Newsgroup: it.comp.os.linux.sys
Titolo: Firewall particolare

salve a tutti,
nella mia azienda ho una macchina con linux che condivide la connessione a
internet
tramite nat con iptables, oltre a questo filtra le richieste accesso a
internet consentendo
ad alcune macchine di accedere a internet e ad altre no facendo il controllo
sul
 MAC ADDRESS della scheda di rete.
Il problema sono gli utenti che installano proxy sulle macchine abilitate
per riuscire comunque
ad accedere a internet facendo fesso in questo modo il firewall.
esiste un modo con iptables di ispezionare il contenuto del pacchetto ip in
modo da verificare
se la richiesta sta passando per un proxy?
Grazie in anticipo per la risposta.

 per riuscire comunque
??gli utenti hanno il diritto di installare proxy??
Davide


A chi fa questo viene fatto un culo come un paiolo: chi da a queste 
persone il diritto di installare un proxy per saltare una protezione 
aziendale?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Se tu fossi altro quanto sei bischero
	berresti dalle grondaie

 ha scritto nel messaggio
news:_0_bb.340512$Ny5.10...@twister2.libero.it...


 tramite linea hdsl a 2mbit) e quindi difficilmente controllabili
?? difficilmente controllabili? Lo sai che da Windows puoi ottenere
via lan la lista dei processi in esecuzione al momento via SNMP?
Davide


Non so rispondere alla tua richiesta, cmq io ho condiviso la connessione
ad internet con squid che chiede nome/password per potersi collegare.
Piccola parentesi OT: tralaltro viene pubblicato un log dei collegamenti
di ognuno su un newsgroup locale (condizione accettata pienamente e 
firmata da chi si collega), cosě tutti vedono dove vanno tutti, a 
garanzia della trasparenza del servizio e anche del risparmio di denaro 
pubblico, visto che si tratta di un ente statale e non ritengo giusto
sprecare denaro dei cittadini (che ti pagano per lavorare) per
finanziare i tuoi viaggi pornografici su internet. Se vuoi vedere le 
donnine nude te le guardi a casa. Scusa la lunga parentesi OT.
gp

 ...qualcuno ha idea di come fare??
Certo, inizia a usare un bel drop come politica dalla rete aziendale in
uscita.
Dopodiche' transparent proxy con autenticazione, ovvero tutte le
richieste dirette alla 80 vengono redirette direttamente a squid.
Volevano il proxy? beh... accontentali...

 ... in più un amministratore di rete accetta sempre la sfida...:))
Il punto è: chi paga l'amministratore per mettere delle toppe non caontro 
accessi pirata dall'esterno ma contro utilizzi "fraudolenti" di propri 
dipendenti?
Puoi mettere anche il transparent proxy come ti viene suggerito ma devi 
anche far capire agli utilizzatori che questo non si può pena sanzioni 
anche pesanti, altrimenti sarà una lotta continua


 ha scritto nel messaggio
news:bkq0qc$4ln97$2...@ID-18487.news.uni-berlin.de...



...Be non funziona, perchč basta eliminare il gateway della macchina
(purtroppo devono essere amministratori della macchina)
e impostare il proxy su un altra macchina chiamiamola B, in questo modo
scavalchi tutte le politiche perchč il mio firewall vede solo il
traffico della macchina B che č autorizzata.

 dritta per iniziare a documentarmi?
Hummm... avevo uno script all'uopo... mo' lo cerco poi lo posto.
Davide

 ...qualcuno ha idea di come fare??
metti tu un proxy (squid).
ps:
gentilmente, non e` questo il modo di rispondere ai messaggi.
http://learn.to/edit_messages
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
"I had to kill him -- he was starting to make sense."

 traffico della macchina B che è autorizzata.
Allora usciranno tutti *SOLO* tramite proxy della MACCHINA B e dal
firewall autorizzi solo quella...


Se lo trovi lo manderesti anche a me per favore, oppure lo metteresti 
sul NG.
Grazie
-- 
Ciao
Morsac

 sul NG.
L'ho postato un po' di giorni fa', comunque rieccotelo:
#!/bin/bash
MIB="1.3.6.1.2.1"
PROCS=".25.4.2.1.2.1"
DISKS=".25.2.3.1.3.1"
INST=".25.6.3.1.2.1"
if [ -z $1 ] ; then
	echo "Usage: $0 ipaddress [procs|disks|inst]"
	exit 0
fi
if [ $2 == "inst" ] ; then
	NEXT=$INST
	END=".25.6.3.1.3.1"
fi
if [ $2 == "procs" ] ; then
	NEXT=$PROCS
	END=".25.4.2.1.3.1"
fi
if [ $2 == "disks" ] ; then
	DESC=".25.2.3.1.3."
	BLOCK=".25.2.3.1.4."
	TOTAL=".25.2.3.1.5."
	USED=".25.2.3.1.6."
	NEXT="1"
	END="25.2.3.1.4.1"
	while [ 1 ] ; do
		DSC=`snmpget $1 -v 1 -c public $MIB$DESC$NEXT | sed 's/.*STRING: \(.*\)$/\1/'`
		if [ -z $DSC ] ; then
			echo "Error retriving data"
			exit 1
		fi
		cat "$DSC" > /tmp/DSC.tmp
		OK=`grep -c 'Failed' /tmp/DSC.tmp`
		if [ $OK -gt 0 ] ; then
			echo "Error retriving data"
			exit 1
		fi
		OK=`grep -c 'Timeout' /tmp/DSC.tmp`
		if [ $OK -gt 0 ] ; then
			echo "Error retriving data"
			exit 1
		fi
		OK=`grep -c 'Error' /tmp/DSC.tmp`
		if [ $OK -gt 0 ] ; then
			echo "Error retriving data"
			exit 1
		fi
		BLCK=`snmpget $1 -v 1 -c public $MIB$BLOCK$NEXT | sed 's/.*INTEGER: \(.*\)$/\1/'`
		TOT=`snmpget $1 -v 1 -c public $MIB$TOTAL$NEXT | sed 's/.*INTEGER: \(.*\)$/\1/'`
		USD=`snmpget $1 -v 1 -c public $MIB$USED$NEXT | sed 's/.*INTEGER: \(.*\)$/\1/'`
		COM=`snmpgetnext $1 -v 1 -c public $MIB$DESC$NEXT | sed "s/.*::mib-2.\([^ ]*\) =.*$/\1/"`
		BLCK=$((BLCK / 1024))
		TOT=$((TOT * BLCK))
		USD=$((USD * BLCK))
		FREE=$((TOT - USD))
		echo $DSC $TOT $USD $FREE
		if [ $COM == $END ] ; then
			exit 0
		fi
		NEXT=$((NEXT+1))
	done
else
	while [ 1 ] ; do
		MB="$MIB$NEXT"
		RES=`snmpget $1 -v 1 -c public $MB | sed 's/.*STRING: "\(.*\)"$/\1/'`
		if [ -z "$RES" ] ; then
			echo "Error retriving data"
			exit 1
		fi
		echo $RES
		NEXT=`snmpgetnext $1 -v 1 -c public $MB | sed "s/.*::mib-2\([^ ]*\) =.*$/\1/"`
		if [ -z "$NEXT" ] ; then
			echo "Error retriving data"
			exit 1
		fi
		if [ "$NEXT" = "$END" ] ; then
			exit
		fi
	done
fi
Davide