Dotaz: připojení jen přes proxy

[rakole]

Mám takový problém, mám jedno PC na kterém je přímé připojení k internetu. Potřeboval bych ho nakonfigurovat tak, aby se prohlížeč dostal k internetu jen přes proxy (kvůli filtrům stránek). Proxy (SQUID) mám již nainstalovanou a spuštěnou.Nevíte někdo jak na to?

Odpovědi

[Pantera]

viz Google

[Jiří Poláček]

O co jako jde? Aby si uživatel v prohlížeči nemohl změnit nastavení proxy?

[rakole]

přesně tak

[Jiří Poláček]

Tento problém jsem také řešil, zjevně ale pro jiné podmínky – mám pod kontrolou stanice, kde uživatelé nemohou měnit softwarové vybavení. Konkrétně pro prohlížeč Konqueror jsem objevil kouzelnou direktivu $i v konfiguračních souborech KDE, díky které uživatelé nemohou měnit globální nastavení ...

[rakole]

zkoušel jsem tenhle postup (http://www.penguin.cz/print.php?id=1003), ale nezadařilo se

[morčátko]

http://usenet.jyxo.cz/cz.comp.linux/0302/iptables-redirect-target-pre-lo-interface.html

rozjet transparentni proxy server
tj. do squidu vlozit:

httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on

a potom bych asi modifikoval ten prikaz, ktery je uvedeny dole v te diskusi, neco jako

iptables -t nat -A OUTPUT -p tcp --dport 80 -j REDIRECT --to 8080

(i kdyz pocitac neslouzi jako nat-router, tak by to melo podle te diskuse fungovat, nat pro lokalni proces..)

[wake]

no,, ale tohle skonci v czyklu nekonecznem (kamse presmeruje dotaz z proxy ?? ) spravne je:

iptables -t nat -A OUTPUT -p tcp --dport 80 -j ! --cmd-owner squid REDIRECT --to 8080

prislusne upravene pro vasi lokalni lokalitu.

[morčátko]

ano, ano :)) také jsem si všiml, že to nefunguje... omlouvám se za dezorientaci, ale snad to bylo aspon nejaké nakopnutí... :)

[rakole]

omlouvám se nejsem moc znalej IPTABLES, ale co znamená to --cmd-owner squid

[wake]

 ! --cmd-owner squid 

znamena, ze (navic k ostatnim podminkam) nematchnou pakety vyslane procesem squid. chce to nejakou podporu v jadre. o neco slabsi je

 ! --uid-owner <uid> 

, kde nematchnou pakety vyslane procesem spustenym pod <uid>. Dale viz man iptables.

[rakole]

Když dám do konsole tohle: iptables -t nat -A OUTPUT -p tcp --dport 80 -j ! --cmd-owner SQUID REDIRECT --to 3128 tak mi to vyhodí jako neznámý arg. --cmd-owner, mám to dobře syntakticky? Nebo mi opravdu chybí v jádře nějaká podpora? Mám mandrivu 2006 free CD, na tohle jsem asi fakt pako, díky za trpělivost

[mor48tko]

spravny zapis je myslim tento:

iptables -t nat -A OUTPUT -p tcp --dport 80 -m owner ! --cmd-owner squid -j REDIRECT --to 3128

[rakole]

díky všem za svatou trpělivost, s tímhle už to funguje jak má, ještě jednou DÍKY

[morčátko]

tak tak bohuzel jak vidno, mam smulu...

OWNER match v1.3.3 options:
[!] --uid-owner userid     Match local uid
[!] --gid-owner groupid    Match local gid
[!] --pid-owner processid  Match local pid
[!] --sid-owner sessionid  Match local sid
[!] --cmd-owner name       Match local command name
NOTE: pid, sid and command matching are broken on SMP

kernel 2.6.15.4 - --cmd-owner mi tu nefunguje :(

vypisuje invalid argument, v kernelu podpora pro -m owner je... :// ale co, ja to nepotrebuju jako tazatel :))

[wake]

zkus to s --uid-owner, predpokladam, ze squid ma sveho vlastniho usera.

[wake]

no, u vas se porad jeste muze chytit uid, pri jen trochu pricetnem systemu (tj, squid ma vlastniho usera). pokud teda mate smulu protoze SMP..

[mor48tko]

ten muj squid (balicek ze slackware 10.2) vlastniho usera nemel, ale udelal jsem mu ted usera "squid" ;) a zda se ze to funguje, jen mam jeste nejaky problem s konfiguraci squida, pise mi access denied, pokud chci jit v linksu na net, takze si s tim jdu pohrat, asi neco v nastaveni.... pricemz pristup na apache na tom samem stroji v linksu odhaluje remote_addr 10.0.0.1 a soucasne i x-forwarded-for ukazuje 10.0.0.1 takze aspon na tomhle to funguje:)

[Tyfus]

Dejte si vsichni pozor! --cmd-owner squid jde snadno oblafnout:
udelas si symlink nebo kopii binarky (libovolne) u sebe v adresari a pojmenujes ji squid.
Dokonce i kdyby v iptables bylo --cmd-owner "/usr/sbin/squid" tak si uzivatel u sebe v homu muze udelat ~/usr/sbin/squid a zase pravidlo propusti.
Kdo neverite, si to zkuste sami.
--cmd-owner je podle me nebezpecne designem. A navic ten parametr ma max 16 znaku, takze skoro na nic.
Potreba pravidlo resit pres uid.

[morcatko]

pravda pravda, bezpecnostni riziko... uz mi to jede s uid jen pro squid:)

[wake]

..kuju, 'sem ani nevedel, i kdyz od jiste chvile (deb->gentoo) jedu na uid.