Newsgroup: it.comp.reti.locali
Titolo: Router Gateway, proxy squid e posta

Un saluto a tutto il NG
Ho un problema da porvi. Nella LAN dell'azienda c'e' un Router Cisco
(192.168.0.1) impostato come gateway nelle macchine Win98 per collegarsi
alla intranet della sede centrale.
IE e' configurato in modo da utilizzare un proxy, per ora W2K PRO, che
presto sara' SQUID (192.168.0.2) con una interfaccia eth0 e modem adsl.
Il primo problema e' che SQUID non fa passare i protocolli smtp e pop3,
quindi non si puo' ne' inviare ne' ricevere posta.
Il secondo problema e' che i sistemisti della sede controllano alcuni
clients da remoto con VNC.
Lo schema e' cosi (sperando che si impagini bene)
+------+        +------+
|PROXY |        |Router|
|W2KPRO|        |Cisco |
+------+        +------+
   |               |
+----+-------------+
|Hubs|
+----+-------------+
   |               |
+-------+         +-------+
|Servers|         |Clients|
+-------+         +-------+
Come posso far funzionare anche la posta e non impedire il controllo remoto?
Ho provato con l'opzione REDIRECT alla porta 3128 (SQUID) di iptables (ma
mandrake 9 sembra che non lo riconosca)
Avevo pensato, soluzione problematica per politica interna, di cambiare il
gateway dei clients con l'ip di linux e redirigere il traffico al router per
i server della sede e il resto su internet, ma avrei problemi con i
sistemisti della sede che controllano da remoto alcuni clients (e inoltre si
puo' spezzare il traffico in questo modo?)
In particolare come si pone iptables rispetto a squid? Se IE e' config. con
il proxy, le richieste vengono intercettate da iptables o vanno dirette a
squid e poi passano per iptables?
Perche' se arrivano dirette a squid la posta non potra' mai funzionare con
squid.
Come risolvo? Anche altre soluzioni sono bene accette
Grazie a tutti
Tagan

 mandrake 9 sembra che non lo riconosca)
il redirect viene correttamente riconosciuto, è solo che squid non supporta
il pop3...
devi usare qualche socks o simili, o magari usare linux come gw dei client e
poi, con una seconda scheda, collegare il router al server linux, che a
questo punto diventa un firewall.
in questo modo, puoi anche configurare tutti i tunnel che vuoi e permettere
gli accessi a chi deve controllare.
---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.427 / Virus Database: 240 - Release Date: 06/12/2002


Quindi mi dici che non e' possibile far passare il qualche modo la porta 25
e 110 sulla 3128.
Negli how-to ho scaricato quella del transparent proxy (dove ho esperienza
zero) e ho visto il comando
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j
REDIRECT --to-port 3128
e pensavo che si potesse fare una cosa simile (sempre se abbia capito bene
cosa signfica transparent proxy)
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 110 -j
REDIRECT --to-port 3128
nel senso: nel client il gw e' impostato con l'ip del router, i.e. con l'ip
del proxy. I pacchetti dalla eth0 sono filtrati da iptables che redirige
alla 3128 (almeno e' quello che ho capito io del transparent proxy).
Cmq linux mi dice che non riconosce l'opzione redirect, ma sicuramente
manchera' qualche backslash da qualche parte.
Se non si puo' fare altrimenti, si cambiera' il gw e dovranno adattarsi,
aggiungo qualche route add e il gioco e' fatto (Il router e' necessario
collegarlo direttamente a linux? Non puo' rimanere nell'hub? Anche se penso
che si creera' del traffico in piu' nella LAN in questo modo).
Grazie, ciao
Tagan

 alla 3128 (almeno e' quello che ho capito io del transparent proxy).
squid può fare da proxy SOLO ed ESCLUSIVAMENTE per il servizio web (http,
per intenderci) e ftp. se reindirizzi alla porta di squid (3128 nel tuo
caso, ma può essere qualsiasi cosa tu decida...) qualsiasi altra cosa, viene
scartata, dato che squid non è fatto per gestirla.
se gli mandi richieste per altri servizi, lui semplicemente le scarica, dato
che non sa come trattarle.
non è un limite di iptables o di squid.
iptables funziona, così come squid.
sei tu che devi usarli per quello per cui sono stati studiati e non per
altro.
:-)
