proxyweb + passerelle

par **lilouk** » 20 Mai 2003 11:07

salut à tous, voila ma config : j'utilise mnf comme passerelle ( 192.168.1.6), au niveau des clients windows j'ai configurer les cartes reseau comme suit: exemple: 192.168.1.10 avec comme passerelle 192.168.1.6 (MNF) et au niveau d'intenet explorer j'ai configurer la connexion avec un proxy : 192.168.1.6 port 3328 donc tout fonctionne parfaitement ( le web et le mail), mais mon soucis c que certains clients de mon reseau arrive à surfer (web) sans configurer de proxy <IMG SRC="images/smiles/icon_frown.gif"> la question : est-il possible d'empecher les clients qui n'ont pas configurer de proxy d'aller surfer (web) ? merci d'avance <IMG SRC="images/smiles/icon_confused.gif">

par **nemesis** » 20 Mai 2003 11:10

il est en mode transparent?

par **lilouk** » 20 Mai 2003 11:11

non manuel

par **remi** » 20 Mai 2003 11:14

est ce que ca ne viendrai pas de la detection parametres proxy automatiques ??

par FJ » 20 Mai 2003 11:19

effectue un filtrage de paquets

par **lilouk** » 20 Mai 2003 11:20

je n'utilise pas la detection des parametres de proxy,

par **tomtom** » 20 Mai 2003 11:45

Ben oui, il faut que tu bloques le forward des paquets ! Ex : pour bloquer uniquement le web : iptables -I forward -p tcp --dport 80 -j DROP pour tout bloquer : iptables -I forward -j DROP (aye aye <IMG SRC="images/smiles/icon_smile.gif"> ) Bon, sinon, IPCop n'etant pas fait pour ce genre de manip, je te conseille de mettre ton proxy en transparent : Cela redirigera tous les paquets pour le web vers le proxy, sans aucune configuration des clients ! Tom

par **lilouk** » 20 Mai 2003 11:49

merci pour les reponses, alors comment je bloque le forward des paquets avec mnf tout en gardant le proxy manuel ? merci

par **Jacques-** » 20 Mai 2003 11:50

Toute machine qui connait l'adresse du routeur, dont les paquets ne sont pas filtrés en 80 et qui est capable de résoudre l'adresse des sites elle-même (requête DNS autorisées) est capable de se débrouiller toute seule sans passer par le proxy. La solution est de bloquer le port 80 (et le 443) du Lan vers le Wan et de n'autoriser que le FW à accéder au Wan sur le 80. Cela devrait régler ton problème. Jacques Autre méthode, bloquer les requêtes DNS mais tu n'empêcheras pas d'utiliser le fichier hosts.

par **lilouk** » 20 Mai 2003 11:52

jaques, en mnf tu fais ça comment ? merci

par **tomtom** » 20 Mai 2003 12:00

J'ai donné la reponse 2 postes plus haut pour bloquer tous les transferts vers le port 80 !!! Jaques, je ne suis pas tout à fait d'accord, la solution consistant à mettre le proxy en transparent et à faire du redirect est également très efficace ! Tom

par **lilouk** » 20 Mai 2003 12:08

ça marche en utilisant la methode de jaques, j'ai fait les choses suivantes: lan wan http reject lan wan https reject fw wan http accept fw wan https accept et ça marche nikel merci à vous tous, ce forum est vraiment super genial (reactif, riche)

par **Jacques-** » 20 Mai 2003 12:51

TomTom, entièrement d'accord sur l'efficacité du redirect pour faire du proxy transparent. Le gros avantage du proxy transparent est qu'il évite de devoir modifier le paramétrage des postes clients. Son gros inconvénient (en entreprise) est qu'il est perçu comme une tentative d'espionnage à l'insu des utilisateurs, puisqu'ils ignorent qu'ils sont filtrés. C'est pour cela qu'il est souvent inutilisé dans les grosses boites (pressions syndicales, ou envie de ne pas devoir affronter le risque d'une contestation). A priori, sa configuration était déjà faite en mode non transparent, il suffisait donc de bloquer le http, pour qu'il n'ait pas besoin de repasser sur toutes ces machines. Jacques

proxyweb + passerelle

Qui est en ligne ?