Pb config pour Proxy FAI

[baalserv]

Bonjour et bonne année à tous

Je rencontre quelques difficultés pour configurer ma Sme derrière le proxy Squid d'un FAI français obligatoire pour certains de mes clients.
Je vais m'efforcer d'être aussi explicite qu'il me sera possible:)

Ce FAI propose 2 solutions de raccordement différentes: appelons les R1 et R2
R1: modem/routeur Bintec adsl ou sdsl, 1xWan et 1xLan --> proxy avec auth user/pwd
R2: 1xWan oléane + 1xWan Sfr, 1xLan et bientôt possibilité de 1xDmz; les requêtes Http doivent traverser le proxy mais il n'est plus demandé d'auth par user/pwd, ceci étant géré par leur routeur.

Mon serveur est actuellement en phase de test sur un site avec 4 utilisateurs, il est derrière une connexion de type R2 ; pour l'instant il n'est là que pour de la messagerie, récupération des mails sur des boites pop du FAI et envoie des mails des utilisateurs. Sont but étant d'assainir et d'optimiser le trafic sur Lan et Wan ainsi qu'un filtre anti-spam interne plus restrictif mais plus adaptable.

Mon problème est le suivant:
Comment configurer Sme pour qu'il accède au net au travers de ce proxy incontournable
J'ai trouvé différents posts traitant de ce sujet mais mon problème persiste.
http://forums.contribs.org/index.php/to ... #msg216160
http://wiki.contribs.org/DB_Variables_C ... 28squid.29

J'ai donc fait ceci:
I found another option about this item on this forum too. I'll try both.

config set SquidParent proxy.domainefai.fr
config set SquidParentPort 8080
signal-eventg post-upgrade
signal-event reboot

Je n'ai pas modifier les valeurs par défaut des variables : TransparentPort et Transparent

voici l'édit de mon squid.conf après ces modifications:

http_port 192.168.100.5:3128
http_port 127.0.0.1:3128
udp_incoming_address 192.168.100.5
udp_outgoing_address 0.0.0.0
cache_peer proxy.notaires.fr parent 8080 7 no-query default
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localsrc src 127.0.0.1 192.168.100.0/255.255.255.0
acl localdst dst 127.0.0.1 192.168.100.0/255.255.255.0
acl SSL_ports port 443 563
acl Safe_ports port 21 70 80 81 119 210 443 563 980 1024-65535
acl CONNECT method CONNECT
acl webdav method PROPFIND TRACE PURGE PROPPATCH MKCOL COPY MOVE LOCK UNLOCK
pid_filename /var/log/squid/squid.pid
logfile_rotate 0
append_domain .cfls.priv
cache_mgr admin@cfls.priv
ftp_user nobody@cfls.priv
extension_methods REPORT MERGE MKACTIVITY CHECKOUT
http_access allow manager localsrc
http_access deny manager

http_access deny CONNECT !SSL_ports
http_access allow localsrc
http_access deny all

httpd_accel_host virtual
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
icp_access allow all
miss_access allow all

store_avg_object_size 3 KB
always_direct allow webdav
always_direct allow localdst
always_direct deny all
never_direct deny localdst
never_direct allow all
-------------------------------------------------------------------------

Toujours pas d'accés au net.
J'ai trouvé sur un post de ce forum une commande qui m'a bien aidé mais ne solutionne pas complètement mon problème :
Code:
export http_proxy=http://proxy.domainefai.fr:8080

je peux avec faire des: wget, yum update, ... mais Clam ne se met pas à jour (même manuellement). De plus au bout d'un temps indéterminé, il faut relancer la commande car ce n'est plus actif.
Je n'ai pas de problème de pop ni de smtp car ils sont hors proxy.

Mais, car il y a un mais , la solution de connexion R1 du FAI m'inquiète un peut plus car il faut en plus s'auth par user/pwd et je n'ai vu nulle par de variable pour les spécifier.

Peut être que certains ont rencontré ce soucis et pourraient m'apporter une aide précieuse
Je suis preneur de toutes vos propositions et reste disponible pour des tests.

Cordialement

[sibsib]

Hello,

Un peu au pif, je n'ai pas cet environnement...

1) Toute la partie configuration de Squid implique que tes reqûetes passent par squid ! C'est le cas par défaut sur SME pour les clients du LAN (si tu est en server&gateway), et encore, uniquement pour les connexions sur le port 80. Si tu veux être sur que tout passe par le proxy, il faut configurer le navigateur (ou laisser le mode configuration automatique, dans ce cas le client va chercher tout seul le fichier de conf sur SME).

2) Par défaut, le serveur SME lui même n'utilise pas le proxy local. Il faudrait donc que tu positionnes ta variable http_proxy ainsi :

Code: Tout sélectionner

http_proxy=http://localhost:3128

3) si cette solution est satisfaisante localement, il te faut encore la généraliser en modifiant les scripts d'initialisation de tes users ( dans les fichiers genre /etc/profile -nom à vérifier, je m'emmèle souvent entre différentes variantes d'Unix) et, un peu plus délicat pour tes scripts.
Dans le cas précis de l'update clamav, il devrait être possible de forcer cette variable dans le premier script(dans le sens celui lancé par cron), mais ce script risque d'être écrasé à la première mise à jour. De plus, si le problème se produit également pour un autre script, tu vas y passer ta vie.
Il est possible d'initialiser l'environnement de cron (man cron devrait t'en dire plus à ce sujet), ainsi, tous les scripts lancés par cron hériteront de ces variables 'enrichies'.

4) Si tu arrives à régler ton problème ainsi (en cascadant les proxies), alors il te suffira dans le cas R1 d'enrichir la configuration de squid avec le login et le password d'accès au proxy des notaires... et de nous faire un beau retour, car tu le notes, mes propos sont vagues (je ne vois pas comment tester ceci en vrai )

A+, Courage (encore que je trouve ce défi amusant -probablement la déformation de plus de 20 ans d'informatique, çà )
Pascal

[jdh]

Le système mis en place (pour les notaires) parait ahurissant ! (Il y en a un en cours pour les avocats qui est une arnaque financière aussi incroyable ! Je présume que c'est l'accès aux documents des greffes !)


La syntaxe de la variable http_proxy est

export http_proxy=http://<user>:<motdepasse>@proxy.exemple.com:<port>


La plupart des outils s'appuie sur cette variable.
Il est clair que Squid ne s'appuie pas sur cette variable mais sur les pairs (peers) définis via cache_peers (ne pas oublier le never_direct).

[Gaston]

Bonsoir,

Toujours pas d'accés au net.

c'est à dire ? qu'est-ce qui ne fonctionne pas pour quel requête ?

La config du parent proxy se fait sur SME comme tu l'as trouvé :

Code: Tout sélectionner

db configuration set SquidParent @IP_proxy
db configuration set SquidParentPort port_remote_proxy
signal-event proxy-update

vraiment aucune raison de rebooter le serveur pour cela (c'est pas ta faute mais ça m'énerve quand même)
on peut mettre soit @IP soit le nom fqdn du proxy parent, il suffit de s'assurer que celui-ci est résolu en local.
Pour vérifier que le parent proxy est bien joignable/accepte la connexion :

Code: Tout sélectionner

/usr/sbin/squidclient -r -h @IP_parent_proxy -p port_remote_proxy URL
eg: /usr/sbin/squidclient -r -h proxy.notaires.fr -p 8080  http://forums.ixus.fr && tail /var/log/squid/access.log

tu auras alors des infos intéressantes comme ceci (c'est un log trafiqué au niveau des noms de hosts):

squidclient -r -h proxy.notaires.fr -p 8080 http://forums.ixus.fr && tail /var/log/squid/access.log
HTTP/1.0 200 OK
Date: Sat, 09 Jan 2010 18:32:55 GMT
Server: Apache
X-Powered-By: PHP/5.2.0-8+etch15
Content-Type: text/html
X-Cache: MISS from proxy.notaires.fr
Proxy-Connection: close
[ ... ]
</tr>
</tbody></table>
</body></html>

1260110689.202 237 127.0.0.1 TCP_MISS/200 48056 GET http://forums.ixus.fr - DEFAULT_PARENT/proxy.notaires.fr text/html

Ensuite, une fois que tu as modifié la conf de squid, pour vérifier que celui-ci forwarde correctement les requêtes

Code: Tout sélectionner

/usr/sbin/squidclient -r -h localhost -p 8080  http://forums.ixus.fr && tail /var/log/squid/access.log

La différence se voir là :

[root@sme74 ~]# squidclient -r -h localhost -p 3128 http://www.ixus.fr && tail -1 /var/log/squid/access.log
HTTP/1.0 200 OK
Date: Sat, 09 Jan 2010 18:36:52 GMT
Server: Apache
X-Powered-By: PHP/5.2.0-8+etch15
Content-Type: text/html
X-Cache: MISS from proxy.notaires.fr
X-Cache: MISS from sme.cfls.priv
Proxy-Connection: close

concernant le problème de l'authentification, tu peux préciser un user:password sur la ligne de conf du parent , ce sera le même et unique user/passwd pour toutes les requêtes (cf un fichier de conf ici) il faudra alors songer à réfléchir à la structure de la template pour le fichier de conf, pas insurmontable

G.

[trixel]

Je dis peut-etre une grosse $%#&!, mais leur routeur ne gere-t-il pas le fait de passer sur le proxy en transparent sans avoir à le configurer dans SME ?

Je parle de ça car je gère un office notarial, ils ont ce genre de config mais le proxy n'est présent que sur une patte wan et que pour certains sites. Donc il me semble que si tu configure le proxy sur SME, toutes tes requetes internet passeront par celui-ci, et donc par une seule patte wan.

[trixel]

En relisant ton post c'est bien ce que je pense. A mon avis il ne faut pas que tu renseigne le proxy.notaires.fr sur ton SME sinon toutes requetes internet vont passer par lui et lorsque tu ira sur GOOGLE également donc par la connexion wan notaires, et non pas par la connexion wan "internet"