Dotaz: Routovani, vhodna distribuce

[magla]

Ahoj, Chci se zeptat jaka distribuce je nejvhodnejsi pro nasledujici funkcionalitu a infrastrukturu:

Segment site o max 250 ip adresach, vysici na jedne gateway (sitovce eth0) a dále další sitovka s konektivitou do inetu(eth1). Potrebuji nasledujici sluzby: router, firewall, www server, authentifikacni a autorizacni sluzbu (radius, ldap, ...). A nakonfigurovat to takovym zpusobem ze, pri routovani to musi byt pri neauthentifikovanem pozadavku redirekce na lokalni www (zadani hesla a jmena), po authentifikaci (zadano pres www) se otevre firewall a je umozneno spojeni (routovani) mezi obema sitovkama, samozrejme smerem eth0-> eth1 .

Dik

Odpovědi

[Michal Kubeček]

Jakákoli, se kterou si dobře rozumíte. Rozumnější odpověď nedostanete, i když se vám tu během dvou dnů vystřídají skalní fanoušci jednotlivých distribucí a všichni vám vysvětlí, že objekt jejich citů je ta jedině správná volba pro vaši situaci, což by vám napsali tak jako tak, bez ohledu na to, na co byste tu instalaci potřeboval… :-)

To, jak popisujete ten požadavek na routing po autentizaci, vypadá trochu divně a moc mi to nedává smysl. Ale možná jste to jen zmateně popsal.

[Zdeněk Burda]

Předpokládám, že chce udělat něco jako dashboard pro povolení provozu ven z lokální sítě...

[Michal Kubeček]

To mne celkem napadlo, ale některé věci mi tam poněkud nesedí (pominu-li jazyk):

pri routovani to musi byt pri neauthentifikovanem pozadavku redirekce na lokalni www (zadani hesla a jmena)

Mám tomu snad rozumět tak, že pošle-li (neautentizovaný) klient DNS dotaz (nebo třeba ICMP echo) na ns.vol.cz, bude tento dotaz přeposlán webovému serveru? A když už se tedy klient autentizuje a je mu povolen přístup ven, jak ten router vlastně pozná, že jeho "propustka" vypršela?

Zdá se mi, že tazatel pracuje v modelu, kde Internet = web + mail (kterýžto obstará lokální MTA/POP3 server, takže ho můžeme pustit z hlavy). Takže mám pocit, že by pro něj bylo nejlepší nepovolit IP forwarding vůbec a na serveru nainstalovat squid s autentizací.

[magla]

hi, :), mne zajimaji pouze http pozadavky (WWW), jinymy slovy, klient ze site eth0 pozada o adresu (ktera neni lokalni, napr. www.abclinuxu.cz) a na firewalu je zjisteno ze tento klient neni authentifikovan (probehne redirekce na www stranku kde ma klient moznost zadat jmeno + heslo a odeslanim je overena identita a naslednou autorizaci(na pravo) otevren firewall ), po autorizaci je firewall otevren a uzivateli dostupne venkovni www stranky. Pokud uzivatel se neautetifikuje nebo se autenfifikuje spatne, tak ma napr. pristupnou pouze stranku (na jakou je provedena redirekce) kde muze zadat svoji identitu, uff. Jde mi o to zdali v linuchu existuje firewal kteri umi napr. funcionalitu redirekce (neco podobneho ma ISA 2004 od m$), kdyz pozadavek nebo stroj je neautorizovany, tak puvodni presmeruje na danou WWW kde probehne overeni identity. JInak pokud nebude provedeno overeni, veskere pozadavky (napr. port 25 - smtp) skonci "v propadlisti firewallu".

dik

[Michal Kubeček]

Jak už jsem napsal výše: pokud vám jde opravdu jen o HTTP, pak bude daleko vhodnější nepouštět ven vůbec nic a dát tam squid s autentizací. V daném případě bych to považoval za podstatně praktičtější řešení.

[magla]

bohuzel dashboard nevim co je, a nechce se mne to googlovat :)

[magla]

Mozna ano, jde mi o to ze firewall nepusti k routovani neautorizovany pozadavek :)

dik

[Michal Kubeček]

Ještě dodatek: otázka by možná měla spíš znít, kdo je vhodný systémák, který takový server bude dávat dohromady (je-li určen pro ostrý provoz). A jestli to, co je psáno kurzivou pod dotazem není jen falešná skromnost…

[Michal Kubeček]

Koukám, že poslední věta nechtěně vyzněla trochu dvojsmyslně (a navíc je v ní hrubka). Takže oprava:

A jestli to, co máte kurzivou pod dotazem, není jen falešná skromnost, pak…

[magla]

Ještě dodatek: otázka by možná měla spíš znít, kdo je vhodný systémák, který takový server bude dávat dohromady (je-li určen pro ostrý provoz). A jestli to, co je psáno kurzivou pod dotazem není jen falešná skromnost…

to ne prosim pekne, jsem opravdu BFU. mozna neco znam neco ze sveta m$ a dokazi to teoreticky aproximovat na linux ale to je tak vse :)

[hates]

nehledas nahodou neco takoveho ????
eduroam

[hates]

nebo me jeste napada treba starOS nebo monowall. StarOS to umi urcite vyzkouseno a monowall se mi zda to ma taky

[magla]

ano prosim to je ono, ale jak to zprovoznit ? diiky

[hates]

mysliš jak zprovoznit ten eduroam ??? je tam k topmu napsany cely postup. A jestli myslis starOS tak tam to staci zaskrtnout a vyplnit nejake kravinky i kdyz pri nastavovani starOS musis mit uz potuchy neco o sitove terminologii a jak se to vlastne bude chovat. Osobne bych ti doporucil nainstalovat si ten eduroam

[magla]

ok, zkusim tedy ten eduroam, jakmile budou nake vysledky, tak je zde zverejnim, diky

[Michal Kubeček]

Uff, právě proto jsem to dodatečně upřesnil. Chtěl jsem tím říci toto: jste-li opravdu BFU, nebo řekněme uživatel, který toho o problematice moc neví (což podle vlastních slov jste), není rozumné pouštět se samostatně do konstrukce podobného řešení pro ostrý provoz. Ale to je samozřejmě na vás…

[magla]

:), BFU linux, o tom "druhem" neco malo vim, i kdyz jen zhlediska programovani :)

[Petr L.]

Nemám s Routováním velké zkušenosti, ale používal jsem internet naroutovaný pomocí Slackwaru. Je poměrně rychlý a nenáročný na hardware - jelo to na P166 a instalace a nastavovaní bylo velice jednoduché.

[Michal Vyskočil]

Otevíráš starou diskuzi, tohle se řešilo v půlce července.

[kralyk z abclinuxu]

CDRouter linux

www.wifi.com.ar

[wcs]

a nehleda nahodou tazatel neco co je funkcne podobne "captive portalu" nebo pripadne to je primo "captive portal" :) aspon myslim ze se to tak jmenuje. v monowallu to je, pouziva se to hlavne na wifiny pro pristup na web - nejdrive autentikace pres www rozhrani (moznost bud jmeno/heslo nebo predplacenky - user zada cislo kuponu) ... pripadne v googlu hledat captive portal