Архив форумов ЦИТФорума

[xt]

Есть главный сервак с 2мя ppp-линиями, включен маскарад. На нём прописаны ещё несколько машин, на которых предполагалось поставить proxy, и через них включить юзеров. Так вот, раньше на этих серваках(proxy) стояла винда и какой-то прокси, сейчас поставили Linux и возникла проблема - как дать юзерам полноценный доступ в инет (не тока WWW)?
Для ВВВ подняли сквид, а как сделать чтоб хотябы почта работала (pop,smtp)?

Дело в том что эти proxy не роутеры ==> маскарад включать на них не имеет смысла(пакеты в инет будут проходить мимо).

Всем спасибо.

[Dmitry.Karpov http://prof]

Многое зависит от того, является ли сеть фирмы единой Ethernet-сетью или она сегментирована роутерами. Во втором случае надо настраивать роутинг, см. http://prof.pi2.ru/.

А вообще-то мне кажется, что надо поднимать на Linux NAT/Masquerading - это делается через iptables/ipchains, ищи на этом сайте через его поиск по ключевым словам. Еще можно на Squid поднять SOCKS-Proxy, но это мало кто делает.

[xt]

Нет сеть сегментирована. Сервер с PPP-линиями находиться в др. ветке.
Настраивать роутинг? Машина с проксёй не является роутером, а ставить клиентам дефолт на неё не хочется (так как весь трафик будет идти в начале на проксю, а потом на роутер) к тому же, вроде, роутер убьёт пакет если по табл. маршр. его надо отправлять на тот и-фейс с которого он пришёл (в данном случае proxy)?

Та же проблема с маскарадингом, не получиться если не прописывать комп с проксёй как дефолт для клиентов (и ещё в добавок есть клиенты которые должны ходить через этот прокси, но сами в др. ветке т.е. им даже дефолт поставить не получиться).

Вот только копал в сторону SOCKS-proxy, почему на сквиде не включают?
Нашёл ещё SOCKS5, но он ведь платный для комерческого использования. Какой СОКС посоветуете? И ещё нужна ли для СОКС клиентская часть, или он прозрачный как маскарадинг?

[Dmitry.Karpov http://prof]

1) Если сеть сегментирована, то как пакет может уйти в тот же сегмент, откуда пришел? Кроме того, пакет, подвергшийся трансляции адресов (NAT/Masquerading), не убивается - у меня в МИСиСе на FreeBSD так все работало.

2) Обычно канал в Internet намного слабее локальной сетИ, поэтому двойное прохождение пакетов по локальной сети никого не напрягает.

3) Нарисуй схему сетИ в GIF, положи на какой-нибудь сайт и дай сюда ссылку (поле "Рисунок (gif, jpg):" в сАмом низу). И зайди на http://prof.pi2.ru - почитай про IP-маршрутизацию.

4) SOCKS не копай - он suxx, потому его никто и не использует. Есть две реализации SOCKS на клиентах - через WinSocks (прозрачно для приложений) и через браузер (явно для браузера - см.настройки Proxy).

[xt]

SRC="http://citforum.boom.ru/po.gif" BORDER=0 VSPACE=4 HSPACE=6>
Хорошо. Значит надо прописАть дефолт у клинтов на прокси, а на проксе дефолт на роутер1 (включив маскарад). А как быть с клиентами в др ветке?

Чем же всё-таки плох SOCKS?

[and3008]

-

[xt]

--

[and3008]

Если Main Server только роутер в Инет и FireWall, то делается все просто:
На нем подписается маскарад (или NAT). Маскировать будем только пакеты от Proxy Server. Все остальные пакеты наружу от других компов - запрещаем.
Если почтовый сервер располагается так же внутри сети, то на Main Server обеспечиваем перенаправление трафика, т.е. все пакеты, приходящие к Main Server на 25-й порт перенаправлять на машину внутри сети.

Для Client4 в св-вах IE лучше поставить "использовать прокси" и адрес,порт компа Proxy Server. Но это при условии, что между Router1, Main Server и Router 2 длина не 100 км и канал приличный.

Проблемм с маршрутизацией тоже не вижу. У Client4 шлюз по умолчанию Router2, у Client1-3 и Proxy Server шлюз по умолчанию Router1, у Router1 и Router2 шлюз по умолчанию на Main Server.

Для того, чтоб клиент ходил в Инет через комп Proxy Server надо на Main Server прописать через какие роутеры достигаются подсети Client4 и Client1-3 и Proxy Server.

Никаких проблемм не вижу. В чем вопрос-то?

[xt]

С клиентами 1-3 разобрались.

"Для Client4 в св-вах IE лучше поставить "использовать прокси" и адрес,порт компа Proxy Server" да, они хотят забирать почту с интернета (mail.ru) через pop3...
Тут друзья посоветовали 2 варианта:
1. Маскарадить пакеты на Main server для таких клиентов. не подходит, так как слишком много клиентов и их прийдётся нам подключать, а вобще этим должен заниматься админ Proxy (т.е. админ в отделе должен сам решать каких юзеров подключать, а не нас дёргать).
2. Source routing от таких клиентов на проксю.
(но опять же чтоб подключить юзера, админу прокси прийдётся менять маршрутизацию на роутере).

SOCKS можно использовать? IMHO это единственный выход.

[and3008]

А на фига от клиентов типа Client4 маскарадить пакеты? Они же на проксю пойдут, а уж прокся от своего имени в Инет полезет. На то она и прокся.

Чтоб не думалось лишнее - представь, что твоя сеть этого шоссе. Сетевые пакеты - маленькие машинки. Ездять туда/сюда.... Роутер - регулировщик. Типа светофор. Там, где стоит NAT, там номера перебивают. С одних на другие. А прокся - это типа адвокатская контора. Ты просишь ее о какой-то услуге, а она от своего имени ее выполняет. На все вопросы о том, кому эта инфа нужна, прокся будет молчать. На то она и прокся.

Теперь ясно?

[xt]

Скажи тогда пожалуйста как будут работать др протоколы?
С ВВВ ясно, указывается адрес прокси-сервера в браузере. А ПОП3... не будет ведь работать - юзер в свойствах ящика пропишет pop3.inet.com (smtp.inet.com), нажмёт "Проверить почту" и Бат (ничего не подозревая о машине в др сети с работающим прокси и НАТом) начнёт лукаться в инет через Роутер2 на Main Server, который и пошлёт его, так как настроен на маскарадинг пакетов только с Proxy Server'а.

Как быть?

[Dmitry.Karpov http://prof]

На всех машинах и роутерах ставь Def.GW в сторону PPP-каналов:
для Client[1,2,3] и для Proxy-сервера - Router1;
для Client4 - Router2;
для router[1,2] - MainServer
для MainServer - провайдер.

Во всех браузерах пропиши "использовать Proxy-сервер" и его координаты.
Настрой маскарадинг пакетов, уходящих через PPP.
При желании запрети обращения наружу через порт:80 всем, кроме Proxy-сервера.

Подсказка: настройка "Def.GW" действует на все IP-пакеты, а настройка "использовать Proxy-сервер" - только на браузер и некоторые другие программы (а при наличии IE и NN у каждого будут свои настройки).
Пакеты с запросами от браузера будут направлены к Proxy (т.е. IP источника = клиент, IP назначения = Proxy), а от него пойдут к серверу (т.е. IP источника = Proxy, IP назначения = сервер). Делай так, потом разберешься.

[xt]

ЗА MAINSERVER ОТВЕЧАЮ Я! ЗА PROXY ДРУГОЙ АДМИН(ОН РЕШАЕТ КОГО ПОДКЛЮЧАТЬ ИЗ СВОЕГО ОТДЕЛА - КЛИЕНТ4 ИЗ ЕГО ОТДЕЛА). ТОТ РИСУНОК КОТОРЫЙ Я НАРИСОВАЛ - ЭТО ВЫГЛЯДИТ ОЧЕНЬ УПРОЩЁННЫМ, У МЕНЯ ТАКИХ ПРОКСИ 12 ШТУК.

КОНЕЧНО МОЖНО НАСТРОИТЬ МАСКАРАД НА MAIN SERVERе, НО ДЛЯ КАЖДОГО ЮЗЕРА ОТДЕЛЬНО ЭТО ОЧЕНЬ БОООЛЬШОЙ ГЕМОРОЙ (МЕНЯ 40 РАЗ НАДЕНЬ БУДУТ ПРОСИТЬ ТИПА"ПОДКЛЮЧИ ТОГО-ТО НА 15 МИН ЕМУ ХП НАДО АКТИВИРОВАТЬ").

ВСЁ ЧТО НАДО СДЕЛАТЬ ЭТО ЗАСТАВИТЬ ПОЧТУ РАБОТАТЬ. РАНЬШЕ ВМЕСТО СКВИДА НА ПРОКСЕ СТОЯЛА WIN+SAMBAR, ЮЗЕРЫ НАСТРАИВАЛИ СМТП И ПОП3 СЕРВЕРА НА ПРОКСЮ(ПРАВДА ИСПОЛЬЗОВАЛИ ФОКУС С EMAIL-АДРЕСАМИ).

КАК ТАКОЕ ПРОДЕЛАТЬ ПОД ЛИНУКС??

[Dmitry.Karpov http://prof]

В принципе, можно сделать более гибкую систему - например, настроить единый Proxy и разрешить на нем доступ только в полезные места типа активизации XP. При желании можно сделать так, что админы отделов смогут отдельно настраивать списки доступа для своих юзеров - ты про SetUID и по sudo слышал?

А маскарадинг ты настраивать умеешь? Делел это для простой сетИ? Ну так и настрой его как умеешь, а потом спрашивай!

[xt]

))"А маскарадинг ты настраивать умеешь? Делел это для простой сетИ? Ну так и настрой его как умеешь, а потом спрашивай!"
Да...маскарадинг настроил, всё работает. А что собственно спрашивать, я ведь и спросил уже....

Я ж и пишу!!!!!!!!!!!!!!!11 с WWW разобрались!!! Как с почтой быть???

[Dmitry.Karpov http://prof]

-

[and3008]

www он настроил, маскарад он поднял...
А что такое www? Это в 90% случаев обращение к внешним хостам на 80-тый порт.

my-home-net="192.168.2.0/255.255.255.0"

ipchains -A -forward -s $my-home-net -d 0/0 -p 80 -j MASQ

Ну а таперича кто мешает написать типа так:
ipchains -A -forward -s $my-home-net -d 0/0 -p 25 -j MASQ
ipchains -A -forward -s $my-home-net -d 0/0 -p 110 -j MASQ

И т.д и т.п.

На фига вообще проксю во внутренней сети нарисовал, если все маскарадить собираешься? Для порядку? Сиди вот думай "...чё те надо, чё те надо..."

С почтой вообще все просто. Ставишь внутри почтовый сервак и имеешь кучу счастья. Если у тебя каждый клиент будет лезть в Инет за своей почтой, то либо на трафике разоришься, либо будешь "тащиться" от скорости загрузки файлов.

[xt]

Интересно, каким макаром пакет от 4го клиента попадёт на проксю(proxy-server)? (ведь маскарадинг надо именно на ней настроить)

ОК. сведу всё к минимуму, раз уж не понимаете.

КАК ДАТЬ ДОСТУП В ИНЕТ 4 КЛИЕНТУ ЧЕРЕЗ ПРОКСИ-СЕРВЕР. НА MainServer НИЧЕГО ТРОГАТЬ НЕЛЬЗЯ.

PS. Такое чуство что мои ответы никто не читает (или по крайней мере недочитываете)

[and3008]

Доступ делается элементарно. На проксе (Proxy Server) поднимается NAT и все, раз уж так надо и www и pop3 и smtp и еще 33 удовольствия.

Маршрутизация между client4 и Proxy Server есть? Ну тогда какие проблеммы?
Нету? Марш доки по маршрутизации читать!

Если для всех клиентов точкой доступа в Инет является Proxy Server, то и колдовать надо в основном вокруг него.

[xt]

Ну всё равно вы не читаете что я писАл! Роутер трогать нельзя(или, по-крайней мере очень не желательно).

Единственный выход который я вижу - на Proxy настроить НАТ, СКВИД(для ВВВ), и СОКС(это единственная технология ИМХО которая позволит в почтовых клиентах юзерей поставить адрес ПОП и СМТП сереверов ProxyServer)

ЗЫ. И, кстати, так никто и не ответил чем же плох СОКС.

[Dmitry.Karpov http://prof]

На Proxy он хочет поднять не только HTTP-Proxy, но и NAT/Masquerading. Это значит, что при обращении клиента4 наружу пакет должен дойти от Клиента4 до Proxy, а потом от Proxy через MainServer наружу. Иными словами, Router1 должен принципиально по разному роутить пакеты, идущие от клиента и от Proxy, а это гемор.

Мое последнее слово: переноси Proxy так, чтобы он встал между MainServer и остальной сетью. При необходимости (если кто-то имеет внешний IP, хочет лазать напрямую и не хочет менять настройки) настрой на нем Bridge.
Повторяю еще раз: если MainServer трогать нельзя, то все необходимые операции надо делать на машине, которая для всей внутренней сетИ будет выглядеть как выход наружу или хотя бы находиться в том же сегменте, что и MainServer.

[and3008]

Поднимаем на проксе NAT. И в чем имеем проблемму?
Пакет от Client4 приходит на проксю, там IP-адрес подвергается операции подмены. Теперь пакет от прокси топает на Main Server.
В чем проблеммы?
Где должен запутаться Router1?

[Dmitry.Karpov http://prof]

Нормальный роутер при маршрутизации смотрит только на IP-адрес назначения, игнорируя IP-адрес источника и порты. В даном случае Router1 должен обрабатывать пакеты с IP-адресом назначения pop3.mail.ru в зависимости от того, является ли отправителем Client4 или ProxyServer. (Только не надо мне говорить про разницу доменного имени и IP-адреса - не маленькие, знаем, как оно резолвится.) Router1 должен кидать пакет от Client4 на ProxyServer, а от ProxyServer - на MainServer.

[and3008]

-

[xt]

---

[Dmitry.Karpov http://prof]

Личноя бы перенес ProxyServer на то место, где сейчас стоит MainServer или поставил бы ProxyServer между MainServer и локальной сетью. В локальных сетя предпочтительнее изменение топологии, а не хитровывернутые решения с модными технологиями...

А в ой конфигурации, какая на рисунке, я вижу, что в MainServer входят два сегмента. Если это так, то SourceRouting придется настраивать на MainServer, а трогать его запрещено условиями задачи.

[xt]

В MainServer входят 8 сегментов.
Вся эта билиберда из-за административных ограничений. ProxyServer aka PrintServer aka SambaServer - это главный сервер отдела. В отделе работает куча народа, и инет делили из расчёта на отдел чтобы в его рамках (отдела) начальство с админом решали кого подключать, а кого нет, т.е. что б это были их внутренние дела которых мы не должны касаться.

Тут кроме почты юзеры ICQ ещё требуют....

PS. Значит Source Routing решение?

PPS. Source Rout прийдётся тока на роутере настроить так как на Proxy будет включён маскарадинг, правильно?

[Dmitry.Karpov http://prof]

Если нельзя трогать MainServer, о ничего у тебя не получится, т.к. на нем тоже надо настраивать Source Routing. Проще организовать коннект между клиентами и ProxyServer через VPN.

[xt]

А зачем на MainServer сурс роутинг? Ему ведь ничего не надо знать о клиентах, он будет получать пакеты из инета, демаскарадить и отправлять на ProxyServer по стандартным табл. маршрутизации. На ProxyServer опять же пакеты демаскарадяться и уходят к клиенту в соотв. с текущей маршрутизацией. Так ведь?

[Dmitry.Karpov http://prof]

1) Ты говорил, что на MainServer нет маскарадинга и не будет. Или я что-то не понял?

2) Пакеты извне придут нормально. А пакеты от клиентов наружу?

[xt]

1) Я не хочу перечитывать всю ленту, но я кажется писАл что на MainServer маскарад включён.
2) чтобы пакеты от клиентов попали на ружу, source routing нужен только на их роутере_по_умолчанию(Router2) и на Router1?