[networking] reindirizzamento su proxy

[ganesha]

Buongiorno a tutti

sono all'interno di una lan dalla quale si accede ad internet per mezzo di un proxy con autenticazione.

Quindi i pc della lan per navigare in internet necessitano che nel browser sia indicato l'indirizzo del proxy. Quando si cerca di aprire una pagina viene richiesto utente e password.

Quello che sto cercando di realizzare è una linux-box in grado di reindirizzare il traffico verso internet al proxy, fornendo anche le credenziali necessarie. Il tutto dovrebbe funzionare unicamente impostando come gateway, nei vari pc della lan, l'indirizzo della linux-box.

Nella linux-box ho installato polipo e l'ho configurato con l'indirizzo del proxy e le sue credenziali. E questo funziona correttamente: infatti se imposto sul browser di un qualsiasi pc la linux-box come proxy, questo accede a internet senza più chiedere le credenziali.

Pensavo che il reindirizzamento potesse essere fatto configurando opportunamente iptables sulla linux-box. Ma non ci sono riuscito.

Secondo voi è una cosa fattibile? Se sì, mi date un aiuto?

Grazie

[ganesha]

io mi trovo in questa rete: 192.168.0.0/24 (LAN_IN)
qui c'è un router: 192.68.0.1

il router mi consente l'accesso a questa rete: 192.168.1.0/24 (LAN_OUT)
dove c'è il proxy con autenticazione: 192.168.1.10 sulla porta 8888

i pc della LAN_IN hanno impostato come gateway: 192.168.0.1
ed i browser hanno settato come proxy: 192.168.1.10:8888

--------

io ho messo una macchina con ubuntu con indirizzo 192.168.0.2 nella LAN_IN
ci ho installato polipo e ho settato parentProxy="192.168.1.10:8888" e parentAuthCredential="utw"
la porta di polipo è quella standard: 8123
ad iptables ho dato le seguenti regole:
iptables -A INPUT -s 192.168.0.0/24 -p tcp -m tcp --dport 80 -j ACCEPT
iptables -A PREROUTING -t nat -p tcp -s 192.168.0.0/24 -d 0/0 --dport 80 -j REDIRECT --to-ports 8123

il pc con quale faccio le prove di connessione a internet ha indirizzo 192.168.0.22
qui ho impostato come GW: 192.168.0.2

ora, se provo ad aprire un sito dal browser mi risponde il webserver di polipo (Welcome to Polipo....)

ho provato anche altre regole per iptables ma ho l'impressione di essere un po' fuori strada

[pilovis]

Cosi' e' un casino,

Togli il router e rimpiazzalo con la linux box impostata come gateway/router tra le due reti (con NAT).
Eventualmente imposta la linux box come proxy trasparente verso la LAN interna, oppure fai una rotta statica verso la LAN esterna e usa il gateway della LAN esterna come gateway delle macchine della LAN interna.

[ganesha]

Originariamente inviato da pilovis
Cosi' e' un casino,

Togli il router e rimpiazzalo con la linux box impostata come gateway/router tra le due reti (con NAT).
Eventualmente imposta la linux box come proxy trasparente verso la LAN interna, oppure fai una rotta statica verso la LAN esterna e usa il gateway della LAN esterna come gateway delle macchine della LAN interna.

Ciao, scusa ma non mi è molto chiaro. Puoi spiegarmi meglio? Grazie

[deleted_29]

mi sono un po' perso.

Alla fine il succo del discorso è:

hai un router
vuoi mettere un proxy trasparente su una macchina linux

fine del problema?

ti servono essenzialmente due sole domande

1) la macchina linux ha DUE schede di rete?
2) il router ha una funzione di firewall LAN-WAN?

Questo ti servirà perchè la topologia della rete va variata a seconda dei casi.
ossia
router _> sc.rete 1 proxy sc.rete 2_> switch _> LAN
oppure

router (filtro firewall blocca-tutti-tranne-proxy) _> switch _> LAN / proxy

nel secondo caso è possibile, per un utente smaliziato, liberarsi dal controllo proxy "buttando fuori" quest'ultimo dalla rete ed impossessandosi del suo IP.
Nel primo caso è necessario modificare materialmente il cablaggio fisico per "bypassa" il proxy.

Dipende ovviamente da cosa vuoi fare, dove e perchè. Spesso il caso 2 è sufficiente (piccoli uffici, utonti etc)

[ganesha]

ciao

la macchina linux è virtuale quindi ci metto le schede di rete che servono.

il router (192.168.0.1) e tutto quello che vi sta dietro (la rete 192.168.1.0/24 con il proxy con autenticazione) per me è una scatola chiusa. Conosco solo l'indirizzo del proxy con le credenziali e l'indirizzo del gw per raggiungere il proxy.

[deleted_29]

Originariamente inviato da ganesha
ciao

la macchina linux è virtuale quindi ci metto le schede di rete che servono.

Questo è male, male perchè significa che sei nel caso 2 (ovvero sistema bypassabile da software)

il router (192.168.0.1) e tutto quello che vi sta dietro (la rete 192.168.1.0/24 con il proxy con autenticazione) per me è una scatola chiusa. Conosco solo l'indirizzo del proxy con le credenziali e l'indirizzo del gw per raggiungere il proxy.

Son un pochino confuso.
Prova magari a dire "cosa" vuoi fare, e perchè, piuttosto di "come".

[ganesha]

Originariamente inviato da franzauker
Prova magari a dire "cosa" vuoi fare, e perchè, piuttosto di "come".

voglio poter mettere in rete una macchina, in modo che questa possa navigare in internet, configurando solo il suo indirizzo ip e gateway.

[deleted_29]

Originariamente inviato da ganesha
voglio poter mettere in rete una macchina, in modo che questa possa navigare in internet, configurando solo il suo indirizzo ip e gateway.

per "navigare in internet" intendi "attraverso un proxy", magari per mettere una white list o un meccanismo di controllo di accesso?

[ganesha]

Originariamente inviato da franzauker
per "navigare in internet" intendi "attraverso un proxy", magari per mettere una white list o un meccanismo di controllo di accesso?

per non essere costretto a modificare ogni mese, su ogni macchina di cui ho la gestione, le credenziali per l'accesso a internet. Vorrei poterlo fare su un solo pc. Pc al quale "punteranno" tutte le mie macchine.