Newsgroup: it.comp.os.linux.sys
Titolo: questio su proxy

salve ho installato e configurato linux come server dhcp, e la condivisione 
della connessione internet.
Ora dhcp da indirizzi della classe 192.168.1.x
a tutta la rete.
Ho messo in configurazione anche squid con Squidguard, ora devo poter fare 
iu modo che chi lavora negli uffici non vada ssoeggto a restrizioni, mentre 
i ragazzi nel laboratorio devono passare per il proxy.
Voglio usare iptables per far questo per redirigere le connessioni http, 
https , ecc su squid, però desidero che che è in ufficio non vada in rete 
internet con squid ma direttamente. E' possibile o devo riconfigurare dhcp ?
Grazie 

giuseppe sportelli wrote:

Possibilissimo si', ma:
Momento, momento... hai fatto in modo che le reti siano fisicamente
separate? Altrimenti fai una gran porcheria, e niente puo' garantirti
che ognuno faccia come gli pare (oltre a non impedire che i pc dei
laboratori "aggrediscano", dolosamente o meno, quelli dell'ammini-
strazione...) La macchina linux deve avere tre schede di rete: una sul
router, una verso i laboratori, una verso gli uffici. Il fatto di far
usare o meno il proxy (oppure stabilire chi viene filtrato o meno) non
dipende dal dhcp, ma dipende da come hai configurato il firewall e
squidguard.
bye G.L.

giuseppe sportelli wrote:

Come gia` suggerito, ti conviene aggiungere una scheda di rete al server.
In anternativa usare indirizzi ip fissi per gli uffici e dhcp per il
laboratorio (o viceversa), e riconfigurare il firewall di conseguenza.

 ha scritto nel messaggio 
news:dt07qv$1ac8$1...@newsreader1.mclink.it...


ora devo poter fare
iu modo che chi lavora negli uffici non vada ssoeggto a restrizioni, mentre
i ragazzi nel laboratorio devono passare per il proxy.
Voglio usare iptables per far questo per redirigere le connessioni http,
https , ecc su squid, però desidero che che è in ufficio non vada in rete
internet con squid ma direttamente. E' possibile o devo riconfigurare dhcp ?
Grazie
mmh
io eviterei di usare un proxy trasparente (quindi la redirezione)
chiuderei con iptables 
installerei (se non c'è) samba in funzione di domain controller
quindi farei autenticare tutti gli utenti (in modo trasparente  con ntlm) anche su squid
quindi giocherei con i gruppi e gli slot orari  per permettere agli utenti degli uffici di navigare senza restrizioni e filtrare quelli dei laboratori 
perdi 2 secondi a spiegare  agli utenti come configurare il browser per fargli usare il proxy, ma:
-in questo modo assolvi anche agli obblighi  di conservazione dei log 
(in base a una recente norma del garante non puoi espressamente controllare dove vadano gli utenti, ma in caso di problemi originati dalla tua sottorete devi poter produrre all'autorità giudiziaria i log delle pagine visitate e del materiale  scaricato o inviato in giro e da questi deve essere  possibile risalire all'identità degli utenti)
-impedisci (o  quasi..) il P2P 
-puoi limitare la banda, o garantirla ai client che ne hanno bisogno in vari momenti della giornata,
-puoi impedire (diciamo limitare, rendere più difficile) il download di vari tipi di file 
-se gli utenti non lo fanno, li obblighi a loggarsi sul DC, e a non  diffondere troppo le credenziali, visto che altrimenti trovano il loro nome sui log generati dai colleghi (e se oggi discrimini solo con gli IP  rendi la vita più difficile agli smanettoni di turno)
rimane comunque STRAcorretto il consiglio di dividere la rete, separando le aree aumenti di sicuro la sicurezza, ma temo anche in questo caso far navigare gli utenti degli uffici senza nessun controllo (magari nattandoli pure, per cui rendendo difficile qualsiasi verifica  venga richiesta, a meno di impazzire con i log del router/firewall, se ci sono..) non sia proprio il massimo
bye
miKe
-- 
Michele Asciutti 
------------------------------------------------------------------------
View this thread: 
http://www.itsistemi.net/viewtopic-776425.html
Inviato via 
http://www.itsistemi.net

 2 eth
Ahah. Ok, allora: la segreteria va direttamente sul router, e la
didattica passa attraverso il firewall proxy. Mi pare anche piu'
semplice.... Se vuoi, puoi configurare il dhcp per tutte e due le
reti, oppure per una sola, no problem. Ancora, puoi configurare
squid+squidguard per servire le due reti, rendendolo obbligatorio
per la didattica, e ovviamente (in uno scenario simile non si puo' fare
altrimenti...), opzionale e non filtrato per la segreteria. Insomma,
si tratta di scegliere cosa e' piu' opportuno fare. Io farei cosi'.
bye G.L.

 ha scritto 
nel messaggio news:Michele.Asc...@no-mx.itsistemi.net...
