Accès restreint

par **ricoree** » 29 Juil 2003 16:34

Bonjour, Je viens de me monter un firewall ipcop dernière version avec ma connection ADSL installée dessus. Sur mon réseau local je possède 4 machines. Tout semble bien configuré et bien fonctionner. Toutefois je souhaiterais que l'une de mes machines ne puisse accèder qu'à un seul et unique site internet . J'ai regardé un peu partout et je n'ai pas trouvé de solution. Le dansguardian ne semble pas pouvoir m'aider dans ce cas précis. Je vous remercie par avance de vos réponses...... Ricoree

par **grosbedos** » 29 Juil 2003 17:19

avec squid et les acl c'est certainement possible, regardes ca, : <a href="http://ixus.net/resume_messages.php?topic=4724" target="_blank">http://ixus.net/resume_messages.php?topic=4724</a>

par **archi** » 29 Juil 2003 17:59

Sinon sur ta machine ou tu veux restreindre l'accès complet sauf a 1 seul site tu vire la route par defaut et tu rajoute une route pr ce site seulement. : route delete 0.0.0.0 ( enlever la route pour tout le reseau) route add ip_server netmask 255.255.255.255 ip_passerelle if eth0 optionnel: route add 0.0.0.0 netmask 0.0.0.0 0.0.0.0 (la tu peux mettre 127.0.0.1) if lo et si t'as des problème DNS tu met le nom et l'adresse ip dans le fichier hosts Good luck!

par **tomtom** » 29 Juil 2003 18:13

Ouf c'ets un peu "bourrin" ça cher archi <IMG SRC="images/smiles/icon_wink.gif"> Sinon, on peut faire ça proprememnt sur le firewall avec 2 regles iptables, mais le mieux c'est de suivre les conseils de grosbedos ! T.

par **ricoree** » 29 Juil 2003 21:24

Merci les gars...alors grosbedos : j'ai regardé le lien que tu m'as filé et qui renvoit lui-même sur un site traitant du squid mais bon...... j'ai pas capté grand chose. Je ne sais pas ou mettre exactement les règles à appliquer dans mon squid.conf. Si on pouvait m'éclairer. tomtom : je suis également preneur de ta méthode <IMG SRC="images/smiles/icon_smile.gif"> PS : Désolé pour mon ignorance mais je débute et avec linux et avec ipcop......mais bon je trouve que je progresse quand meme pas mal et ça grace à Ixus.net et à vous tous. Thx.

par **grosbedos** » 29 Juil 2003 21:41

allez ricoree...reflechi deux sec, premierement li bien l'exemple dans le lien sur ixus.. apres tu fai juste une petite recherche sur google fr, "acl squid", tu trouves une courte explication.. en une ou deux lignes c'est fait cette conf..c'est pas très compliqué!

par **ricoree** » 30 Juil 2003 16:54

Bon je me permets de revenir à la charge car j'ai réfléchit un peu plus de 2 secondes (2/3 jours), j'ai cherché partout mais je n'y arrive pas. Je résume : J'ai réinstallé ipcop 1.3 et cette fois sans y ajouter dansguardian. J'ai coché " mandataire proxy : activé" dans ipcopGUI (enfin interface web). J'ai modifié mon fichier var/ipcop/proxy/acl pour qu'une seule IP (sur mes 3 ordis )accède au web (déjà avant de n'autoriser qu'un seul site à cette machine). Le voici : acl allowed_clients src 192.168.0.3 acl SSL_ports port 443 563 acl Safe_ports port 80 # http acl Safe_ports port 21 # ftp acl Safe_ports port 443 563 # https, snews acl Safe_ports port 70 # gopher acl Safe_ports port 210 # wais acl Safe_ports port 1025-65535 # unregistered ports acl Safe_ports port 280 # http-mgmt acl Safe_ports port 488 # gss-http acl Safe_ports port 591 # filemaker acl Safe_ports port 777 # multiling http acl Safe_ports port 800 # Squids port (for icons) acl CONNECT method CONNECT http_access allow localhost http_access deny !Safe_ports http_access deny CONNECT !SSL_ports http_access allow allowed_clients http_access deny !allowed_clients J'ai également modifié le fichier squid.conf comme suit : shutdown_lifetime 5 seconds icp_port 0 http_port 192.168.0.1:800 acl QUERY urlpath_regex cgi-bin ? no_cache deny QUERY cache_effective_user squid cache_effective_group squid pid_filename /var/run/squid.pid cache_access_log /var/log/squid/access.log cache_log /var/log/squid/cache.log cache_store_log /var/log/squid/store.log log_mime_hdrs off forwarded_for off acl all src 0.0.0.0/0.0.0.0 acl localhost src 127.0.0.1/255.255.255.255 acl allowed_clients src 192.168.0.3 acl SSL_ports port 443 563 acl Safe_ports port 80 # http acl Safe_ports port 21 # ftp acl Safe_ports port 443 563 # https, snews acl Safe_ports port 70 # gopher acl Safe_ports port 210 # wais acl Safe_ports port 1025-65535 # unregistered ports acl Safe_ports port 280 # http-mgmt acl Safe_ports port 488 # gss-http acl Safe_ports port 591 # filemaker acl Safe_ports port 777 # multiling http acl Safe_ports port 800 # Squids port (for icons) acl CONNECT method CONNECT http_access allow localhost http_access deny !Safe_ports http_access deny CONNECT !SSL_ports http_access allow allowed_clients http_access deny !allowed_clients maximum_object_size 4096 KB minimum_object_size 0 KB cache_mem 2000 KB cache_dir ufs /var/log/cache 50 16 256 request_body_max_size 0 KB reply_body_max_size 0 KB RESULTAT : rien ne fonctionne, toutes les machines accèdent au web. J'ai pourtant essayé plusieurs config différentes mais rien... Je désespère.... <IMG SRC="images/smiles/icon_confused.gif"> <IMG SRC="images/smiles/icon_confused.gif"> <IMG SRC="images/smiles/icon_confused.gif">

par **antolien** » 30 Juil 2003 17:00

iptables -I FORWARD -s 192.168.x.x/32 -j DROP iptables -I FROWARD -s 192.168.x.x/32 -d 212.234.x.x -j ACCEPT -s = source ip locale -d = destination ip distante

par **nemesis** » 30 Juil 2003 17:09

hum il existe un how to pour faire ça il y a deux lignes a ajouter au squid.conf et apres tu cré une black liste! je peux ramener mon fichier squid.conf demain et te le mailer si tu veux tu regarde la difference avec le squid.conf de base tu trouvera la manip à faire. ensuite non seulement il faut activer le proxy mais le mieux est de le mettre ne transparent et de parametrer le navigateur des autre machine en detection auto comme ça t'es sur de passer par le proxy!

par **ricoree** » 30 Juil 2003 17:28

oki thx <IMG SRC="images/smiles/icon_smile.gif">

par **ricoree** » 31 Juil 2003 10:08

Bon bah voilà j'ai réussi à configurer mon squid.conf. Je peux désormais autoriser une ip locale à accèder à un seul site internet, autoriser une autre à faire que du http et autoriser la dernière à tout faire. Pour se faire j'ai trouvé une super doc sur linux en général...Par contre j'ai pas l'url mais je peux vous envoyer le pdf si ça vous interesse. Et puis thx pour votre aide <IMG SRC="images/smiles/icon_bise.gif">

par **Speeder** » 31 Juil 2003 18:37

Salut ricoree Je suis preneur de ta doc en pdf si tu veux bien Merci @+ <IMG SRC="images/smiles/icon_razz.gif"> <IMG SRC="images/smiles/icon_razz.gif">