Привет всем.
Стоит Squid 2.4. STABLE 7.
Все разруливает на ура, но есть одна проблема, нужно поставить пользователям ежедневный лимит. Т.е. каждый пользователь имеет право насидеть в инете не более 15 Mb в день. Это правило соответственно должно работать каждый день!
>Привет всем.
>Стоит Squid 2.4. STABLE 7.
>Все разруливает на ура, но есть одна проблема, нужно поставить пользователям ежедневный
>лимит. Т.е. каждый пользователь имеет право насидеть в инете не более
>15 Mb в день. Это правило соответственно должно работать каждый день!
>Привет
поставь ipa отличная штука!!!
>>Привет всем.
>>Стоит Squid 2.4. STABLE 7.
>>Все разруливает на ура, но есть одна проблема, нужно поставить пользователям ежедневный
>>лимит. Т.е. каждый пользователь имеет право насидеть в инете не более
>>15 Mb в день. Это правило соответственно должно работать каждый день!
>>
>
>Привет
>поставь ipa отличная штука!!!Дай линку на прогу и на описание что она умеет....!
>>>Привет всем.
>>>Стоит Squid 2.4. STABLE 7.
>>>Все разруливает на ура, но есть одна проблема, нужно поставить пользователям ежедневный
>>>лимит. Т.е. каждый пользователь имеет право насидеть в инете не более
>>>15 Mb в день. Это правило соответственно должно работать каждый день!
>>>
>>
>>Привет
>>поставь ipa отличная штука!!!
>
>Дай линку на прогу и на описание что она умеет....!
http://ipa-system.sourceforge.net/
>>>>Привет всем.
>>>>Стоит Squid 2.4. STABLE 7.
>>>>Все разруливает на ура, но есть одна проблема, нужно поставить пользователям ежедневный
>>>>лимит. Т.е. каждый пользователь имеет право насидеть в инете не более
>>>>15 Mb в день. Это правило соответственно должно работать каждый день!
>>>>
>>>
>>>Привет
>>>поставь ipa отличная штука!!!
>>
>>Дай линку на прогу и на описание что она умеет....!
>http://ipa-system.sourceforge.net/Все бы хорошо, только одна проблема, как заставить эту прогу заработать на Solaris 8 (2/02) SPARC????
>
>Все бы хорошо, только одна проблема, как заставить эту прогу заработать на
>Solaris 8 (2/02) SPARC????Под Solaris работает связка Sarg+Squid.
Общий алгоритм таков:
1) В сарге настраиваешь параметр per_user_limit имя_файла_с_лимитами лимит_в_мегабайтах, например
per_user_limit /usr/local/squid/bad_users 15
Не забудь про права на файл!!! Я ставил rw-rw-rw (на всякий случай).2)в сквиде делаешь ACL, указывающий на этот файл, и запрещаешь доступ по нему
acl limit_url src "/usr/local/squid/bad_users"
http_access deny limit_url3) В кроне (cron), в ежедневном задании, говоришь
- перестартовать сквид (squid -k rotate)- получаешь access.log.0
- покормить полученным сарг
Примечание: в этом случае теряешь скэшированные страницы. Можно не rotate говорить, а shutdown , потом стартовать. Или что-то в этом роде.У меня работает.
>>
>>Все бы хорошо, только одна проблема, как заставить эту прогу заработать на
>>Solaris 8 (2/02) SPARC????
>
>Под Solaris работает связка Sarg+Squid.
>
>Общий алгоритм таков:
>
>1) В сарге настраиваешь параметр per_user_limit имя_файла_с_лимитами лимит_в_мегабайтах, например
>per_user_limit /usr/local/squid/bad_users 15
>Не забудь про права на файл!!! Я ставил rw-rw-rw (на всякий случай).
>
>
>2)в сквиде делаешь ACL, указывающий на этот файл, и запрещаешь доступ по
>нему
>acl limit_url src "/usr/local/squid/bad_users"
>http_access deny limit_url
>
>3) В кроне (cron), в ежедневном задании, говоришь
> - перестартовать сквид (squid -k rotate)- получаешь access.log.0
> - покормить полученным сарг
>Примечание: в этом случае теряешь скэшированные страницы. Можно не rotate говорить, а
>shutdown , потом стартовать. Или что-то в этом роде.
>
>У меня работает.SARG+SQUID - это конечно хорошо, только мнетогда придется стартовать SARG каждую минуту, т.к. пользователь может и за минуту выбратьсвой лимит, а squid -k rotate придется запускать каждый день в 00.00! Это отличное, решение, но все-таки хотелось бы автомотизма и без потери кэша...!
P.S. Я сейчас сам сижу на такой связке, но хочется большего..:)
> - перестартовать сквид (squid -k rotate)- получаешь access.log.0
> - покормить полученным сарг
а какой смысл кормить сарг вчерашними данными?
наказывать пользователей, который вчера переработали свой лимит?
по такой схеме они и смогут качать по 1000 Мб через день, а через день сидеть без инета... как-то слабо это похоже на ограничение в 15 Мбайт в день>Примечание: в этом случае теряешь скэшированные страницы.
это почему это? не согласен, ничего при этом не теряешь...>Можно не rotate говорить, а
>shutdown , потом стартовать. Или что-то в этом роде.
тогда уж reconfigure, чтобы сквид свои файлы конфигурации перечитал...
>> - перестартовать сквид (squid -k rotate)- получаешь access.log.0
>> - покормить полученным сарг
>а какой смысл кормить сарг вчерашними данными?
>наказывать пользователей, который вчера переработали свой лимит?
>по такой схеме они и смогут качать по 1000 Мб через день,
>а через день сидеть без инета... как-то слабо это похоже на
>ограничение в 15 Мбайт в день
>
>>Примечание: в этом случае теряешь скэшированные страницы.
>это почему это? не согласен, ничего при этом не теряешь...
>
>>Можно не rotate говорить, а
>>shutdown , потом стартовать. Или что-то в этом роде.
>тогда уж reconfigure, чтобы сквид свои файлы конфигурации перечитал...
Ну и что ты предлагаешь?
>Ну и что ты предлагаешь?
у меня уже работает более продвинутая система квотирования инета, но настройками ею можно раздавать и по 15 Мбайт в день, если есть желание...если будет на это время, собираюсь выложить свои скрипты на всеобщее обозрение примерно во вторник-среду...
>>Ну и что ты предлагаешь?
>у меня уже работает более продвинутая система квотирования инета, но настройками ею
>можно раздавать и по 15 Мбайт в день, если есть желание...
>
>
>если будет на это время, собираюсь выложить свои скрипты на всеобщее обозрение
>примерно во вторник-среду...Если тебе не сложно, то замыль мне плиз твою систему... на fateev@igas.ru
строить системы учета трафика на основе логов сквида - мягко говоря неудобно и неэффективно. я понимаю, что хочется готового и гибкого решения, а его нету. а немного напрячь мысли и подумать ? все, что по большому счету делает вышеупомянутая ipa - снимает значения счетчиков с правил файревола, указанных в ее конфиге и складывает в базку. "действие", которое она делает по достижении лимита у большинства людей заключается в запуске внешнего скрипта, который делает deny на заданный IP. сложная схема ? думаю, что нет. вооружившись перлом можно реализовать подобное достаточно быстро. эта схема подходит под 70% случаев, когда ip=пользователь. Если хочется AAA - тогда, к примеру, PPPoE+Radius, тогда уже "взрослый" биллинг получается :)
>строить системы учета трафика на основе логов сквида - мягко говоря неудобно
>и неэффективно. я понимаю, что хочется готового и гибкого решения, а
>его нету. а немного напрячь мысли и подумать ? все, что
>по большому счету делает вышеупомянутая ipa - снимает значения счетчиков с
>правил файревола, указанных в ее конфиге и складывает в базку. "действие",
> которое она делает по достижении лимита у большинства людей заключается
>в запуске внешнего скрипта, который делает deny на заданный IP. сложная
>схема ? думаю, что нет. вооружившись перлом можно реализовать подобное достаточно
>быстро. эта схема подходит под 70% случаев, когда ip=пользователь. Если хочется
>AAA - тогда, к примеру, PPPoE+Radius, тогда уже "взрослый" биллинг получается
>:)
Хотелось бы чуть больше узнать про "взрослый" билинг... А то "PPPoE+Radius" мало о чем говорит...
Нсчет снятия логов с FW это конечно хорошо, но не в моем случае... У меня стоит CheckPoint FW-1, и к нему я ничего подобного не видел... :(
а поискать немного ?
http://www.fellhauer-web.de/projects/fw1-loggrabber.htmlо радиус:
http://www.lanbilling.ru/radius_tacacs.html
PPPoE:
http://www.faqs.org/rfcs/rfc2516.html
>а поискать немного ?
>http://www.fellhauer-web.de/projects/fw1-loggrabber.html
>
>о радиус:
>http://www.lanbilling.ru/radius_tacacs.html
>PPPoE:
>http://www.faqs.org/rfcs/rfc2516.html
Пасиба!!!!
>строить системы учета трафика на основе логов сквида - мягко говоря неудобно
>и неэффективно.
не согласен! это очень просто, а значит удобно и эффективно!
а мои скрипты очень невелики по объему и понятны любому, кто хоть когда-нибудь видел Перл.>я понимаю, что хочется готового и гибкого решения, а
>его нету.
у меня оно достаточно гибкое и удобное, чтобы другие админы, в жизни не видевшие *никсов, могли в мое отсутствие поправить квоты и настроить как надо.> а немного напрячь мысли и подумать ?
именно это я и сделал :)>все, что
>по большому счету делает вышеупомянутая ipa - снимает значения счетчиков с
>правил файревола, указанных в ее конфиге и складывает в базку.
1) нет переносимости - эта ipa работает только на *BSD системах, у меня RH8.0. а мои скрипты хоть в виндах работать будут...
2) а откуда эта ipa узнает сколько данных выбрано из кэша, а сколько нет? у меня как скачанная информация учитываются только промахи, что, имхо, более честно.> "действие",
> которое она делает по достижении лимита у большинства людей заключается
>в запуске внешнего скрипта, который делает deny на заданный IP.
и что с этим делать? перезапукскать каждые несколько минут сквид с обрывом соединений? я же сам на этом и погорю, так как мне нередко надо загружать большие файлы, которые могут не уложиться в период перезапуска сквида...> сложная
>схема ? думаю, что нет.
посложнее моей...>вооружившись перлом можно реализовать подобное достаточно
>быстро. эта схема подходит под 70% случаев, когда ip=пользователь.
а если нет?
если уж делать какое-то ограничение, то привязывать расход трафика к пользователю, а не к ip... иначе любой сядет за машину соседа и истратит его квоту...
>>строить системы учета трафика на основе логов сквида - мягко говоря неудобно
>>и неэффективно.
>не согласен! это очень просто, а значит удобно и эффективно!
во-первых, не нужно условия поставленной конкретно тебе задачи отождествлять с тем, что бывает у других людей, в других организациях, etc. у тебя все бегает через сквид, включая почту, аську и фтп ? или тебе не нужно учитывать эти типы трафика ? а когда нужно будет, чего станешь делать ?>а мои скрипты очень невелики по объему и понятны любому, кто хоть
>когда-нибудь видел Перл.
если ты ними парсишь логи, это ничем не отличается от варианта с саргом. при приличной загрузке на твоем прокси парсить логи именно неэффективно.>>я понимаю, что хочется готового и гибкого решения, а
>>его нету.
>у меня оно достаточно гибкое и удобное, чтобы другие админы, в жизни
>не видевшие *никсов, могли в мое отсутствие поправить квоты и настроить
>как надо.
что на пионерский энтузиазм с наскоком :) я вообще не осуждал и не критиковал твое решение, я только могу догадываться из твоего предыдущего поста, что оно собой представляет, а предыдущие мои посты никакого отношени к ТВОЕМУ решению не имеют. насчет удобства кстати, если все есть имеет место парсинг логов, то это самое удобство сильно зависит от нагрузки на твой прокси, т.е. от кол-ва записей, попадающих в твой лог за промежуток между парсингами.>>правил файревола, указанных в ее конфиге и складывает в базку.
>1) нет переносимости - эта ipa работает только на *BSD системах, у
>меня RH8.0. а мои скрипты хоть в виндах работать будут...
а речь шла не о ипа, а о том как реализовать нечто подобное на НЕбсд системе>2) а откуда эта ipa узнает сколько данных выбрано из кэша, а
вот ты так и не понял, ипе пофиг что считать, ты когда-нить правила писал на файерволе ? а кол-во байтиков попавших под правило посмотреть можешь ? вот это самое оно и есть - счетчик.>сколько нет? у меня как скачанная информация учитываются только промахи, что,
>имхо, более честно.
угу. а то, что данные в лог попадают только после того как я получу файл или сделаю резет ? очень честно, качаю я исоху, пока не докачаю - фиг поймаешь :)>> "действие",
>> которое она делает по достижении лимита у большинства людей заключается
>>в запуске внешнего скрипта, который делает deny на заданный IP.
>и что с этим делать? перезапукскать каждые несколько минут сквид с обрывом
>соединений? я же сам на этом и погорю, так как мне
да причем тут сквид ??? правило, скажем 1,типа
с IP-клиента на IP-прокси пакеты_пропускать
меняется на 2:
с IP-клиента на IP-прокси НЕ_пакеты_пропускать
правило 2 втупает в силу после того, как под правило 1 попадет кол-во байт, указанное в лимите
так понятно ?>нередко надо загружать большие файлы, которые могут не уложиться в период
>перезапуска сквида...>> сложная
>>схема ? думаю, что нет.
>посложнее моей...
чтобы сравнить - нужно увидеть. а так - ничего кроме гордости с твоей стороны :)>>вооружившись перлом можно реализовать подобное достаточно
>>быстро. эта схема подходит под 70% случаев, когда ip=пользователь.
>а если нет?
тогда см ссылки выше.>если уж делать какое-то ограничение, то привязывать расход трафика к пользователю, а
>не к ip... иначе любой сядет за машину соседа и истратит
>его квоту...
>во-первых, не нужно условия поставленной конкретно тебе задачи отождествлять с тем, что
>бывает у других людей, в других организациях, etc. у тебя все
>бегает через сквид, включая почту, аську и фтп ? или тебе
>не нужно учитывать эти типы трафика ? а когда нужно будет,
>чего станешь делать ?
а и не отождествляю... в условиях про другие типы трафика не сказано>>а мои скрипты очень невелики по объему и понятны любому, кто хоть
>>когда-нибудь видел Перл.
>если ты ними парсишь логи, это ничем не отличается от варианта с
>саргом. при приличной загрузке на твоем прокси парсить логи именно неэффективно.
никакой нагрузки на машину нет, даже если в секунду добавляется в среднем до десятка записей... в среднем при моем интревале в пять минут отпарсить несколько десятков или сотен записей - никаких проблем...>насчет удобства кстати, если все есть
>имеет место парсинг логов, то это самое удобство сильно зависит от
>нагрузки на твой прокси, т.е. от кол-ва записей, попадающих в твой
>лог за промежуток между парсингами.
этот парсинг практически незаметен в общей загрузке машины, мой сарг дает заметно большую нагрузку, хотя и он не мешает...>а речь шла не о ипа, а о том как реализовать нечто
>подобное на НЕбсд системе
не я завел разговор про ipa :)>>2) а откуда эта ipa узнает сколько данных выбрано из кэша, а
>вот ты так и не понял, ипе пофиг что считать
именно, что пофиг! а мне надо раздельно считать промахи мимо кэша отдельно для каждого пользователя! как это посчитать ipa-ой?
причем именно пользователя, а не ip-адреса?>очень честно, качаю я
>исоху, пока не докачаю - фиг поймаешь :)
такие вещи простым юзерам запрещены>чтобы сравнить - нужно увидеть. а так - ничего кроме гордости с
>твоей стороны :)
каюсь, переборщил :)
не обещаю, что больше не буду, но каюсь :)и вообще... этот тред перестал быть информативным, отчасти и по моей вине...
больше в него писать не буду, дабы не захламлять
>>не нужно учитывать эти типы трафика ? а когда нужно будет,
>>чего станешь делать ?
>а и не отождествляю... в условиях про другие типы трафика не сказано
в условиях, уважаемый, вообще не сказано ни про какие типы трафика конкретно :)>никакой нагрузки на машину нет, даже если в секунду добавляется в среднем
>до десятка записей... в среднем при моем интревале в пять минут
>отпарсить несколько десятков или сотен записей - никаких проблем...
и ротайт логов каждые 5 мин ?>этот парсинг практически незаметен в общей загрузке машины, мой сарг дает заметно
>большую нагрузку, хотя и он не мешает...
т.е. все тем и отличается от сарга, что работает быстрее ? а как тогда ты пользователей отключаешь, можно узнать ? понять хочется.>>а речь шла не о ипа, а о том как реализовать нечто
>>подобное на НЕбсд системе
>не я завел разговор про ipa :)
и не я :) :
Сообщение от maratd on 20-Июн-03, 08:07 (MSK)>>вот ты так и не понял, ипе пофиг что считать
>именно, что пофиг! а мне надо раздельно считать промахи мимо кэша отдельно
вот разве что единственное оправдание. а зачем, если не секрет ? :) ты прокси ставил, чтобы инфу кешировать и трафик себе экономить или чтобы учет по пользователям вести ? если клиент с прокси файло получил, которое хотел, то не имеет значения из кеша ему его дали или нет.>для каждого пользователя! как это посчитать ipa-ой?
>причем именно пользователя, а не ip-адреса?
пользователь прекрасно укладывается в вариант с ААА>исоху, пока не докачаю - фиг поймаешь :)
>такие вещи простым юзерам запрещены
ну вот видишь, сколько у тебя "местных условий", а разговор шел просто о "правильном" подходе. по крайней мере я говорил именно про это.
>>>не нужно учитывать эти типы трафика ? а когда нужно будет,
>>>чего станешь делать ?
>>а и не отождествляю... в условиях про другие типы трафика не сказано
>в условиях, уважаемый, вообще не сказано ни про какие типы трафика конкретно
>:)
>
>>никакой нагрузки на машину нет, даже если в секунду добавляется в среднем
>>до десятка записей... в среднем при моем интревале в пять минут
>>отпарсить несколько десятков или сотен записей - никаких проблем...
>и ротайт логов каждые 5 мин ?
>
>>этот парсинг практически незаметен в общей загрузке машины, мой сарг дает заметно
>>большую нагрузку, хотя и он не мешает...
>т.е. все тем и отличается от сарга, что работает быстрее ? а
>как тогда ты пользователей отключаешь, можно узнать ? понять хочется.
>
>>>а речь шла не о ипа, а о том как реализовать нечто
>>>подобное на НЕбсд системе
>>не я завел разговор про ipa :)
>и не я :) :
>Сообщение от maratd on 20-Июн-03, 08:07 (MSK)
>
>>>вот ты так и не понял, ипе пофиг что считать
>>именно, что пофиг! а мне надо раздельно считать промахи мимо кэша отдельно
>вот разве что единственное оправдание. а зачем, если не секрет ? :)
>ты прокси ставил, чтобы инфу кешировать и трафик себе экономить или
>чтобы учет по пользователям вести ? если клиент с прокси файло
>получил, которое хотел, то не имеет значения из кеша ему его
>дали или нет.
>
>>для каждого пользователя! как это посчитать ipa-ой?
>>причем именно пользователя, а не ip-адреса?
>пользователь прекрасно укладывается в вариант с ААА
>
>>исоху, пока не докачаю - фиг поймаешь :)
>>такие вещи простым юзерам запрещены
>ну вот видишь, сколько у тебя "местных условий", а разговор шел просто
>о "правильном" подходе. по крайней мере я говорил именно про это.
>Итнтересует ограничение http и ftp трафика!!!!
у меня стоит squid, mysql
для управления несколько перловых скриптов(правда управление пока делается вручную в mysql )
один скрипт в 23.59 ротирует и заносит дневные данные в базу.
2 скрипт каждые пять минут просто обновляет дневной трафик для каждого юзверя и выставляющий разрешения
3 скрипт это редиректор выводящий сначала информационное сообщение типа скоко осталось и все такое.
4 авторизаторпользователи у меня 3 типов. студенты, сотруднки и платные пользователи
правда все ещо требует доделки но у меня уже 2 месяца работает ))
>у меня стоит squid, mysql
>для управления несколько перловых скриптов(правда управление пока делается вручную в mysql )
>
>один скрипт в 23.59 ротирует и заносит дневные данные в базу.
>2 скрипт каждые пять минут просто обновляет дневной трафик для каждого юзверя
можно обновлять в реальной режиме
существует 2 варианта
1) pipe на парсер
2) парсер деалет что-то типа tail -f лога :)
аналогичная система у меня уже работает 9 месяцев
разница по трафику с ip accounting равно примерно 5%-3%
(пользователи юзают только ftp+http через прокси)
[тоже задача квотит юзеров]есть проект squid2mysql он авторизует и считает для юзеров из своей базы..
есть и вебинтерфейс..у меня авторизация из домена НТ, так что squid2mysql , ipa, other firewall based scripts и даже sarg в пролёте как говориться.
весит демон работает с mysql: он делает наподобие tail -f логам сквида, суммирует траффик для юзера (если авторизован) ip (если нет), сравнивает с таблицей limit-ов, если юзер борщит, то заносит юзера в таблицу для блокированных. редиректор сморит таблицу для блокированных и режет если надо..
P.S. вот такая нехитрая схема, наиболее универсальная я думаю..
>[тоже задача квотит юзеров]
>
>есть проект squid2mysql он авторизует и считает для юзеров из своей базы..
>
>есть и вебинтерфейс..
>
>у меня авторизация из домена НТ, так что squid2mysql , ipa, other
>firewall based scripts и даже sarg в пролёте как говориться.
>
>весит демон работает с mysql: он делает наподобие tail -f логам сквида,
>суммирует траффик для юзера (если авторизован) ip (если нет), сравнивает с
>таблицей limit-ов, если юзер борщит, то заносит юзера в таблицу для
>блокированных. редиректор сморит таблицу для блокированных и режет если надо..
>
>P.S. вот такая нехитрая схема, наиболее универсальная я думаю..примерно так у меня и сделано