Konfiguration af IPCHAINS

Hvorfor sætter du ikke en Transperent proxy server op med ipchains.
så når brugeren bruger linuxboxen som gateway og forespørger på port 80 så ruller den lige datane ned i gennem squid og squid smider dem ud på nettet.
Det er den sejeste måde at sætte VPN op

Q.E.D

Anthony du bliver vist nødt til at uddybe dine ønsker lidt mere.

Resume : Du vil forwarde port 80 (HTTP) til en web server (HTTPserver), men du vil ikke have http trafik igennem ?????

Så vil du videre sende alle andre requests uden at filtere ??

Hvorfor vil du så bruge en firewall ?

Hvis du vil checke hvad der er i pakkerne og du sender fejlmeddelelser via port 80 og ikke http trafik skal du bruge 'statefull inspection' og det er kun på forsøgs stadiet til linux endnu.

okay.
Jeg prøver at uddybe det lidt.
Jeg vil gerne have mit lan på Internet gennem en firewall.
Jeg ikke vil have at de bruger http uden om proxy'en, men er samtidig ikke interesseret i at klienterne udelukket skal surfe gennem proxy'en (derfor en firewall løsning).
Derfor skal firewall'en ikke lukke for http, men bare vidersende alle http forespørgsler til en webserver på Lan'et som kan give brugeren en fejlmeddelelse om at han skal sætte proxy instillingerne i hans browser.

Installer en webserver på din firewall og luk for port 80 på det yderste interface så den kun kan svare fra dit interne net, eller forward port 80 til en intern server (evt. din proxy server) lav en side på den der fortæller hvordan proxy settings skal være. Sæt din proxy server op inde på dit net og fortæl den hvilken gateway den skal benytte og definer at du på firewall'en kun accepterer udgående http forespørgelser fra din proxy server.
Hvis du tænker lidt over hvordan du sætter dit filter op på firewall'en kan det sagtens lade sig gøre at sortere proxy'ens http fra clienternes.
Hvis du har flere spørgsmål her må det være hvordan man sætter disse filtre op.
Jeg mener ikke at der skal være mere end højest nødvendigt installeret på en Firewall så jeg ville foretrække 2 servers løsningen.
Hvis du har spørgsmål omkring sikkerhed er du altid velkommen til at kontakte mig.

Jeg kan stadig se en del problemer med funktionaliteten da det er svært at vide hvornår 'clienterne' godt må gå uden om proxyen.
Måske skal du tænke kravene om :-)

Hvis nu du er rigrig smart *som du nok ikke er ;)*
så sætter du din firewall op som transparent og redirecter data streamet ned gennem squid. Det er i hverfald det som de seje folk gør...

Så behøves du ikke at redirecte porte, da det virker ret underligt.

Hvis du sætter den op som transparent så ved klienten ikke at de sidder bag en proxy, og så er det ikke noget at klage over ;)

//Atomizer

Til Atomizer.
Jeg tror også at du skal udybe dine ideer lidt mere.
Der er ikke noget underligt i at redirecte porte.
Din Firewall er ikke vuptig en transperant PROXY bare fordi du installerer SQUID.
Hvis den skal virke som sådan bliver du i øvrigt også nødt til i en eller anden udstrækning at redirecte porte.

Vicort44:
Nu står det faktisk sådan til at jeg har sat flere Routere/firewalls op til forskellige parties, godtnok hjalp jeg kun til med at sætte den seje op.
dvs. 4 computere med Kiss Satdem2 (inden at de cuttede deres bw) gatekeeper på hver i sær, gatekeeper pipede fra incomming prot 80 til routeren (linuxbox med 6 netkort, hvoraf de 4 blev brugt til de 4 childs, de sidste 2 bridgede jeg og satte dem til at kase data'ne ud på netværket.)
Teknikken bag:
I squid,conf
var transparent proxy enabled dvs. at den ikke bare køre på port 80 og icmp, men alle prote.
Jeg satte den op til at den skulle sende datane videre til andre proxy servere, 
altså til de 4 childs.
når en client laver en foresprøgsel f.eks. ftp://ftp.server.net/myfile.tar.gz så kikker proxien lige på hvilke proxyserver (forwarders) som laver minst og så smider den det videre.
hvis det f.eks. er icq. så sender den det bare du på webbet (hvis man vel og
vil bruge icq)
det er lidt svært at forklare, da det er enormt teknisk at realisere, men der virker kanont når det er sat op... ;)


hvar du et bedre forslag måske?

//Atomizer

Hey victor44> kik lige ude på top 10 inden for linux... gær hvem er nr. 3 ;)

Det er ikke dig =)

Det lyder som at du er en rigtig sej gut Atom.
Jeg er glad på dine vegne med din 3. plads.
Prøv og spørg Anthony om han kan bruge dit svar til noget.
Det forekommer mig lidt svært at følge dig når du ikke selv kan forklare det du skriver.
Hvis du kigger på hvad Anthony skrev til at starte med så havde det ikke noget med VPN at gøre. Så jeg vil stadig mene at du er kørt ud på et sidespor.
En skål for de seje på 3. pladsen.

Et eksempel:

/sbin/ipchains -A input -p TCP -d 127.0.0.1/32 www -j ACCEPT
/sbin/ipchains -A input -p TCP -d 10.0.0.1/8 www -j ACCEPT
/sbin/ipchains -A input -p TCP -s 10.0.0.1/8 -d 0/0 www -j REDIRECT 3128