTTP прокси и более ничего. Виноват твой NAT !
>Вероятнее всего в твоей локальной сети поймали вирей и  smtp
>троянов, которые и шлют мимо прокси через NAT. Проверяй антивирусами раб
>станции.

плюс, советую поставить локальный почтовый сервер с аутентификацией (чтобы трояны не могли через него слать, так как пароля не знают), а соединения к другим smtp из интернета резать на фаерволе.

"спам через squid"
Отправлено pelmen , 15-Авг-07 22:43 
>Сквид здесь не причем ! Он не умеет работать с почтой, поскольку
>это чистый HTTP прокси и более ничего. Виноват твой NAT !
>Вероятнее всего в твоей локальной сети поймали вирей и  smtp
>троянов, которые и шлют мимо прокси через NAT. Проверяй антивирусами раб
>станции.

я в Интернет читал по теме, что squid можно использовать в качестве релея через метод CONNECT. а я по своей дурости оставил настройки по умолчанию и в ipfw не закрыл 3128 порт. просто интересно если весь трафик шел через squid, значит если я sarg'ом сформирую отчет, то он мне покажет объем трафика прошедшего через squid или нет?

"спам через squid"
Отправлено anonymous , 15-Авг-07 22:53 
> а я по своей дурости оставил настройки
>по умолчанию и в ipfw не закрыл 3128 порт.

по-правильному, нужно закрыть _всё_ и открыть то, что нужно (www, smtp, dns? ну и что ещё поднято на сервере)