Dotaz: Squid a restrikce vuci uzivateli, nikoliv IP

[Vlastimil Brezina]

Dobry den, mam nastaveny Squid jako transparentni proxy. Mam nastaveny ACL restrikce na urcite IP adresy, tzn. blokace stranek a klicoveho obsahu. Vse funguje bez problemu. Jak ale omezit primo konkretniho uzivatele, nikoliv jen IP. Mam centralni uloziste uctu na LDAP serveru. Tzn. chtel bych blokovat obsah pepovi, at se prihlasi z jakehokoliv PC, nikoliv jen urcitou IP. Dekuji za pomoc.

Odpovědi

[Filip Jirsák]

Zrušte transparentní proxy a udělejte z toho normální proxy, u kterého zapnete přihlašování uživatelů.

[Vlastimil Brezina]

Děkuji,doporučil byste mi nějaké "jednoduché" (Debian) howto, nejlépe v češtine?

[Filip Jirsák]

Tady jsou nějaké příklady konfigurace (v angličtině): Configuration examples: Authentication. Pro české návody se zkuste porozhlédnout tady na Abíčku nebo na Root.cz.

[NN]

Pokud uzivatele v AD preradis do skupiny ktera nebude mit ve squidu nakonfiguovany pristup pres LDAP helper, tak by to slo a bylo by to i transparentni.

Squid LDAP

NN

[Filip Jirsák]

tak by to slo a bylo by to i transparentni

To těžko. Transparentní proxy server je proto transparentní, protože o něm prohlížeč neví. A když o něm neví, nemůže mu posílat žádné informace (třeba o uživateli).

[NN]

Myslim, transparentni pro bezneho uzivatele tzn. by se pouze presunulo konto do jine skupiny. Myslim ten proces blokace uzivatele.

NN

[Filip Jirsák]

Jak se transparentní Squid dozví, od kterého uživatele je ten který požadavek?

[Pindal]

Letošní spotřeba koulí bude obzvláště vysoká

[NN]

Ja mluvim o procesu blokovani ne o typu proxy.

NN

[Filip Jirsák]

Aha. Takže nic k dotazu.

[NN]

K dotazu jsem uz reagoval, jen nechci aby doslo k nedorozumneni.

NN

[Filip Jirsák]

Jenže ta vaše odpověď nebyla k dotazu. Tazatel nemá zprovozněné přihlašování uživatelů ke Squidu a má Squid nakonfigurovaný jako transparentní proxy. Takže musí z transparentního režimu přejít na normální proxy, a pak zprovoznit přihlašování uživatelů.

[Bilbo]

Např. se spustí na všech mašinách odkud se může pepa připojovat identd. Squid se nakonfiguruje aby se ptal ident (ident_lookup on) a nakonfiguruje se tam pak patříčné omezení. Sice se zvýší trochu latence (Squid pošle ident request a čeká na odpověď), ale jelikož ident jde po lokální síti, tak si toho nejspíš nikdo nevšimne.

[Filip Jirsák]

To ale funguje jen za předpokladu, že je na počítači přihlášen jen jeden uživatel, a hlavně že máte pro daný systém službu identd k dispozici a že vrací správné údaje. Pokud máte v síti počítače s Windows, nebo se tam můžou připojovat počítače, které nemáte ve správě, tenhle způsob se použít nedá.

[Bilbo]

identd funguje i s více přihlášenými uživateli (ident protokol vrací uživatele na základě dvojice portů - zdrojového a cílového + IP adresy toho kdo se ptá), jak jste přišel na to, že to funguje jen s jedním?

A ani počítače s windows nejsou problém - jen na sourceforgi jsem našel asi 3 různé identd servery pro Windows (počítám jen ty co neposílají fake údaje ale skutečné), např. http://sourceforge.net/projects/identdwin/

Předpokládám, že pokud tam jsou nějaké stroje z MacOSX tak ani to nebude problém (má to střeva z BSD, takže identd bude možná dokonce i v základu)

Jediné co je problém (identdem neřešitelný) jsou počítače ve vlastní správě (tedy uživatel má na systému roota nebo administrátora), pokud ale takové počítače nejsou (nebo případně pokud jsou, ale je přijatelné řešení např. tyto od proxy odstřihnout), nasazení nic nebrání.

[Filip Jirsák]

Některý z těch ident serverů pro Windows jste zkoušel? Možná už je situace jiná, ale před pár lety nebyl použitelný žádný.

[Bilbo]

Nezkoušel, síť s Windows neprovozuji, takže netuším jak moc kvalitní jsou ty servery. Předpokládám, ale že nějaký použitelný by mohl existovat (byť to třeba nebude na sourceforgi) a v tom případě by to k řešení vést mohlo, nicméně jelikož tazatel ani neřekl co za počítače tam v síti má (jestli Linuxy, Windowsy, BSD, Macy, nebo nějakou směsku), tak to nebudu zjišťovat (pokud tam má třeba jen Linuxy a BSD, tak vcelku není co řešit a identd půjde bez problémů).