Newsgroup: it.comp.reti.locali
Titolo: Http redirect

Ciao a tutti,
volevo un consiglio su un proxy  che gestica i MAC Address, che faccia 
"transparent proxy" da mettere in DMZ con un firewall Zywall USG 100.
Ah, S.O. windows.
Grazie.

 Ah, S.O. windows.
ScriptJus 

 Si ma se è in DMZ come vede i MAC?
A meno che non intendi: 
http://en.wikipedia.org/wiki/DMZ_(computing)#DMZ_host
 (che non ha senso per 
un proxy)
invece di 
http://en.wikipedia.org/wiki/DMZ_(computing)#Single_firewall
.
ScriptJus 

 Si ma se è in DMZ come vede i MAC?
io mi chiedo invece perchè gestire i MAC?
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

ritiene un mezzo sicuro
Squid l'unico proxy su cui metto mano esiste per 
windows(
http://squid.acmeconsulting.it/
), ma in questo sistema operativo NON 
supporta le acl su mac-address.
http://www.acmeconsulting.it/Squid-Book/HTML/sec-acl-basate-macaddress.html
Ciao,
ScriptJus 

>reservation potrebbe aiutare)
e allora mi chiedo... perchè lavorare a livello ip (o addirittura a
livello MAC) quando si può lavorare a livello utente?


 Si ma se è in DMZ come vede i MAC?
Ad esempio, ho usato CCProxy che gestisce i MAC, con scenario del 
server proxy in DMZ, client in LAN e WAN per internet.
Ho definito su CCProxy i MAC dei client sulla LAN, e lui li vede senza 
problemi.
Penso che li veda perchè il firewall fa tutto il lavoro "sporco", di 
fargli conoscere il client al proxy.
Ovviamente non ho usato l'opzione "http redirect" perchè CCProxy non è 
un "transparent proxy".

 io mi chiedo invece perchè gestire i MAC?
ho un cliente a cui devo inibire l'accesso ad internet solo ad alcuni 
PC, ma tutta la lan deve navigare sulla intranet ospedaliera.
Io pensavo che i MAC mi potessero garantire, per lo meno, il fatto che 
SOLO quel PC con quella scheda di rete, potesse navigare liberamente, 
visto che hanno capito il trucchetto di cambiarsi l'IP.
E voi mi direste "perchè non hli metti delle policy per non farglielo 
fare?", ed io "perchè le policy sui nostri PC ci sono, e l'ip non si 
cambia, io non voglio che lo studente di turno, si colleghi alla nostra 
rete, e faccia quel cazzo che voglia, al massimo, naviga sulla intranet 
ospedaliera".
Non so, se sono riuscito a spiegarmi.
Fatemi sapere.
Grazie, nel frattempo.

 livello MAC) quando si può lavorare a livello utente?
perchè a livello utente, si passano le utenze e le pwd

 
http://www.acmeconsulting.it/Squid-Book/HTML/sec-acl-basate-macaddress.html
grazie, avevo trovato tutto, (anche perchï¿œ se chiedi a google, sono i 
primi risultati, con ricerca squid) ma non avevo notato il fatto che 
sulla versione per windows, le acl basate sui mac, non funzionassero.

 non è un mezzo sicuro?
No. I mac address possono essere modificati... dipende dal driver e 
dalla scheda. (vedi ad esempio le macchine virtuali che hanno un mac 
address diverso dalla scheda fisica della macchina sulla quale girano)
Ciao.
-- 
Pubblicita' regresso: 
http://www.ferrero.org
** Per scrivermi in mail, sostituire nutella con ferrero...
** To contact me by email, change nutella to ferrero...

 visto che hanno capito il trucchetto di cambiarsi l'IP.
Bentornato, ti davo per disperso :)
In effetti pochi utenti conoscono il trucchetto, ma prima o poi capiranno 
anche quello.
Speriamo non perche ci leggono qui... :)
Hai un dominio?
Altrimenti potresti forzare utente e password conosciuti solo da chi 
configura il pc, tramite gpedit.msc.
Altrimenti cercare un software che preveda l'installazione di un client 
dedicato sul pc. (ho visto su sito wingate)
Oppure ancora associare ip con utente e nome pc.
Ciao,
ScriptJus 

 perchè a livello utente, si passano le utenze e le pwd
Non mi è mai capitato di vedere gente che si passano la password del
computer dando la possibilità ai colleghi di entrare nel loro pc
quando vogliono...
Comunque basta far presente che le password sono personali (a me pare
ovvio) e ognuno è responsabile per quello che fa quell'utente (e mi
pare altrettanto ovvio), inoltre ci metti 2 minuti a capire se c'è
stato un passaggio di password e a beccare il colpevole.


 Oppure ancora associare ip con utente e nome pc.
Ok, e il MAC dici che sia una fesseria?
No, perchè mi sarebbe molto più comodo e veloce da gestire.

 Hai un dominio?
in questi casi, secondo me un bel dominio � l'ideale. Si sfruttano gli
utenti di AD anche per la navigazione, la gente non naviga e nemmeno
se ne accorge.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non � da considerarsi pubblico,


 stato un passaggio di password e a beccare il colpevole.
Guarda, ti posso garantire che sono perfettamente d'accordo con te, e 
che a suo tempo, feci gli stessi ragionamenti che ora hai formulato tu.
Ma purtroppo mi son dovuto scontrare con una realtà nella quale la 
gente se ne sbatte, si passa le pwd, fanno quel cazzo che vogliono, mi 
inzozzano i pc di merda e poi si lamentano perchè non vanno.
Siccome ho più di 30 pc da gestire e mi son rotto i cocomeri, ho deciso 
che solo alcuni andranno su internet con CFS, ed altri solo sulla 
intranet. Gli studenti che si attaccano alla nostra rete, si attaccano 
al cazzo e addirittura non navigano nemmeno nella LAN aziendale.
Praticamente facendo l'aggiornamento del firmware dello zyxell, è 
comparso come per magia la gestione del "Binding MAC Address".
Con quello risolvo tutto e non uso il proxy.

 inosservati per un po' ma poi li becchi)
Sì questa è la teoria, poi se hai in ospedale degli studenti che si 
divertono, ad attaccarsi in rete con i loro portatili personali e a far 
girare qualche tools di "beccapassword", va da sè, che il tuo bel 
dominio con policy e pwd non serve più ad una fava.
Se invece inibisco l'accesso fisico alla LAN, mi sento un pò più 
protetto.
Sempre partendo dal presupposto che, il pc più sicuro del mondo, è 
quello spento. :-)

 diverso dalla scheda fisica della macchina sulla quale girano)
Ok, ma se i miei client hanno le policy che contrallano anche quando 
vanno in bagno, penso che non riescano a modificare i MAC, o mi 
sbaglio?

 Con quello risolvo tutto e non uso il proxy.
spero per te siano migliorati rispetto la serie precedente... io sono
anche partner zyxel, ma ho detto basta ai firewall zyxel (se non per
realtà veramente piccole).


 quello spento. :-)
ma tu devi far lavorare una lan...


 realtà veramente piccole).
Ecco questo è un aspetto molto importante, essendo il primo apparato 
che mi trovo a gestire.
Che problemi ti hanno dato?
Anzi, un primo problema che ho riscontrato è il fatto che sul content 
filter non posso impostare un "trusted site" con una sintassi tipo 
"google.*" o "indirizzoip/*". Posso solo dire "
google.it
" e quindi va 
da se che puoi andare su 
google.com
, 
google.es
 etc.....
Mentre su altri, tipo Junipeer, riesco ad impostarlo così, che a mio 
giudizio è molto meglio.

 ma tu devi far lavorare una lan...
e bè sì, altrimenti avrei fatto il pescivendolo, con tutto il rispetto 
per la categoria :)

 da se che puoi andare su 
google.com
, 
google.es
 etc.....
ecco... allora non hanno migliorato niente!! :-( 
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non � da considerarsi pubblico,


 scendi pi� nel dettaglio, tu cosa faresti?
te l'ho gi� detto, vlan, radius e 802.1x per iniziare, in questo modo
impedisco agli estranei di connettersi e posso separare il traffico.
Volendo posso anche automatizzare l'assegnazione della vlan sempre via
radius (quindi ospiti da una parte e utente da un'altra per es). Se
vuoi proteggere al massimo il traffico potresti poi usare ipsec per le
comunicazioni oppure se hai hardware e os adatto rimane nap...


 però non era nato per quello)
ti dirò, io spero che vada a finire in questa maniera, e cioè che abbia 
delle prestazioni davvero scarse per diversi motivi che ora non sto qui 
a spiegare.
ti dico solo che il fw da acceso con collegati 2 client che fanno 
traffico, mi usa il 45% di memoria, 23% di flash e 4% di CPU.

 traffico, mi usa il 45% di memoria, 23% di flash e 4% di CPU.
questo non indica nulla. Dipende da come č progettato e non č
strettamente legato al numero di client collegati (infatti la cpu č
molto bassa). Le policy di cf portano via un sacco di memoria poi
aggiungiamo tutte le altre... un aumento dei client connessi
probabilmente non porteranno ad un aumento proporzionale
dell'occupazione.
Inoltre mi pare anche che l'usg100 sia il piů piccolo della
famiglia...
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non č da considerarsi pubblico,


 famiglia...
Diciamo pure che è quello che "costa di meno", ma qui dovrei entrare 
nel merito ad una inutile e sterile polemica che di certo non interessa 
al pubblico che eventualmente ci legge.
Quindi ve la risparmio.