Newsgroup: it.comp.os.linux.sys
Titolo: Proxy centrale, VPN e sedi distaccate

Il mio SuperBOSS mi ha chiesto di realizzare un progetto e un
prototipo di quanto segue. Lui vorrebbe che il traffico internet delle
sedi distaccate sia convogliato via VPN verso il server PROXY squid
che è nella sede centrale, con la possibilità di monitorare il
traffico effettuato da ogni singolo computer delle sedi distaccate.
Una sede distaccata è un piccolo ufficio dove arriva una linea ADSL e
poi c'è un router wireless che dà la connettività visto che i CL sono
tutti dotati di laptop o altri device come cellulari, ipad ecc...
Io avevo pensato di prendere il seguente materiale:
- 
http://www.alix-board.de/produkte/alix2d3.html
- 
http://www.alix-board.de/produkte/compexwlm54g.html
e farci una specie di "router-vpn-access-point". La prima cosa che
faccio è disattivare il WiFi sulla linea ADSL per collegare la scheda
alix direttamete al router e poi sfruttare la scheda WiFi di Alix per
fare da access point.
quindi lo schema alla buona sarebbe:
Mobile device -> Wifi Alix -> Eth Alix -> Router ADSL -> Proxy
centrale
Pensavo di impostare una VPN tra ogni sede distaccata e la sede
centrale per codificare il traffico. Ma ho delle domande:
- Nella scheda Alix ci posso andare ad installare qualsiasi OS? Io ho
visto molti progetti in cui installano freeBSD chissà se ci posso
installare pure una Gentoo o CentOS...
- Nella scheda Alix imposto il dhcp server sulla scheda WiFi ma faccio
a dirgli di diventare un'access point visibile a tutti? Non mi serve
l'autorizzazione. Quella è implementata nel server proxy.
- Io credo che se faccio passare tutto il traffico via VPN nel server
proxy le richieste mi giungano tutte dall'indirizzo 
XX.YY.ZZ.TT
(quello della VPN) invece che gli indirizzi IP che alix assegnerà ai
singoli device mobili... E' quindi possibile recuperare l'ip sorgente
e far loggare quello a squid?
Spero di essermi espresso in maniera chiara...
Ciao a tutti, Keres.

(quello della VPN)
No, vedi l'IP originale, e puoi impostarla cosi':
	Sede n. <N>, con <N> da 1 a 253
	network 192.168.<N>.0
	mask    255.255.255.0
	gateway	192.168.<N>.254 (Alix)
	DHCP	riconosce i MAC dei PC che conosci e gli assegna
		indirizzi da 1 a 63, tutti gli altri da 64 a 127
	VPN	192.168.254.<N> --> 192.168.254.1 sul server
In realtà potresti alleggerire il carico sulla linea centrale facendo
routare differentemente i diversi protocolli - per es., il DNS rimane
sulla linea ADSL standard. Al limite fai transparent proxying di solo
il traffico HTTP.
In questo caso, il PC 17 dell'agenzia 5 riceve 192.168.5.17, lo Squid
in centrale riceve quell'IP li' attraverso la VPN e lo logga. Se vedi
un PC con numero > 63, sai che e' un PC nuovo.
Perdi un po' in latenza, ma guadagni qualcosa in compressione, e (per
i dati in cache, se in centrale metti un disco grosso e veloce) anche
la latenza ne guadagna parecchio.
Ma dipende moltissimo dalle condizioni di banda sull'ADSL.
(E dal fatto che ho la febbre e quindi forse svagello)
Leonardo
-- 
Enough, enough!  But, stranger, ere we part,
Glancing farewell to each nefarious bier,
This warning would I beg you take to heart:
There is an end to e'en the worst career!

 andata molto bene, altri hanno dovuto faticare per metterla a punto.
Io feci una cosa simile 3 anni fa per una serie di negozi distribuiti sul 
territorio nazionale di una casa di moda (che poi è fallita, ma questo è 
un altro discorso).
Ogni negozio era collegato tramite una VPN MPLS (quindi gestita dal 
provider, mi sembra Fastweb) con la sede centrale dove c'erano i proxy 
squid in HA.

 tutti dotati di laptop o altri device come cellulari, ipad ecc...
Non è chiaro cosa sia questo router wireless. Se è un server linux fai come 
ti ha detto Davide Bianchi e non ti serve nessun altro hardware.
Nicola. 
-- 
chi va pian va san e va lontan

Scusatemi è che dormivo ancora quando ho scritto il messaggio...
Semnra un po' scritto con i piedi :-)
@Davide: I router sono quei "cosi bianchi" Telecozz dove per scelte da
me incomprensibili sono in gestione dalla stessa azienda. Pare che non
ci sia traccia di login e password per l'ufficio... Mah... Potrei pure
sostituirli con altri router già predisposti a fare vpn...
@ Leonardo Serni: pigro sarei pigro. Pure un mio sysadmin mi ha
consigliato una cosa simile alla tua con pfsense-ready, ma vorrei fare
tutto da zero per imparare e migliorare le mie conoscenze da piccolo
SysAdmin.
Ho capito pure il tuo schema per la VPN e lo trovo interessante! Alla
fine farei passare solo il traffico HTTP verso il proxy così da
chiedere l'autorizzazione e tutto il resto del traffico (escluso
HTTPS, skype, msn, yahoo e poco altro) lo devo bloccare in partenza.

 sostituirli con altri router già predisposti a fare vpn...
Hanno anche un nome questo "cosi bianchi"?



Router ADSL Alice Telecom,non sò se sono sempre della pirelli come
quelli neri e tondi che fornivano una volta...

 quelli neri e tondi che fornivano una volta...
Ah, ok, ora ho capito (forse):
PC -> Access Point -> ADSL
Io pensavo che il coso wireless fosse un router: forse volevi dire access 
point (che poi faccia anche il routing è un altra questione).
Se vuoi usare una vpn tra la sede distaccata e la sede centrale ti tocca 
metterci in mezzo un qualche affare:
PC -> Access Point -> "affare che fa la vpn" -> ADSL
Se puoi non usare la vpn basta che metti le mani dentro l'ADSL (se hai la 
password) e crei una regola per instradare tutto il traffico verso la sede 
centrale. Poi ovviamente devi mettere le mani alle regole della tua sede 
centrale per gestire la roba che arriva dalla sede distaccata. A questo 
punto se hai un indirizzo ip pubblico fisso sei OK, altrimenti se te lo 
assegnano ogni volta sono casini.


 PC -> Access Point -> "affare che fa la vpn" -> ADSL
La mia idea era di fare qualche cosa autoprodotto usando software open
source.
Tu hai scritto:
PC -> Access Point -> "affare che fa la vpn" -> ADSL
Io invece voglio fare
PC -> "Access point + vpn (tramite alix con linux o freebsd)" -> ADSL

 PC -> "Access point + vpn (tramite alix con linux o freebsd)" -> ADSL
L'access point ce l'hai già. A te serve solo una roba che faccia da router 
(precisamente da default gateway) e da client vpn.


 PC -> "Access point + vpn (tramite alix con linux o freebsd)" -> ADSL
con tutto il rispetto parlando, visto che in altro post dici:
"Pure un mio sysadmin mi ha
consigliato una cosa simile alla tua con pfsense-ready, ma vorrei fare
tutto da zero per imparare e migliorare le mie conoscenze da piccolo
SysAdmin."
e pensando che si tratta di lavoro (i.e. ne va "anche" del tuo ( ! ) ), 
lascerei stare il piccolo chimico e mi affiderei a prodotti/persone che 
sanno bene di cosa stiamo parlando
*NESSUNA* vena polemica nè sboronaggine (non saprei come fare, io), ma un 
semplice consiglio
tutto IMHO
Stefano

 PC -> "Access point + vpn (tramite alix con linux o freebsd)" -> ADSL
Occhio che i "cosi bianchi" non sempre sono VPN-passtrough.
Nel caso non lo fossero, non fanno passare i pacchetti AH e/o ESP e 
quindi non riesci a creare un tunnel.

Normalmente i cosi bianchi sono sostituibili con roba tua...
A meno che non utilizzino l'autenticazione tramite smart-card.
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.