Newsgroup: it.comp.os.linux.sys
Titolo: Proxy trasparente con PFSense (standalone/inegrato)

Ciao a tutti,
 
 
devo rendere trasparente un proxy. Situazione attuale:
 
PFSense (192.168.10.x)  come firewall/gateway
Squid 3 (192.168.10.y) come proxy cache/filtro
 
Al momento Squid non è trasparente e va impostato manualmente sui client e 
questo si vorrebbe cambiare. Con l'occasione bisognerebbe decidere se tenere 
una macchina virtuale con il proxy (sol.1) oppure se integrarlo in PFSense 
con il relativo modulo (sol.2).
 
I primi vantaggi che mi vengono in mente sulla sol.1 sono:
- maggior flessibilità di configurazione;
- non si sovraccarica PFSense e non si rischia di bloccare tutto quanto in 
caso ad es. la cache saturasse il disco (ma in fondo credo che se ben 
configurato questo non dovrebbe accadere);
- essendo indipendenti nel caso si "rompesse" PFSense basterebbe redirigere 
il proxy su un altro gateway per mantenere la continuità;
- se cambiassero le necessità sarebbe molto semplice potenziare la macchina 
proxy.
 
I primi vantaggi che mi vengono in mente sulla sol.2 sono:
- essendo tutto integrato potrebbe essere un po' più semplice la gestione, 
anche se in effetti non viene praticamente mai modificata.
 
Cosa ne pensate?
 
 
Ciao,
  Void

 risolto con una auto  discovery request al dominio wpad... tatno per
 
È un'altra soluzione, ma nel nostro caso si vorrebbe proprio un proxy 
trasparente.
 
Ieri ho fatto una prova veloce: ho messo questa regola su PFSense 
(Firewall/NAT/Port Forward):
 
Interface: LAN
Protocol: TCP
Source: LAN net
Source Port: *
Destination: !LAN net
Destination Port: 80
Redirect Target IP: 192.168.1.99
Redirect Target Port: 8080
 
... ma così non funziona... Appena ho un momento riprovo. Se nel frattempo 
avete qualche idea, è benvenuta.
 
 
Ciao e buon fine settimana,
  Void


 
 
ma pfsense non prevede gia' "di suo" il proxy trasparente con squid?
 

 ma pfsense non prevede gia' "di suo" il proxy trasparente con squid?
 
Infatti, il dubbio era proprio questo: meglio utilizzare il modulo di 
PFSense o uno Squid standalone, ovvero ci sono vantaggi o svantaggi dell'una 
o dell'altra soluzione?
 
 
Ciao,
  Void


Io voterei per tenere tutto su unica macchina. Anche perchè PFSense 
dovrebbe avere un modulo di HA quindi ne puoi mettere due.
Ciao
-- 
Luca
 
"Unix is simple. It just takes a genius to understand its simplicity." - 
Dennis Ritchie

 Io voterei per tenere tutto su unica macchina.
 
Mah, mi sto convincendo anche io in questa direzione: dal maggior numero di 
documenti che ho trovato  in rete sembrerebbe la soluzione più adottata... 
:-/
 
L'unico "contro" potrebbe essere il limite dello spazio disco sull'appliance 
PFSense, ma non è la nostra priorità.
 
Altre opinioni?
 
 
Ciao,
  Void

 con il relativo modulo (sol.2).
 
Oppure (sol.3) butti via tutto e passi a VyOS, poi:
 
set service webproxy listen-address 10.0.0.1
commit
save
 
fine

 Oppure (sol.3) butti via tutto e passi a VyOS, poi:
 
Hai esperienza di VyOS?
Funziona bene?
In quale situazione l'hai usato?
Mi interessa parecchio, ma ancora non ho conosciuto nessuno che lo usi in produzione
 

 Oppure (sol.3) butti via tutto e passi a VyOS, poi:
 
Interessante, non lo conoscevo, ma la domanda resta la stessa: in generale 
ha più senso accentrare il proxy sul firewall oppure lasciarlo separato 
mettendolo ad es in DMZ?
 
 
Ciao e buona giornata,
  Void

 Mi interessa parecchio, ma ancora non ho conosciuto nessuno che lo usi in produzione
 
Lo uso in produzione come core-router e edge-router in farm. 
Ne ho 6 in produzione, sia VyOS che Vyatta, con BGP full-mesh in tutti e VRRP tra i core, più uno come firewall per la rete interna.
 
L'unica pecca (grossa) è che non supporta VRRP per IPv6
 

Quanta banda hai sul core? 
Quali sono le differenze fra VyOS e Vyatta? 

 Quali sono le differenze fra VyOS e Vyatta?
 
2:
1) vyatta non esiste più, quindi non hai scelta
2) vyos è un fork di vyatta subito dopo acquisizione da parte di brocade, ha alcuni bugfix ed un elenco di features in roadmap ma lo sviluppo è piuttosto lento.

 2) vyos è un fork di vyatta subito dopo acquisizione da parte di brocade, ha alcuni bugfix ed un elenco di features in roadmap ma lo sviluppo è piuttosto lento.
 
Lo metto nelle cose da studiare :)
Grazie mille per la dritta