Newsgroup: it.comp.reti.locali
Titolo: IPCOP Proxy e firewall di windows

Ciao a tutti.
Ho implementato la seguente rete all'interno della mia associazione di 
volontariato per poter dare accesso a internet ai volontari.
Router Telecom -> Interfaccia red IPCOP -> Server IPCOP -> Interfaccia 
Green IPCOP -> Access Point e Switch di rete
L'obiettivo primario è impedire l'accesso a determinati siti quindi un 
content filter. Per questo ho messo tra il router e lo switch un server 
con IPCOP con installato COP+ per avere il Dansguardian e quindi il 
Proxy attualmente abilitato in modalità trasparente.
IPCOP fa anche da server DHCP.
Lo schema di rete è visibile a questo indirizzo:
http://snipurl.com/6uecl
A questo punto ho provato ad eseguire delle connessioni e ho scoperto 
quando segue:
- Portatile MAC OSX -> Nessun problema
Dopo ho voluto provare con altri PC Windows e sono cominciati i dolori.
Se il PC ha attivo il firewall di Windows o di terze parti come Norton, 
AVG firewall ecc... Risulta lentissima la navigazione. Per lento intendo 
l'apertura di google in 10 minuti. Se provo con il PING tutto OK, con 
tempi di risposta rapidi.
Nel momento in cui disabilità questi FW tutto torna veloce come sempre. 
Mentre se il FW in questione è zone Allarm non ci sono problemi.
Come mai? Come posso evitare ciò?
Stesso discorso anche se metto il Proxy in IPCOP non in modalità 
trasparente e imposto manualmente i parametri Proxy nei PC.
Grazie per i vostri suggerimenti.
Ciao
Sergio

 Come mai? Come posso evitare ciò?
la butto lì.. dovresti stabilire delle eccezioni per alcuni URL di 
questi firewall sul proxy. Però francamente non capisco perchè tener 
attivi quelle porcherie quando con IPcop, se ben configurato, hai un 
ottimo firewall per tutta la rete..
-- 
Ciao, Dmitry
I've a dream... bring usenet to every family 

 
ed ancora ad occhio credo che il problema sia proprio qui...

 Come mai? Come posso evitare ciò?
Disinstallando i giocattoli di cui sopra.
Che senso ha firewallare tutti gli apparati in una LAN ?
ciao, f.

 Che senso ha firewallare tutti gli apparati in una LAN ?
Nessuna e sono perfettamente d'accordo con voi. Infatti con i PC fissi 
dell'associazione sono stati disabilitati, ma il problema sono i vari 
volontari che arrivano con i loro portatili. Non posso dirgli di 
disinstallare quelle ciofeghe che hanno.
Per adesso ho messo l'avviso di disabilitare momentaneamente il FW del 
PC se si voglio collergare con la ns rete.
L'unica cosa è che volevo capire se era giusto questo comportamento o se 
avevo sbagliato io qualche impostazione del proxy.
Ciao
Sergio


Ma sinceramente ho provato a capire perchè capita questo ma non me lo
spiego
In rete infatti non ho trovato niente a riguardo, potrebbe esserci
qualche problema di config.
Ma visto che deve aprire una sola connessione verso porta 80 che viene
intercettata dal proxy non capisco dove può essere il problema, forse
i dns?
usando il proxy il dns non viene usato perchè fa il proxy la
risoluzione ma in trasparent prima viene fatta la risoluzione dal
client e poi nuovamente dal proxy
su che dns punti? dovresti puntare su quello di ipcop e se sei in dhcp
dovrebbe essere così.
Ciao

 dovrebbe essere cosě.
Confermo che per i PC il DNS č il proxy.
Infatti se eseguo un ping a 
www.google.it
 ho una risposta positiva in 
tempi di ms come č giusto che sia.
Ma se apro la pagina impiega 10 minuti di cronometro...
L'unica cosa che ho notato č che il FW di AVG mi bloccava le connessione 
provenienti da un indirizzo xxx.199 finale...
Penso che sia dovuto al proxy trasparente. Probabilmente questi FW 
(diversamente da zoneAllarm) non riescono a riconoscere che il traffico 
viene passato da un proxy. Ma di preciso di queste cose non me ne 
intendo molto...
Ciao
Sergio

 Sergio
Non mi è capitato e non ho trovoato in rete che sia capitato ad altri.
Da quello che sono il pc che cerca di collegarsi ad un sito passando
tramite un trasparent proxy fa la risoluzione del nome in ip poi avvia
la connessione verso quell'ip, viene poi dirottato dalla regola di
iptables su ipcop facendo un NAT verso il proxy che poi restituisce la
pagina, l'unica cosa che ci può essere che non va e che forse il
firewall si accorge in qualche modo della manomissione dei frames
(destination ip modificato e poi risposta da parte del proxy invece
che dal server richiesto).
Sarebbe da mettere in mezzo uno sniffer e vedere cosa c'è che non va,
puoi anche abilitare il log del firewall di xp per vedere cosa gli da
fastidio.
Vediamo se qualche esperto sa dare spiegazioni.
Adesso ho riletto il primo post che hai fatto ma il problema c'è anche
se configuri il proxy in modalità normale?
Mi sa che è ipcop che non funziona, io in quella modalità lo provato e
non mi ha dato questi problemi.
A una mia amica ipcop solo installando block out traffic non fa
passare più msn neanche se crea una regola che lascia passare tutto.
Non so perchè ma quella distro non mi piace, un firewall che non ha
neanche la possibilità da webconfig (senza dover impara iptables) di
creare le regole di in/out   senza installare un plugin non mi piace,
preferisco smoothwall.
Comunque credo che ipcop sta facendo qualche cosa di strano.
Ciao

 IPCOP fa anche da server DHCP.
Mah, non credo dipenda da IpCop.
Ad ogni modo prova a disinstallare COP+ ed usare l'accoppiata vincente 
Advanced Proxy + URL Filter

 Advanced Proxy + URL Filter
Proverò anche questa soluzione...
ciao
Sergio

 non mi ha dato questi problemi.
Anche in modalità normale è lo stesso...
Grazie lo stesso
Sergio