Newsgroup: it.comp.reti.locali
Titolo: Utilizzo del proxy dall'esterno

Ho installato una piccola rete casalinga e condivido la connessione ADSL
nel classico modo previsto da windows xp. Poichè ho la necessità di dover
connetermi ad internet anche stando fuori sede ho installato un proxy
(gatekeeper) sul PC principale ed il tutto funziona alla grande.
Naturalmente ho necessità di conoscere l'ip dinamico che l'isp mi assegna
per raggiungere il proxy ma per questo ho già risolto.
Vi chiedo se è possibile proteggere il traffico tra il client remoto ed il
proxy server con un connessione ssl e quali proxy lo prevedono. Tenete
presente che utilizzo windows xp.
Gatekeeper prevede la connessione cifrata ma credo che riguardi il
traffico verso i siti protetti e non quello all'interno della lan. Il
client remoto che si connette al proxy credo che si debba considerare come
facente parte della lan (si chiama rete virtuale se non sbaglio?) e quindi
il traffico viaggia in chiaro.
Potete darmi qualche consiglio?
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Potete darmi qualche consiglio?
interpretando quando scrivi in un senso probabile visto il
contesto direi che dall'esterno vuoi connetterti a uno dei
pc interni "passando" attraverso il prodotto che citi piu`
che "rimbalzare" e presentarti da qualche parte con il suo
ip, giusto? (e` il
 > Poichè ho la necessità di dover
 > connetermi ad internet anche stando fuori sede ho installato un proxy
 > (gatekeeper) sul PC principale ed il tutto funziona alla grande.
a lasciarmi comunque perplesso, 'sto affare ti fa anche da
proxy http senza autenticazione x client esterni? spero di
no, vero?)

 donato3245 ha scritto:


L'autenticazione può essere abilitata poichè gatekeeper lo prevede ma non
è questo il problema. Vorrei che il traffico tra il client remoto ed il
proxy sia cifrato anche se poi il proxy permette la navigazione verso i
siti non protetti. Vorre sapere se esistono dei proxy da installare che
possono fare ciò.


 possono fare ciò.
Beh.. puoi usare IPSec, oppure ad esempio
http://www.winton.org.uk/zebedee/
 spero che
in ogni caso il proxy sia posto _dietro_ un
packet filter o firewall che sia ...
Ciao
-- 
* ObiWan
Microsoft MVP: Windows Server - Networking
http://www.microsoft.com/communities/MVP/MVP.mspx
http://mvp.support.microsoft.com
DNS "fail-safe" for Windows clients.
http://ntcanuck.com
408+ XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 possono fare ciò.
non con un proxy ma con altri sistemi (continua a sfuggirmi il
senso della cosa, cifrare un canale che poi da proxy in avanti
e` in chiaro), un tunnel non incasina la vita, e` flessibile e
va benissimo, p.e. con lo zebedee proposto da obiwan, che pone
una questione che invece dalla tua mi pare chiara, la macchina
col proxy/condivisione della connessione e` quella esposta, il
che non e` proprio bello



Hmm... posso capire la richiesta di cifratura; supponi che il proxy
usato accetti le credenziali (autenticazione) "in chiaro" ovviamente
questo potrebbe rappresentare un problema; senza considerare
che la connessione al proxy in questione potrebbe avvenire
passando attraverso una LAN "non affidabile" per cui eventuali
dati (accessi webmail, ecc..) potrebbero essere intercettati
Il vero problema, come giustamente hai scritto, è il fatto che il
proxy sembra essere esposto ad internet senza un minimo di
protezione (packet-filtering) il che rende pressochè inutile tutto
il discorso del canale criptato ...
Ciao

 donato3245 ha scritto:


Capisco che la cosa può sembrare alquanto strana eppure quello che chiedo
è proprio questo, cioè avere un traffico sicuro tra client remoto e proxy
server, non importa che poi il proxy esce in chiaro e senza alcuna
protezione. Su quest'altro aspetto poi ci penserò, per il momento mi
interessa sapere se vi sono proxy che consentono di ottenere questo.
Zebedee non lo conosco ma leggendo un pò in rete ho capito che faccia un
tunneling su una porta e cripta tutto il traffico che vi ci passa. La cosa
potrebbe essere interessante ma vorrei che sul client remoto non vi fosse
installato null'altro, ma solo l'IE che permetta la connessione SSL con il
proxy.
Sicuramente conosci il sito di "
autistici.org
" che consentiva un tempo di
utilizzare il loro proxy attraverso una connessione sicura. Ebbene appena
ti ci collegavi ti scaricava il certificato e da quel momento tutto il
traffico tra il client ed il loro proxy era protetto. Non importa se poi
si andava a  chiedere una pagina di repubblica o di yahoo, l'importante
che nessuno, tra me ed il proxy, poteva intercettare la mia navigazione.
Spero di aver spiegato bene il problema con quest'esempio.


 interessa sapere se vi sono proxy che consentono di ottenere questo.
da' un'occhiata a 
www.stunnel.org
, con squid e stunnel l'ho
fatto, con stunnel+prodotti commerciali non ho esperienza

 donato3245 ha scritto:


Bene, ti ringrazio per la dritta.
Stunnel dovrebbe fare al caso mio.
Mi sono procurato il software, ho capito la filosofia di come lavora
ma adesso ci sto sbattendo la testa sul certificato.
Ho installato OpenSSL per windows ed ho fatto i primi tentativi per creare
il certificato. Una volta avviato stunnel mi da un errore di lettura sul
certificato.
Potresti indicarmi come hai fatto per generarlo correttamente e far partire
stunnel in modalità server? Dove potrei trovare dei certificati già fatti?
Grazie.


 Grazie.
Nel frattempo ho ovviato al problema e mi sono procurato un certificato
già fatto. Ho avviato stunnel sul server e sul client secondo queste
configurazioni:
SERVER
debug=5
cert = c:\stunnel\cert.pem
client=no
output=stunnel.log
[Proxy]
accept=3129
connect=
192.168.0.1:3128
delay = no
CLIENT
debug=5
client=yes
output=stunnel.log
[Proxy]
accept=3128
connect=localhost:3129
delay = no
Nessun errore alla partenza.
In IE del client ho impostato il proxy dandogli localhost e 3128.
Il proxy server accetta connessioni dalla LAN dall'indirizzo 192.168.0.1 e
da internet (le prove le ho fatte da LAN ovviamente).
Risultato: non succede niente!
Ho provato con uno scanner per vedere le porte utilizzate ma sia sul
client che sul server risultano impegnate solo le 3128. Le 3129, che
dovrebbero essere impegnate per il tunneling risultano libere.
Il tutto sembrava facile all'inizio... sigh!


 (le prove le ho fatte da LAN ovviamente).
andando di fretta mi sono perso un paio di volte nelle tue parole,
ma non mi agevoli il lavoro di comprensione :)
tu ti vuoi connettere ad un pc in internet su cui ci gira un proxy
(chiamiamolo server) da un altro pc con ip pubblico (aka client) x
cui
1) il tunnel va creato verso il server, che senso ha un connect su
se stessi sul client? se leggi il log vedi che con la tua conf non
si connette da nessuna parte, non c'e` nulla sulla 3129 del client
2) il server/proxy deve accettare connessioni sulla porta "accept"
ma dall'esterno, che lo faccia dalla lan non basta
le relative questioni di sicurezza ti sono poi chiare?

 > cert = c:stunnelcert.pem






Hai ragione, c'era un errore sulla configurazione del client, me ne ero
accorto anch'io. Il connect deve avvenire con il PC server che in questo
caso ha l'indirizzo interno 192.168.0.1. Ho corretto e finalmente mi
funziona tutto. Ho notato inoltre che sul server occorre per forza
specificare l'indirizzo di rete mentre leggendo su internet alcuni
ritengono che era sufficiente mettere localhost (in questo caso sto
parlando del server). Questo mi complica un po le cose ma non è un
problema insormontabile.
Quando dicevo che le prove le ho fatte "da LAN" volevo dire che tutti i
vari tentativi di connessione le ho fatte utilizzando due PC collegati in
rete (interna). Il traffico generato tra i due PC ora avviene con
connessione cifrata. Non mi resta adesso che provare quello che in realtà
mi interessa, cioè connettere un client che dista parecchi chilometri
attraverso internet per poi uscire nuovamente su internet (scusa il gioco
di parole). Ora mi richiederai a che serve tutto questo se con il client è
possibile già navigare liberamente? Il motivo è che essendo il PC
collegato su un'altra LAN dove qualcuno sniffa il traffico sulla rete ho
pensato bene di premunirmi con una connessione sicura fino al PC remoto
che fa da proxy. Da quel punto in poi non mi interessa più che il traffico
sia cifrato e non mi creo nemmeno problemi di sicurezza. L'obiettivo è
quello di salvaguardare solo una "tratta" a rischio.
Domani proverò la connessione remota. Mi interessa provare anche con VNC.
Ti ringrazio per i tuoi consigli.


 Domani proverò la connessione remota.
il pc server deve ovviamente accettar connessioni
da remoto sulla porta usata da stunnel, occhio ai
problemi di sicurezza, come detto e ripetuto (con
la tua configurazione userei un tunnel ssh credo)