Squid Guard et server only

[romain138]

Bonjour,

J'aimerais savoir s'il est possible de faire fonctionner squidguard sur une SME 6 en mode server only.

Est ce que quelqu'un l'as mis en place ? Est ce impossible ??

Merci de votre aide.

[MasterSleepy]

Salut,

Oui tu peux l'installer sur une sme en mode serveur seul.
Le seul truc c'est que cela ne sert à rien vu que le traffic réseau ne passe pas par la sme pour sortir.

A+

[fraedhrim]

Hop !

Bah si. Si tu dis explicitement à tes clients d'utiliser la SME comme proxy.

A+

[romain138]

Merci de votre réponse.

C'est bien ce que je pensais.

Malheureusement, je ne peux pas changer la configuration des clients (en fait c'est pour une entreprise dont je ne suis pas le prestataire informatique pour le resau).

Après discutions avec mes maîtres (profs AFPA Toulouse, merci pat) il faudrait afin que tout soit transparent que la SME (ou autre distrib si SME ne sait pas faire) soit en mode pont, soit de niveau deux entre le routeur ADSL Oléane et le lan.

Donc je part dans cette optique. Je cherche si possible sous SME sinon, une petite debian s'impose.

Encore merci.

[fraedhrim]

Sous SME il va falloir traficoter pour faire un pont proprement et tu risques d'être limité par les interfaces non dédiées.

A ta place j'essaierai avec une distrib classique et une bonne interface web....

[romain138]

Bon j'avance :

Pour rappel ..

Le but est de filtrer (et surtout d'interdire) l'acces à certain site web sur un reseau ou je ne peux pas maitriser tous les paramètres.

Shéma :

proxy.societe --> oleanevpn --> ----- SME (7) ---- LAN


Le proxy.societe gère l'auth pour acces web (je peux pas modifier, j'ai pas accès)

Sur le LAN, les stations (150) se connectent avec login pass sur proxy.societe pré parametré via DHCP
Proxy.societe ne peux pas faire de filtrage

Ma petite SME à pour but d'être au milleu de tout ca et de filttrer le tout.

Pour sa configuration :

Mode server-gateway
Au démarrage, un petit script pour la transformer en bridge :

Code: Tout sélectionner


#!/bin/bash
ifconfig eth0 down
ifconfig eth1 down
brctl addbr pont
brctl addif pont eth0
brctl setageing pont 300
brctl stp pont off
brctl setfd pont 2
ifconfig pont up
brctl addif pont eth1
ifconfig eth0 0.0.0.0 promisc up
ifconfig eth1 0.0.0.0 promisc up
ifconfig pont 192.168.0.254 netmask 255.255.255.0 broadcast 192.168.0.255
route add default gw 192.168.0.1 pont



Dans cette maquette, proxy.societe à 192.168.0.1 pour IP

Installation et parametrage de dansguardian via ce génialissime howto http://distro.ibiblio.org/pub/linux/distributions/smeserver//contribs/rmitchell/smeserver/howto/dansguardian%20instal%20&%20configure%20HOWTO%20for%20sme%20server.htm

Alors, premier test depuis une machine du lan parametrer pour ce connecter sur le proxy.societe: 3128

Ok pour le web et l'auth

--> le pont marche bien

Ajout d'une regle IPTABLES (à mon avis c'est là que cela coince) afin d'intercepter tous les pasquets à direction de proxy.societe et de les passer sur ma SME

Code: Tout sélectionner

iptables -t nat -I PREROUTING --source ! 192.168.0.254 --destination 192.168.0.1 --protocol tcp --destination-port 3128 --jump DNAT --to-destination 192.168.0.254

Test de la même machine sur une fausse ur, par exemple WWWW.google.fr

C'est bien le squid de la SME qui répond que l'url n'est pas bonne

Donc la regle fonctionne bien.

Sauf que dansguardian ne rentre pas en ligne de compte .. .Parceque si je vais sur www.XXXXX.com il laise passer.

Alors je me dis que dansguardian n'est pas bien configuré.

Je change donc le proxy de ma station test en IPSME : 8080

www.XXXXX.com :

Acces Denied

cool il marche...

Mais pas comme je veux ...

Il y a un truc que je ne maitrise pas très bien c'est IPTALES, effectivement, dans ma régle je chope tout ce qui passe sur le fil à destination de 192.168.0.1 sur le port 3128 pour revoyer la capture sur le pont (la SME) mais ... je ne sais pas préciser le port de destination, 8080 ...

J'ai essayé :

Code: Tout sélectionner

-dport 8080


Mais ca ne marche pas

Si vous avez une idée ...

Dans tous les cas, je ne vais pas lacher le morceau jusqu'à réussite, donc promis un mega beau Howto en mode pas à pasest en cours de construction ...

@ ++