Newsgroup: it.comp.os.linux.sys
Titolo: Transparent proxy con Antivirus

Come da oggetto, quali programmi conoscete che mi permettano di 
scansionare, in maniera trasparente, buona parte dei principali 
protocolli mediante antivirus (clam)?
Devo farli girare su un sistema minimale (1GB su CF e 128MB di ram, 
processore ridicolo).
Per ora ho trovato:
POP3:
 - p3scan
IMAP:
 - ???? non ho trovato nulla. Idee?
FTP:
 - FROX
SMTP:
 - smtp-gated
HTTP:
 - squid + dansguardian con patch. (un bel mattone, ma DEVO far girare 
squid e DG su tale macchina).
 In alternativa a DG, potrei mettere squid + havp
Ho dimenticato qualche cosa?
Thanks.

 Ho dimenticato qualche cosa?
L'unica altra cosa che mi salta in mente sarebbe stato snort-inline con la 
patch clamav, ma è un mattone ingestibile.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 la patch clamav, ma è un mattone ingestibile.
Allora lascio stare...

 Tieni conto che Monowall, PFsense ed altri girano con meno di 128MB!
Ma fanno solo da firewall. Se togli la parte di antivirus 128MB sono stra 
abbondanti.


 abbondanti.
Quindi: per un firewall che faccia solo firewall (niente scansioni) e
magari proxy senza cache (cache su /dev/null)
in 256MB dovrei starci.
Tutto il resto, minimo 512.
Al momento ho tre macchine differenti:
Mod1 con 256
Mod2 con 512
Mod3 con 512 ma sarà portata ad 1GB + HDD da 80 o 160GB
Pensavo di mettere in tutte e 3 una CF da 1-2GB per il sistema
operativo. (al momento ho fatto una distro da 262MB)
Tutte e tre possono tenere anche dei dischi da 2.5pollici (la macchina
da 1gb tiene anche 3.5 pollici)
ma vorrei evitare parti in movimento. Sono totalmente fanless e
l'unica cosa meccanica che si romperebbe
sarebbero i dischi (senza considerare murphy: in una macchina del
genere si romperà tutto tranne l'hdd)
Inoltre, vorrei evitare i dischi anche per i 50euro minimi di costo.
Più sto basso (sopratutto con il primo e secondo modello) meglio è.
Al massimo potrei fare il mod1 senza hdd ma solo con CF (magari le
industrial) ma *devo* trovare il modo di mettere almeno un proxy
minimale con AV. tutto il resto lo spazzio via (no proxy pop3 etc) ma
almeno il web *deve* avere un proxy.
in 256MB con 1GB o 2GB di CF proprio non ci sta vero?

 in 256MB con 1GB o 2GB di CF proprio non ci sta vero?
Non mi pare che havp possa lavorare direttemente in transparent. Se 
funzionasse allora magari ci potresti stare, ma ti assicuro che le 
performance saranno penose.


 processore ridicolo).
Give up.


Si lo fa e va abbastanza bene (provato con max 40 utenti molti tranquilli).
Ciao

 Togli qualsiasi cosa sotto i 512MB
Ti devo contraddire.
Mi son ricordato che il mio firewall in ufficio ha proprio 256MB di
ram (anzi meno a causa di scheda video con memoria condivisa)
Guarda:
top - 22:34:48 up 145 days,  4:04,  2 users,  load average: 0.00,
0.00, 0.00
Tasks:  84 total,   1 running,  83 sleeping,   0 stopped,   0 zombie
Cpu(s):  0.2% us,  0.1% sy,  0.0% ni, 99.2% id,  0.0% wa,  0.1% hi,
0.4% si
Mem:    245000k total,   215380k used,    29620k free,    33104k
buffers
Swap:   498004k total,     8992k used,   489012k free,    10748k
cached
Ed ha attivo:
USER       PID %CPU %MEM   VSZ  RSS TTY      STAT START   TIME COMMAND
root         1  0.0  0.0   480  240 ?        S     2007   0:04 init
[3]
root         2  0.0  0.0     0    0 ?        S     2007   0:00
[migration/0]
root         3  0.0  0.0     0    0 ?        SN    2007   0:00
[ksoftirqd/0]
root         4  0.0  0.0     0    0 ?        S<    2007   0:00 [events/
0]
root         5  0.0  0.0     0    0 ?        S<    2007   0:00
[kblockd/0]
root         6  0.0  0.0     0    0 ?        S<    2007   0:00
[khelper]
root         8  0.0  0.0     0    0 ?        S     2007   0:02
[pdflush]
root        10  0.0  0.0     0    0 ?        S<    2007   0:00 [aio/0]
root         9  0.0  0.0     0    0 ?        S     2007   0:04
[kswapd0]
root       122  0.0  0.0     0    0 ?        S     2007   0:00
[scsi_eh_2]
root       124  0.0  0.0     0    0 ?        S     2007   0:00
[scsi_eh_3]
root       130  0.0  0.0     0    0 ?        S     2007   0:00
[kseriod]
root       137  0.0  0.0     0    0 ?        S     2007   0:37
[kjournald]
root       285  0.0  0.1  1336  356 ?        S<s   2007   0:00 udevd
root       724  0.0  0.0     0    0 ?        S     2007   0:00
[kjournald]
root       912  0.0  0.2  1412  596 ?        Ss    2007   0:30 /usr/
sbin/syslogd
root       915  0.0  0.1  1344  452 ?        Ss    2007   0:37 /usr/
sbin/klogd -c 3 -x
root      1265  0.0  0.1  1332  420 ?        Ss    2007   0:00 /usr/
sbin/inetd
root      1268  0.0  0.5  3136 1384 ?        Ss    2007   0:00 /usr/
sbin/sshd
root      1319  0.0  0.4  2188 1128 ?        S     2007   0:00 /bin/
sh /xxx/startup/bb.M
root      1321  0.0  0.5  3008 1468 ?        S     2007   0:15 openvpn
--config /xxx/conf/vpn/openvpn.conf
root      1338  0.0  0.2  1460  564 ?        S     2007   0:00 /usr/
sbin/crond -l10
daemon    1340  0.0  0.2  1468  620 ?        Ss    2007   0:00 /usr/
sbin/atd -b 15 -l 1
root      1341  0.0  0.4  2164 1104 ?        S     2007   0:00 /bin/
sh /usr/bin/mysqld_safe --datadir=/var/lib/mysql --pid-file=/var/run/
mysql/mysql.pid
mysql     1368  0.0  4.0 38408 10008 ?       S     2007   0:00 /usr/
libexec/mysqld --basedir=/usr --datadir=/var/lib/mysql --user=mysql --
pid-file=/var/run/mysql/mysql.pid
mysql     1369  0.0  4.0 38408 10008 ?       S     2007   0:00 /usr/
libexec/mysqld --basedir=/usr --datadir=/var/lib/mysql --user=mysql --
pid-file=/var/run/mysql/mysql.pid
mysql     1370  0.0  4.0 38408 10008 ?       S     2007   0:00 /usr/
libexec/mysqld --basedir=/usr --datadir=/var/lib/mysql --user=mysql --
pid-file=/var/run/mysql/mysql.pid
mysql     1371  0.0  4.0 38408 10008 ?       S     2007   0:00 /usr/
libexec/mysqld --basedir=/usr --datadir=/var/lib/mysql --user=mysql --
pid-file=/var/run/mysql/mysql.pid
mysql     1372  0.0  4.0 38408 10008 ?       S     2007   0:00 /usr/
libexec/mysqld --basedir=/usr --datadir=/var/lib/mysql --user=mysql --
pid-file=/var/run/mysql/mysql.pid
mysql     1373  0.0  4.0 38408 10008 ?       S     2007   0:00 /usr/
libexec/mysqld --basedir=/usr --datadir=/var/lib/mysql --user=mysql --
pid-file=/var/run/mysql/mysql.pid
mysql     1374  0.0  4.0 38408 10008 ?       S     2007   0:03 /usr/
libexec/mysqld --basedir=/usr --datadir=/var/lib/mysql --user=mysql --
pid-file=/var/run/mysql/mysql.pid
mysql     1375  0.0  4.0 38408 10008 ?       S     2007   0:01 /usr/
libexec/mysqld --basedir=/usr --datadir=/var/lib/mysql --user=mysql --
pid-file=/var/run/mysql/mysql.pid
mysql     1376  0.0  4.0 38408 10008 ?       S     2007   0:00 /usr/
libexec/mysqld --basedir=/usr --datadir=/var/lib/mysql --user=mysql --
pid-file=/var/run/mysql/mysql.pid
mysql     1377  0.0  4.0 38408 10008 ?       S     2007   0:00 /usr/
libexec/mysqld --basedir=/usr --datadir=/var/lib/mysql --user=mysql --
pid-file=/var/run/mysql/mysql.pid
root      1397  0.0  0.1  1336  448 tty2     Ss+   2007   0:00 /sbin/
agetty 38400 tty2 linux
root     10647  0.0  2.0 75244 4904 ?        Ss   Feb29   0:00 /usr/
sbin/httpd -DSSL -f /backbox/conf/httpd/httpd.conf
nobody   10648  0.0  2.0 75244 4912 ?        S    Feb29   0:00 /usr/
sbin/httpd -DSSL -f /backbox/conf/httpd/httpd.conf
nobody   10649  0.0  2.0 75244 4912 ?        S    Feb29   0:00 /usr/
sbin/httpd -DSSL -f /backbox/conf/httpd/httpd.conf
nobody   10650  0.0  2.0 75244 4912 ?        S    Feb29   0:00 /usr/
sbin/httpd -DSSL -f /backbox/conf/httpd/httpd.conf
nobody   10651  0.0  2.0 75244 4912 ?        S    Feb29   0:00 /usr/
sbin/httpd -DSSL -f /backbox/conf/httpd/httpd.conf
nobody   10652  0.0  2.0 75244 4912 ?        S    Feb29   0:00 /usr/
sbin/httpd -DSSL -f /backbox/conf/httpd/httpd.conf
nobody    8662  0.0 27.8 74048 68296 ?       Ss   Mar05   0:18 clamd
nobody    8663  0.0 27.8 74048 68296 ?       S    Mar05   0:00 clamd
root      9110  0.0  0.0     0    0 ?        S    Mar05   0:01
[pdflush]
root     17147  0.0  0.5  2476 1228 ?        Ss   Mar10   0:00 /usr/
sbin/dhcpd -cf /xxx/conf/dhcpd/dhcpd.conf
root     23980  0.0  0.6  5056 1504 ?        Ss   Mar17   0:00 /usr/
sbin/squid -f /xxx/conf/squid/squid.conf
nobody   23982  0.0  3.3 10936 8304 ?        S    Mar17   7:47 (squid)
-f /xxx/conf/squid/squid.conf
nobody   23983  0.0  0.1  1316  280 ?        Ss   Mar17   0:00
(unlinkd)
root     31475  0.0  0.1  1336  448 tty1     Ss+  Mar25   0:00 /sbin/
agetty 38400 tty1 linux
nobody   12170  0.0 11.6 31168 28440 ?       Ss   05:12   0:00 /usr/
sbin/dansguardian
nobody   12171  0.0 11.6 31172 28436 ?       S    05:12   0:01 /usr/
sbin/dansguardian
nobody   12172  0.0 12.4 34100 30432 ?       S    05:12   0:01 /usr/
sbin/dansguardian
nobody   12178  0.0 12.1 90396 29760 ?       S    05:12   0:02 /usr/
sbin/dansguardian
nobody   12179  0.0 11.8 51604 29128 ?       S    05:12   0:00 /usr/
sbin/dansguardian
nobody   12180  0.0 11.7 42352 28780 ?       S    05:12   0:00 /usr/
sbin/dansguardian
nobody   12365  0.0 11.7 40304 28772 ?       S    12:04   0:00 /usr/
sbin/dansguardian
nobody   12366  0.0 11.7 39232 28672 ?       S    12:04   0:00 /usr/
sbin/dansguardian
nobody   12367  0.0 11.6 37412 28644 ?       S    12:04   0:00 /usr/
sbin/dansguardian
nobody   12368  0.0 11.6 36892 28648 ?       S    12:04   0:00 /usr/
sbin/dansguardian
nobody   12369  0.0 11.6 35592 28616 ?       S    12:04   0:00 /usr/
sbin/dansguardian
nobody   12370  0.0 11.6 35072 28608 ?       S    12:04   0:00 /usr/
sbin/dansguardian
nobody   12372  0.0 11.6 35072 28608 ?       S    12:07   0:00 /usr/
sbin/dansguardian
nobody   12373  0.0 11.6 34812 28604 ?       S    12:07   0:00 /usr/
sbin/dansguardian
nobody   12374  0.0 11.6 34552 28600 ?       S    12:07   0:00 /usr/
sbin/dansguardian
nobody   12376  0.0 11.6 34552 28600 ?       S    12:07   0:00 /usr/
sbin/dansguardian
nobody   12377  0.0 11.6 33512 28584 ?       S    12:07   0:00 /usr/
sbin/dansguardian
nobody   12378  0.0 11.6 33512 28584 ?       S    12:07   0:00 /usr/
sbin/dansguardian
nobody   12381  0.0 11.6 32992 28576 ?       S    12:09   0:00 /usr/
sbin/dansguardian
nobody   12382  0.0 11.6 32732 28572 ?       S    12:09   0:00 /usr/
sbin/dansguardian
nobody   12383  0.0 11.6 31952 28560 ?       S    12:09   0:00 /usr/
sbin/dansguardian
nobody   12384  0.0 11.6 31168 28524 ?       S    12:09   0:00 /usr/
sbin/dansguardian
nobody   12385  0.0 11.6 31168 28440 ?       S    12:09   0:00 /usr/
sbin/dansguardian
nobody   12386  0.0 11.6 31168 28440 ?       S    12:09   0:00 /usr/
sbin/dansguardian
nobody   12394  0.0 11.6 31168 28440 ?       S    12:11   0:00 /usr/
sbin/dansguardian
nobody   12395  0.0 11.6 31168 28440 ?       S    12:11   0:00 /usr/
sbin/dansguardian
nobody   12396  0.0 11.6 31168 28440 ?       S    12:11   0:00 /usr/
sbin/dansguardian
nobody   12397  0.0 11.6 31168 28440 ?       S    12:11   0:00 /usr/
sbin/dansguardian
nobody   12398  0.0 11.6 31168 28440 ?       S    12:11   0:00 /usr/
sbin/dansguardian
nobody   12399  0.0 11.6 31168 28440 ?       S    12:11   0:00 /usr/
sbin/dansguardian
root     12727  0.0  0.7  5800 1720 ?        Ss   23:06   0:00 sshd:
ale [priv]
ale      12729  0.0  0.6  5780 1664 ?        S    23:06   0:00 sshd:
ale@pts/171
ale      12730  0.0  0.6  2652 1532 pts/171  Ss   23:06   0:00 -bash
root     12741  0.0  0.6  2628 1504 pts/171  S    23:06   0:00 bash
root     12748  0.0  0.3  2276  788 pts/171  R+   23:09   0:00 ps aux
Non ho mai notato rallentamenti di alcun genere.
In download, da microsoft ad esempio, scarico quasi costantemente a
banda piena (8mbit) compreso scansione e riesco a tenere su traffico
'medio' di 10 postazioni lavoro.
Compreso FTP ed un paio di VPN.
In più
# httpd -V
Server version: Apache/1.3.31 (Unix)
Server built:   Jun  1 2004 13:53:53
Server's Module Magic Number: 19990320:16
Server compiled with....
 -D EAPI
 -D HAVE_MMAP
 -D HAVE_SHMGET
 -D USE_SHMGET_SCOREBOARD
 -D USE_MMAP_FILES
 -D HAVE_FCNTL_SERIALIZED_ACCEPT
 -D HAVE_SYSVSEM_SERIALIZED_ACCEPT
 -D SINGLE_LISTEN_UNSERIALIZED_ACCEPT
 -D DYNAMIC_MODULE_LIMIT=64
 -D HARD_SERVER_LIMIT=256
 -D HTTPD_ROOT="/usr"
 -D SUEXEC_BIN="/usr/sbin/suexec"
 -D DEFAULT_PIDLOG="/var/run/httpd.pid"
 -D DEFAULT_SCOREBOARD="/var/run/httpd.scoreboard"
 -D DEFAULT_LOCKFILE="/var/run/httpd.lock"
 -D DEFAULT_ERRORLOG="/var/log/apache/error_log"
 -D TYPES_CONFIG_FILE="/etc/apache/mime.types"
 -D SERVER_CONFIG_FILE="/etc/apache/httpd.conf"
 -D ACCESS_CONFIG_FILE="/etc/apache/access.conf"
 -D RESOURCE_CONFIG_FILE="/etc/apache/srm.conf"
root@xxx:/home/ale# mysql --version
mysql  Ver 12.22 Distrib 4.0.20, for slackware-linux (i486)
# clamd --version
ClamAV 0.92.1/6140/Wed Mar  5 15:44:05 2008
# head /proc/cpuinfo
processor       : 0
vendor_id       : GenuineIntel
cpu family      : 15
model           : 2
model name      : Intel(R) Pentium(R) 4 CPU 2.60GHz
stepping        : 9
cpu MHz         : 2593.532
cache size      : 512 KB
physical id     : 0
siblings        : 1
# squid -v
Squid Cache: Version 2.5.STABLE9
configure options:  --prefix=/usr --enable-snmp --enable-icmp --enable-
ssl --enable-arp-acl --enable-forw-via-db --enable-default-err-
language=Italian --enable-linux-netfilter '--enable-auth=basic digest'
--enable-basic-auth-helpers=NCSA
A sto punto mi chiedo: come è possibile che la colonna di top
rappresentante la ram sia indicata in % quando sommando i valori si
supera il 100%?
Ho il 60% di ram occupata dal solo clam....
Comunque sia, nonostante ciò, rallentamenti zero. mai percepiti
nemmeno a pieno carico con tutte le postazioni che navigavano....

 nemmeno a pieno carico con tutte le postazioni che navigavano....
Con disco o CF? Ho anch'io fuori una 70na di firewall con 256 MB di ram, ma 
associati ad un disco, non ad una Compact Flash. E comunque destinate a 
gruppi sotto i 30 utenti.


 gruppi sotto i 30 utenti.
Con disco...
Adesso che mi ci fai pensare, ho omesso un particolare importante sin
dall'inizio:
i primi due modelli che si pensava di fare, sono destinati
*esclusivamente* ad ambienti di lavoro di piccole dimensioni
qualcosa tipo 10, *massimo* 20 postazioni. Da 21 in su, scatta il
modello grosso.
A parte questi dettagli, in che modo una CF può influire sulla
quantità di ram da inserire nel sistema? (eccetto per i ramdisk).
Riassumendo:
CF industrial oppure flash disk tipo 
http://www.transcendusa.com/Products/ModDetail.asp?ModNo=26&LangNo=0
(sarei più propenso per questi flash disk, hanno un MTBF ed un numero
di formattazioni/scritture di alcuni ordini di grandezza superiori
alle CF)
Un must sarà quello di strutturare il sistema stile IPCOP ovvero disco
ram per i log, noatime sui filesystem, loggare su ramdisk, rotate dei
log settimanalmente e dump dei log
stessi da ramdisk verso disco solo in fase di shutdown del sistema o
quando il ramdisk si sta riempiendo.
IPCop stima una durata media di una CF sui 5 anni... Ed ha squid e
snort a bordo (e snort logga non tanto, tantissimo)
Altrimenti alternative (no SSD costosissimi) per evitare harddisk con
parti in movimento?

 quando il ramdisk si sta riempiendo.
apt-get install flashibrid


 Tieni conto che Monowall, PFsense ed altri girano con meno di 128MB!
1) Sono basate su BSD, non su Linux, sono 2 cose diverse.
2) PfSense vuole MINIMO 128MB e se ci metti i packages vuole MINIMO
512 MB. Se poi hai più di 100 utenti scordati il processore ridicolo.

 Ho il 60% di ram occupata dal solo clam....
Perche` le applicazioni allocano un tot di RAM, ma, finche` non ci 
scrivono, il kernel non la occupa fisicamente. Puoi allocare anche 2 GB 
di RAM, ma se scrivi solo 1 KB, la tua applicazione occupa 1 KB (piu` 
l'eseguibile e poco altro).
Se hai un kernel 2.4, inoltre, ti segna ogni thread come processo 
separato, anche se la RAM e` condivisa tra tutti.
Bye.

 (tra antivirus ed il resto ne viene "ciucciata" parecchia)  la potenza
Io al momento, come ho detto in un messaggio precedente, tengo in piedi
10 postazioni a pieno carico con antivirus, squid, dansguardian con 256MB
di ram...

 solidstate o ibrido dato che quei "cosi" ancora costano dei bei soldini
Il mio problema è *non* mettere un disco.
Il sistema è totalmente assente da parti in movimento, e *non* voglio
essere io ad inserirne.
Se fosse possibile evitare un disco lo preferirei...
Mi pare di capire che le CF di bassa lega siano da evitare come la peste
mentre invece i cosiddetti flash disk da inserire dritti sul connettore
IDE sono più affidabili?

 con 256MB di ram...
se non erro però il processore che usi è un 2.6 GHz che non è "ridicolo"..
Ciao
Stefano 

 se non erro per il processore che usi  un 2.6 GHz che non  "ridicolo"..
Be il processore "ridocolo" non è quello che sto usando ora.
Tu dici che attualmente riesco a reggere tutti quei processi con poca ram
per via del processore?
Scusa ma il processore in che modo influisce sulla ram?

 processore ridicolo).
Naaaah.
ciao, f.