Newsgroup: it.comp.os.linux.sys
Titolo: autenticazione per la condivisione internet

Salve ho 3 pc, di cui uno direttamente connesso ad internet, gli altri che
sfruttano la connessione su rete ethernet.
un pc è win98 (...mia sorella!!!) e gli altri due sono distribuzioni Gentoo.
echo 1 > /proc/sys/net/ipv4/ip_forward
+ qualche regola più o meno raffinata di forward con iptables.
ora, vorrei sapere se possibile permettere la connessione a internet
solamente dopo un'autenticazione.
ok...potrei scrivere una semplice applicazione telnet che mandi un pass, e
se giusta partono le regole iptables che permettono il traffico verso quel
determinato ip.
ma non solo non ho voglia, ma credo esista già qualcosa di "pronto"
spero qualcosa di trasparente...cioè necessario prima di lanciare
un'applicazione e poi usare internet, magari al momento della connessione
si richiedono....
server radius?
grazie
-- 
-----------------
www.blight.tk
-----------------

 solamente dopo un'autenticazione.
usa un proxy.
Davide
-- 
If it's too good to be true, it's probably a rigged demo.
Any sufficiently advanced technology is indistinguishable from a rigged
demo.

 solamente dopo un'autenticazione.
squid, più in generale un proxy che supporta autenticazione, è qui per questo.
ciao
LEO

mmmm no non vorrei usare un proxy http o simile come squid e company.
per esempio filtrare irc non sarebbe possibile se non sbaglio.
sto pensando a fare una connessione vpn-tunnel...forse è la più semplice...
-- 
-----------------
www.blight.tk
-----------------

 server radius?
A quel punto avresti bisogno anche uno switch o un AP che supporta
802.1x, oppure dovresti fare un accrocchio di questo tipo: per ogni
singolo client il server crea un server pppd (non so se un server solo
possa gestire piu` ``chiamate'' in ingresso) che ti lascia entrare
verificando le tue credenziali nel server radius.
Poi basta che sul server permetti in forward le connessioni solo dalle
interfacce ppp verso l'esterno, e non dalla ethernet verso l'esterno.
(spero che si capisca :-P)
HTH, ciao
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

 verificando le tue credenziali nel server radius.
In realtà qualcosa di simile a quello di cui parlate esiste già in 
monowall sotto il nome di "captive portal" e volendo si fa altrettanto 
(tempo fa ne scrissi uno in bash <g>):
il gateway per la rete pubblica effettua un redirect delle connessioni 
dirette verso la porta 80 di macchine esterne e le butta in pasto ad un 
webserver *suo* dove tutto quello che viene presentato è una form di 
autenticazione[1]. L'utente inserisce user e pass e se è abilitato (a 
questo punto l'autenticazione la fai come vuoi o come sei capace) il suo 
ip viene inserito in una chain che lo esclude dal redirect, lasciandogli 
libertà di navigazione, fino ad eventuale scadenza.
Il più è gestire i timeout delle autenticazioni, la separazione dei 
privilegi e cose così.
Monowall esce con la possibilità di autenticare le utenze su un server 
radius (quindi se hai un DC con IAS, autentichi sugli utenti del 
dominio, volendo), ma a pensare altri sistemi di autenticazione è "solo" 
un po' di fantasia e coding...
Fosse nell'OP una occhiatina ce la darei...
[1]o, volendo e meglio, un redirect verso una analoga pagina sita su un 
virtualhost in https.
Mandi...
-- 
cat: .signature: No such file or directory

SOLUZIONE ideale e principe.
openvpn.
in pratica fa un tunnel (e crea un'interfaccia di rete) e in questo modo è
come se fosse un'eth normale (puoi fare il bridging, il routing statico a
manina...) solo che viene stabilità al momento dell'autenticazione, basata
su ssh e quindi sicura.
il problema è solo uno: tra un linux e un altro no problem, ma il client
windows non è compatibile con win98, solo con 2000/xp.
anche altre alternative simili hanno la stessa limitazione.
eppure io feci un tempo una rete vpn tra un xp e un win98, il 98 ha un
client (nascosto e incasinatissimo al solito..)
su un pentium133 più di un 98 non posso metterci :(
spero di essere stato utile a qualcuno, in attesa di un upgrade hardware e
quindi anche sw.
http://openvpn.sourceforge.net/
-- 
-----------------
www.blight.tk
-----------------

 (tempo fa ne scrissi uno in bash <g>):
E' un argomento interessante su cui si ritorna periodicamente, eh? :)
Io qualcosina di interessante (no test yet done) l'ho trovata.
http://www.faqs.org/docs/Linux-HOWTO/Authentication-Gateway-HOWTO.html
Ed anche
http://www.nufw.org/article1.html
Facciamo dei test? :)

whiplash wrote:

interessante, ma ancora una volta non completo.
1) As long as you stayed logged in, you will have access. Once you log out,
access will be taken away. 
in pratica devi tenere una sessione ssh aperta.
immaginati una persona che non sa usare win98....vagli a spiegare ssh :=)
2) interessante il firewall, però mi pare ancora un po immaturo...poi
servono client particolari...ancora troppo macchinosa la cosa.
secondo me basterebbe fare delle patch per iptables/netfilter.
il concetto è lo stesso alla base di nufw in effetti.
se qualcuno vuole aprire un progetto del genere su sourceforge...perchè no,
magari mi aggrego.
aprirne uno da solo, considerando che sto a 0 nozioni sull'architettura di
pam, kernel, iptables e netfilter mi pare troppo :)
-- 
-----------------
www.blight.tk
-----------------

 immaginati una persona che non sa usare win98....vagli a spiegare ssh :=)
Beh, non vedo quale sia il problema, francamente.
Si scrive un'applicazioncina del cavolo che risiede in systray
con la quale ti autentichi: sotto ci sarà ssh (ed una dummy shell
sul gateway, tipo sleepshell o simili), ma l'utente non avrà mai
neanche la necessità di sapere che cosa è ssh. :)
Lui fa click col tasto destro sull'icona in systray che parte
all'avvio, inserisce username e pass e l'applicazione si connette
in ssh: tutto qui.

 su un pentium133 più di un 98 non posso metterci :(
Cough cough... Linux? :-D

 server radius?
server radius per 3 pc? rotfl :) ... se ti vuoi passare il tempo, ma 
forse un proxy e' piu' adatto
--
massimiliano.

 magari mi aggrego.
sei completamente impazzito o cosa? :)
p.s.:
ma tutto cio' tralasciando quello che ho gia' scritto ... cioe' che 
iptable e' stato progettato come firewall a livello 3 e che quindi non 
di tratta di applicare una patchettina :) Esistono gli application 
gateway e iptable non e' un application gateway.
--
massimiliano.

 ti dice niente che iptable e' un firewall a livelloc 3 ? ;)
Non solo: lavora anche a layer2, gli hellper per protocolli
bizzarri non lavorano certo a layer3 e puoi lavorare anche a
layer7, con le opportune patch
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

 
mi stai dicendo che esistono delle patch che consentono a iptable di 
alvorare oltre il layer network?
Non lo sapevo.
--
massimiliano

 
ops ... ma iptables e' un sistema "packet filtering", statefull 
inspection o diventa anche qualcosa di piu'?
mi sono autoconfuso ...
--
Massimiliano

 alvorare oltre il layer network?
Sì: l7-filter, ad esempio (lo trovi su sourceforge)
Ma anche ip2p, in patch-o-matic


 Non lo sapevo.
Anche senza patch. Per esempio tutta la statefulness tcp e udp e' 
implementata a livello 4 e il conntrack ftp, giusto per dirne uno
tra tutti, lavora a livello 7.
Fabio