Newsgroup: it.comp.os.linux.sys
Titolo: proxy squid o wwwoffle

Ciao a tutti!
Dovendo scegliere un bel server proxy per una rete di medie dimensioni,
circa 200 p.c., sto valutando tra squid cache oppure wwwoffle.
Il dubbio che ho su squid, almeno da come si legge dalle FAQ, è che vuole
abilitato l'ip forward sul server dove è installato, mentre wwwoffle non lo
necessita.
Essendo orientato più su wwwoffle, è percaso adatto solo per piccole reti
oppure è in grado di sopperire ad un notevole carico di lavoro?
Non è proprio possibile fare funzionare squi-cache senza l'ip-forward?
Ciao e grazie infinite,
Francesco Collini

 Non č proprio possibile fare funzionare squi-cache senza l'ip-forward?


 necessita.
che dici?? Non è vero.
-- 
saluti,
Massimiliano Adamo

grazie innanzitutto per la cortesia!
Un'ulteriore domanda, per favore: sono entrambi affidabili oppure ce ne è
uno che è migliore in caso di una forte mole di traffico?
Ciao, grazie ancora.
Francesco Collini

Mi spiace ma per quanto riguarda wwwoffle non so risponderti.
Ti rispondevo solo per dirti che su Squid non è necessario l'ip-forward.
Non so, Squid è sicuramente molt conosciuto ed è stato ampiamente
testato-.
Esistono comunque tanti server proxy ... e in piu' se ti va puoi dare un
occhiata anche ai SOCKS Proxy che non sono niente male .... anzi
-- 
saluti,
Massimiliano Adamo


Senza dubbio squid, che oltre ad essere migliore in tutto, è più
configurabile ed inoltre supporta plugins tipo smartfilter (a pagamento)
per filtrare i contenuti (sesso chat ecc..) può essere amministrato via web
con webmin ecc...
Poi se ti può interessare è anche multipiattaforma (Unix) cioè gira anche su
AIX, HP-UX, DEC OSF ecc..
Io lo uso in maniera intesiva con circa 500 utenti contemporanei con filtro
dei contenuti e filtro degli accessi tramite IP ed una bomba.
Bye MadMax


 
D'accordo, ma la situazione di partenza del thread era che squid dovesse
servire 200 macchine e da solo.
Per carita', funziona anche con poca memoria (si puo' configurare quanta
ne usa), ma con quello che costa la ram conviene abbondare.
Da noi squid e' installato su un PII 450 con 256 MB e 13 Giga di disco
dedicati alla cache, e serve circa 180 macchine, con un centinaio di
utenti. Ma in effetti dovevamo comprare una macchina nuova, e quindi a
suo tempo non abbiamo risparmiato (tra l'altro il disco e' UW-SCSI 160)
Sarebbe interessante trovare delle statistiche riguardo al punto di
saturazione.
Se non mi ricordo male, Libero usa squid come proxy.
Ciao
LG
-- 
*********************************************************************
Leandro Gelasi
V year Computer Science Engineering student at Siena University
gela...@lucy.dii.unisi.it
Gilles Villeneuve will live forever
*********************************************************************

Per esperienza ti dico che la saturazione arriva prima sulla banda internet
che sulla macchina, a meno che non abbia
un cdn 2Mb terrestri e un satellitare 2Mb per l'america.
Inizialmente avevo il proxy installato su un pc Linux (pentium pro 200 con 256
ram e 2 dischi 9Gb in raid 0 di cache)
poi avendo a disposizione un Alphaserver 4100 (Biprocessore, 1Gb ram, raid
ecc...) ho migrato il tutto, e ti dico
che la differenza č minima.Perchč per circa 500 utenti un cdn a 256Kb va in
saturazione prima della capacitą della macchina.
Bye MadMax


 un cdn 2Mb terrestri e un satellitare 2Mb per l'america.
Il problema e' proprio qui, in uscita dal dipartimento abbiamo una
10Mbit. E scaricando da altre universita' si sono toccati i 200
Kbyte/sec.
Comunque il ragionamento non fa' una grinza, anche con 10 MBit credo che
alla fine si saturi prima la banda che il proxy, almeno partendo da
cache vuota.
Con parecchia cache magari e' diverso. Bisognerebbe vedere l'andamento
del rapporto hit/miss con il crescere della capacita' della cache.
Perche', se di 500 collegamenti contemporanei, 450 sono hit in cache, 
allora solo 50 vanno su Internet e il problema della saturazione si 
riduce di un fattore dieci.
Cosa ne pensi?


 saturazione prima della capacità della macchina.
[...]
In effetti quando lavoravo in Unicredito all'amministratore dei proxy Squid si
saturava presto. Ma loro hanno piu' di una linea a 2 Mb (per Milano pero'!).
Tra l'altro aveva una configurazione particolare ed e' incappato in un leak di
memoria, per cui ad un certo punto dovevi buttare giu' Squid e farlo
ripartire, oppure macchina piantata. Forse potete trovarlo, mi sa che l'ho
visto lurkando su icol.development, prova a chiedere li'....
ciao
-- 
Marco Ermini
http://www.markoer.org
 - ICQ # 50825709
There are two major products that come out of Berkeley: LSD and UNIX.
We don't believe this to be a coincidence.      -- Jeremy S. Anderson

 Insomma, che si possano incapsulare nell' http anche altri protocolli.
Uhm... ma se configuri bene bene ipchains limitando il forward da e per la
rete con i vari source e destination alternati con la classe degli ip della
tua rete (per esempio 
10.0.0.0/24
) ed indicando le porte (20, 21, 25, 53,
80, 119 tanto per dare un esempio di ftp, http e nntp e qualcosina in più)
magari, se vogliamo strafare, indicando il protocollo usato (tcp e/o udp) il
traffico "illegale" è difficile che passi...
Nella nostra rete (30 macchine win9x, 1 server nt, 1 linux) linux gestisce
tutti gli accessi internet a livello di proxy (squid), di firewall
(ipchains) e di gateway e ti posso assicurare che nessuno riesce ad
utilizzare Napster o Icq o roba simile.
See ya...
Yota Moteuchi

 traffico "illegale" č difficile che passi...


 Uhm... ma se configuri bene bene ipchains 
Trascurando il fatto che ipchains non lo uso affatto sul firewall..., in
effetti le cose stanno come ti ha detto MadMax, moltissimi programmi
fanno passare il loro protocollo sopra i proxy http. Ma, almeno per la
situazione che devo affrontare io, non ci preoccupiamo piu' che tanto
del traffico in uscita, quanto di quello in entrata.
Il firewall che ho realizzato per il dipartimento e' basato su FWTK (e
quindi e' un gateway applicativo/proxy).
Ipchain non avrebbe molto senso per il tipo di configurazione che e' stata
fatta.
Squid e' installato nella sottorete, ed usa come parent cache l' http-gw di 
FWTK installato sul firewall.
Ciao


 utilizzare Napster o Icq o roba simile.
Questa cosa mi interessa... non so ancora se in azienda mi permetteranno
di usare Linux per il proxy ma se ci riesco ho intenzione di mettere su
un sistemino modello falce della morte ad altezza ginocchia per tutti
quelli che cazzeggiano su Internet e che per ora hanno via libera
perche' ho priorita' piu' importanti da assolvere e non mi posso
dedicare al proxy.. poi ne riparleremo eventualmente, perche' i Napster
ed ICQ attualmente fioccano ma ho intenzione di ridurre drasticamente la
loro presenza.
thorin che "la peste bubbonica mi fa un baffo.."
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

loro presenza.
AFAIK dovresti poterlo fare gia' con il solo netfilter.
Ciao
-- 
Wayne's World C Programming Style Guide:
        A == B; !;
Maurizio - Tannoiser
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 AFAIK dovresti poterlo fare gia' con il solo netfilter.
Uhm, netfilter hai detto? Ma se ad es. ICQ viene incapsulato in http
come si fa a distinguerlo dal normale traffico web? La cosa mi
interessa molto..


interessa molto..
Scusami thorin in anticipo ma non ho ancora avuto modo di testare ne 2.4
ne netfilter; nelle  mie macchine sarebbe azzardato,  entro breve dovrei
tirare su un muletto, per poterti cosi' dare info piu' precise.
CMQ, quello  che so',  e' che  netfilter, a  differenza di  ipchains, e'
finalmente un  firewall a  livello applicazione e  non "solo"  un packet
filter.
Questo permette, o dovrebbe farlo,  una elaborazione dei dati in entrata
e uscita  sia a  livello di  pacchetti (ma  questo lo  fai gia'),  sia a
livello  di applicazione,  permettendo  un filtraggio  che e'  viceversa
possibile solo con un proxy.
Mi spiace non darti info piu' precise, sono un vecchietto, per me il 2.4
non e' piu' che  una moda, almeno per un'altro po'  ;-)))) (del resto il
primo 2.2 degno era il 2.2.14... e  ho ancora un 2.0.38 da qualche parte
...)
Ti saluto
-- 
I am not a vegetarian because I love animals; I am a vegetarian
because I hate plants.  -- A. Whitney Brown


interessa molto..
Non sono ancora documentato su netfilter ma l'unico modo e' quello di
passare i dati dei pacchetti a un prg user space che li apra e controlli. Se
netfilter consente questo sei a cavallo. Poi il problema diventa
l'efficienza della cosa.
E poi, va bene incapsulare l'icq in http ma le richieste risposte verso che
porte viaggiano? E' proprio virtualmente indistinguibile da una normale
connessione web?
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.2.16
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! Adding features does not necessarily increase functionality -- it just
		makes the manuals thicker. !>-

 controlli. Se netfilter consente questo sei a cavallo.
Sě, lo consente.
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* " In Brasile ci sono solo puttane e calciatori "
  " Ti ricordo che mia moglie č brasiliana! "
  " Ah... e in che squadra gioca? "

 connessione web?
Boh, vedro' di scoprirlo.


 ...)
Ah beh..
Linux durin 2.2.17 #1 Sun Oct 29 11:50:45 CET 2000 i686 unknown
per me prima di passare al 2.4 ci vorranno almeno 2 patch level,
prima non ci penso nemmeno ;-)


Scusate ma non è più facile agire sui mime type o sulle url?
Per esempio se chiudo tutti i files con estenzione .ra e .ram per il realaudio e il
protocollo rtsp://, .mp3 per napster ecc..;
o per icq chiudere le url corrispondenti ( 
wwwc.icq.com
 ) o simili adesso non
ricordo, passerà solo il traffico http e ftp consentito.
Questo è una features che più o meno tutti i proxy hanno.
Bye MadMax


 Questo è una features che più o meno tutti i proxy hanno.
Si, volendo si puo' fare cosi' ma ricordiamoci che ci sono anche
i client free come Gnutella e bisogna vedere quelli come si
comportano. Per es. Gnutella dubito usi le porte Napster standard.


Il trucco sta nel non far diventare la macchina proxy il default gateway della rete, ma
nel configurare il browser per navigare tramite proxy.
Quindi tutto il traffico non http verrà rifiutato dato che non esiste il percorso di rete
per arrivare al proxy/firewall e quello http incapsulato verra bloccato come scritto
precedentemente.
Bye MadMax


 nel configurare il browser per navigare tramite proxy.
Per come sono messo io, squid NON gira sul firewall, ma in una macchina
della sottorete. Quindi per raggiungerlo non c'e' bisogno di passare per
il gateway.
E la macchina con squid e' l'unica che si puo' connettere al proxy http
che gira sul firewall.
Ma anche se fosse, allo stesso modo di come configuro Netscape per usare
il proxy, ci posso configurare, che so', RealPlayer e i vari redirettori di
servizi.
Ciao
LG
-- 
**************************************************************************
Leandro Gelasi
V Year Computer Science Engineering at Siena University
email : 
gela...@lucy.ing.unisi.it
Gilles Villeneuve will live forever
**************************************************************************

 precedentemente.
Cioe' con netfilter, intendi? Ah no, con i mimetypes, e' vero, ho
letto ora cio che hai quotato in fondo... Forse si potrebbe fare del
tutto un mix fra le due cose, che ne pensi? Forse si otterrebbe il
meglio dei 2 mondi..


 > Quindi tutto il traffico non http verrà rifiutato dato che non esiste il percorso di rete


 > Quindi tutto il traffico non http verrà rifiutato dato che non esiste il percorso di rete


 Secondo me l'architettura migliore è la seguente:
[..]
THNX, ne terro' conto.. ora inizio a buttare giu' un progettino da
presentare, speriamo me lo accettino..
-- 
|Pierluigi De Rosa (
tho...@durin.khazad-dum.net
)|
|     E' nato il Cosenza Linux User Group	|
|   mail -s help 
cslug-...@lists.linux.it
	|
|      IRC: #cslug - 
irc.openprojects.net
	|