Newsgroup: it.comp.reti.locali
Titolo: isa + squid

Ciao a tutti,
ho un problema con l'attuale configurazione di rete.
In pratica il mio default gw è in server isa configurato per bloccare 
tutto il traffico verso l'esterno.
Tutti i pc/browser sono configurati per utilizzare un proxy (squid) 
installato su altra macchina.
--------             ---------           --------
|  ISA | <---------- | Squid | <------- | Utenti |
--------             ---------           --------
Questa configurazione funziona bene se la connessione internet viene 
usata per la navigazione; ma se devo lanciare installazioni (come ad 
esempio windows live, adobe flash, shockwave che effettuano 
l'installazione via rete) queste si bloccano...
Ovviamente tutto funziona se creo la regola per far passare il traffico 
attraverso il default gw.
Qualcuno può darmi qualche consiglio su come risolvere il problema e/o 
configurare meglio la rete?
Grazie mille

 configurare meglio la rete?
Semplice, elimina Squid. Non ti serve a niente, solo a consumare corrente.
 

 Semplice, elimina Squid. Non ti serve a niente, solo a consumare corrente.
ISA viene utilizzato per frontend exchange, pubblicazione www/ftp 
mentre squid per le funzionalità di
- content filter
- reportistica
- antivirus
Che io sappia fare tutta questa roba con isa (fatta eccezione per la 
reportistica che potrei usare un log analyzer) dovrei acquistare dei sw 
separati con dei costi abbastanza alti.
Su squid+dansguardian invece ho una decina di profili diversi; ognuno 
dei quali può accedere a delle categorie di siti distinte; aggiorno la 
classificazione siti con database (quasi) già pronti...

 separati con dei costi abbastanza alti.
Ah, beh, se è questione di soldi.....
 


è sempre (o quasi) questione di soldi :-d

 configurare meglio la rete?
Guarda i log o eventualmente manda un pezzo dei log (almeno di squid) per un 
evento bloccato. Adesso possiamo solo fare ipotesi dov' è il problema.

 evento bloccato. Adesso possiamo solo fare ipotesi dov' è il problema.
grazie, vado a vedere i log ed eventualmente lì posto... vi faccio sapere


forse ho trovato il problema....
in pratica sono comunque connessioni verso la porta 80; pertanto passano 
da squid.
Squid autorizza il traffico previa autenticazione dell'utente ma, in 
questo caso, il sw non tenta neppure l'autenticazione e probabilmente 
viene bloccato.
TCP_DENIED:NONE e TCP_MISS:DIRECT a fine riga

 TCP_DENIED:NONE e TCP_MISS:DIRECT a fine riga
Vi sono software che sono fatti con quell' apparato anatomico su cui ci si 
siede e non permettono la configurazione del proxy ad esempio, in quel caso 
si lavora di firewall (presumo ISA in questo caso) e permettendo la 
navigazione all' userAgent coinvolto!
Invece di permettere il download dai siti si permette la navigazione dell' 
applicazione. 
Es. 
...
...
acl agent browser client-da-sbloccare
...
...
http_access allow browser
la lista degli agent la dovresti trovare nel file della direttiva 
useragent_log file_log_agent_che hai inserito.
Ovviamente consultare il manuale di Squid ti aiuta molto di più di quanto 
possa io, perché più esaustivo.

 Ah, beh, se è questione di soldi.....
stessa riflessione che stavo facendo anche io; un caso classico
di tentativo di "nozze con i funghi"... tranne poi trovarsi nei casini
e venire a piangere tentando di trovare una soluzione... ovvio che
il tempo perso a tentare di risolvere il problema nonchè quello
perso per smanettare (in precedenza) tentando di risolverlo non
costano nulla ... no :D ?

 dell' applicazione.
bella caxxata, così chiunque potrà bypassare squid semplicemente
passando una stringa user-agent ad hoc ! Suvvia, un minimo di serietà !

 passando una stringa user-agent ad hoc ! Suvvia, un minimo di seriet� !
anche di praticità se serve si fa, spero sia libero di scegliere non crede?


sarebbe carino se si potesse richiedere autenticazione anche per gli 
agent; così ti appare la schermata di login e risolvo il problema.

 agent; così ti appare la schermata di login e risolvo il problema.
Sicuro che sarebbe carino, ma se l' agent in questione non accetta una 
configurazione del proxy non puoi nemmeno avere la schermata di login.
Ma una domanda: nella rete hai un DC?
Perché hai un' ulteriore possibilità che mi viene in mente:
se l' utente "tizio" da autorizzare, è un utente di active directory puoi 
provare ad eseguire una navigazione condizionata dall' autenticazione dell' 
utente stesso sul Domain Controller.

 utente stesso sul Domain Controller.
mmm intendi autenticazione integrata?

 
Si, si chiama così ormai.
Verifica che per la tua versione di squid ci sono i programmi atti a 
supportare il protocollo.


grazie, ci proverò... magari aggiorno anche la versione...
ancora grazie

 tranne che per l'IP dell'host su cui gira il "seppione" (squid)
se qualcuno si porta il pc da casa con emule installato in questo modo 
riesce a collegarsi... ??

 riesce a collegarsi... ??
ammesso che ISA e Squid siano configurati come si deve... NO


io "risolvevo" questo problema bloccando "tutto" il traffico diretto 
verso l'esterno e consentendo solo protocolli web via proxy... ma se 
vado a fare il contrario: consentire tutto il traffico verso l'esterno, 
tranne i protocolli web che passano dal proxy chiunque puï¿œ veicolare 
traffico sul gateway su porte non web....
per configurato come si deve a cosa ti riferisci in particolare?