Newsgroup: it.comp.reti.locali
Titolo: Chi risolve i nomi?

Ho un problemino di risoluzione e mi sorge spontanea una question...
[sono un po' confuso stamane ;)]
lo fa il client (NT/IE5) oppure il proxy trasparente (squid)?

 Lo fa dnsserver, di squid...
puoi essere piu' generico?
se non c'e' nulla tra IE e la connessione sara' obbligato a farlo IE sul
client giusto?
A questo punto come fa squid ad "arrivare prima" del client? quando i
pacchetti "escono" dal client e diventano quindi intercettabili da squid i
nomi dovrebbero essere risolti, giusto?
[lo so che e' sbagliato, altrimenti funzionerebbe ;)... ma non vedo
l'errore!]
grazie Michele

 ti chiami come me, anche Nicosia?? :)
naaa, paolo fiore
intendevo grazie a te michele per l'aiuto! ;)

 parametri autoconfiguranti wpad, dove e come collegarsi al proxy.
anche questa e' un'idea; se tolgo il default gateway in modo che non
riescano ad uscire rimuovendo a manina i parametri del proxy...

 regole.
come faccio a bloccare tutto?
si tratta sempre di traffico web, solo che c'e' una differenza ad andare su
www.alitalia.it
 piuttosto che 
www.perverso.com
 ;)
che faccio, 'na lista di siti accedibili? non mi passa piu'...

 che faccio, 'na lista di siti accedibili? non mi passa piu'...
neghi a livello di router l'uscita verso internet a tutte le macchine
escluso il proxy, e comunichi per iscritto in azienda che tutto il traffico
puo' essere loggato per motivi statistici, diagnostici, di sicurezza ecc ecc
e gia' che ci sei fai una minipolicy aziendale dove scrivi anche due cose
che anche se sembrano ovvie ma e' sempre meglio scrivere :
1) l'accesso ad internet e' consentito solo per lavoro
2) le mail non sono private ma aziendali
ovviamente il tutto va FIRMATO da tutti i dipendenti.
e vedrai quanta banda libera in piu' avrai sulla connessione ....

Ciao IH870!
Risposta ad un messaggio di IH870 a All:
 I> lo fa il client (NT/IE5) oppure il proxy trasparente (squid)?
Se usi squid di solito li fa lui.
Leo

Ciao IH870!
Risposta ad un messaggio di IH870 a All:
 I> come faccio a bloccare tutto?
 I> si tratta sempre di traffico web, solo che c'e' una differenza ad
 I> andare su 
www.alitalia.it
 piuttosto che 
www.perverso.com
 ;) che
 I> faccio, 'na lista di siti accedibili? non mi passa piu'...
Di solito a pagamento o meno precisi si trovano questi gruppi di IP da 
"vietare" per non avere allupati ....
Leo

 Se usi squid di solito li fa lui.
ho sniffato e ricollegamendomi ai msg sopra col Nicosia posso dirvi che lo
fa il client almeno "inizialmente"; si vedono chiaramente i due pacchetti
scambiati col dns.
[se la pagina contiene poi qualcosa da scaricare... non ho controllato
ancora! ;)]
occhio che il mio proxy e' trasparente

Ciao IH870!
Risposta ad un messaggio di IH870 a All:
 I> ho sniffato e ricollegamendomi ai msg sopra col Nicosia posso dirvi 
 I> che
 I> lo fa il client almeno "inizialmente"; si vedono chiaramente i due
 I> pacchetti scambiati col dns. [se la pagina contiene poi qualcosa da
 I> scaricare... non ho controllato ancora! ;)]
Se la risoluzione e' via DNS lo e' dall'inizio alla fine !
 I> occhio che il mio proxy e' trasparente
Questa come configurazione di solito non la uso.. me la studio !  
(appena ho tempo!)
Nelle configurazioni (per es porta 8080) che tra l'altro va bene anche 
come firewall la risoluzione lo fa Dnsserver per squid.
Leo

 come firewall la risoluzione lo fa Dnsserver per squid.
mi sembra logico, ma qui il browser _non_ sa che c'e' il proxy. pertanto
come dicevo la "prima" decodifica del sito digitato la fa il client xche'
c'e' nel mio caso settato un DNS speciale con un routing dedicato [1]. A
quel punto pero' parte la richiesta sulla porta www che viene ridiretta da
iptables a squid e quindi potrebbe anche prendersi carico delle successive
decodifiche.
Adesso funziona... mi sa che alla fine mi sono accavallato con dei problemi
IB; io pensavo di aver cannato qualcosa e loro mi avevano segato l'ambaradan
ciao
[1] sto usando un dsn non "pubblico" perche' abbiamo delle entry intranet,
ma mi sa che abbandonero' questa strada... devo solo aspettare che
l0phtcrack abbia finito sul BDC ;)

 Usa le views di bind 9, è meglio, è sicuro, è funzionale.
non e' in casa, ma gestito dalla casamadre a londra. sinceramente non so con
cosa, ma 99% direi Microsoft. E non so neppure come, so pero' per certo che
ci sono delle entry "intranet" come queste:
C:\>ping 
mail3.xyz.com
Esecuzione di Ping 
mail3.xyz.com
 [57.33.32.15] con 32 byte di dati:
C:\>ping xyznet
Esecuzione di Ping 
xyznet.xyzintl.com
 [192.20.20.65] con 32 byte di dati:
che tra l'altro sono pure IP pubblici riciclati :( [ricorda che ho due cdn,
intranet e internet]
alla fin fine mi converrebbe un file hosts... se avessi modo di spalmarlo
sui miei PC senza andarci fisicamente

 
ho una rete in cui i client hanno la porta 80 chiusa e possono uscire 
solo attraverso squid, ma se sconfiguro i dns sui client explorer non mi 
va più da nessuna parte e mi da errore.
Nella mia situazione sembra che la prima risoluzione venga fatta dal 
client e da li in poi tutte le richieste passino per squid.
dario
p.s.: firewall/proxy linux, server NT, client 95/98/ME/2000Pro