Proxy squid pour gérer les visiteurs

Support Debian
#21

[quote=“Chr0my”]Dans le cadre de la location, tu paies (loues) également la-dite connexion. Je ne parle pas des réseaux MacDO et consort, c’est encore différent.

PS: BurgerKing, ça fait loin quand même :mrgreen:[/quote]

Oui ça fait loin… :mrgreen:
Tu paies la connexion, mais tu accepte les règles du réseau auquel tu te connectes. Je ne crois pas que tu sois en mesure d’exiger quoi que ce soit…
Je me suis souvent connecté sur des réseaux filtrés (hôtels, lieux publics); Tous les sites et ports ne sont pas accessibles.

#22

De toute façon, cette partie là ne me concerne pas car c’est à lui d’imposer ses règles. C’est SA connexion.

Là où je le rejoins, c’est que je ne voudrai pas recevoir un courrier d’hadopi pcq mon locataire aura téléchargé du contenu illégal sur du p2p. Le fait de donner l’accès à internet au locataire permet juste de proposer un service, certes limité, mais qu’il n’aurait pas du tout si pas d’abonnement ADSL.

Moi je l’aide juste à mettre en place le proxy, je lui montre comment ça marche, et après il le gère :wink:

#23

Désolé on a un peu dérivé : je vais ouvrir un poste dans pause café pour éviter de trop polluer ton topic :slightly_smiling:
Edit: en même temps, le locataire doit pouvoir ouvrir une ligne à son nom j’imagine.

#24

euh non … pas pour une location saisonnière (des locataires d’une semaines qui se suivent).

Bref, je n’ai pas encore trouvé l’astuce pour bloquer tous les ports sauf le http/https et dns. je suis encore obligé de tout ouvrir en input sur $RISKS_IFACE :s

#25

Poste ton iptables. je regarderai ce qui ne va pas.

#26

Ça y est ça fonctionne. J’essayais de bloquer sur l’interface du réseau squid au lieu de traiter sur la chaîne forward. Tout est ok maintenant. Un grand merci tout le monde :slightly_smiling:

#27

Je serais tout de même curieux de voir ton iptables…

#28

Okkk. Je le poste demain du bureau car le système monté est sur ma bécane en virtualbox. J’ai commencé à installer le tout sur le Pc de mon ami.

Sans faute, demain :slightly_smiling: sinon ce soir si j’y pense avant d’aller dormir.

#29

ok ça marche
bonne soirée

#30

Salut,
J’enlève le [résolu] pour remplacer par la “coche verte”.
Merci.

#31

oups, désolé … j’avais zappé. Voici mon iptables:

[code]#!/bin/sh

Variables

SQUID_SECURE_SERVER=“192.168.2.43” # serveur Squid connecté au réseau sécurisé
SQUID_RISKS_SERVER=“192.168.1.2” # serveur Squid au réseau à risques
SQUID_PORT=“3128” # port du serveur squid
SECURE_LAN=“192.168.2.0/24” # LAN sécurisé
RISKS_LAN=“192.168.1.0/24” # LAN à risques
SECURE_IFACE=“eth0” # interface connecté à internet
RISKS_IFACE=“eth1” # interface connecté au réseau à risques

Modules

/sbin/modprobe ip_conntrack

Sysctl

echo 1 > /proc/sys/net/ipv4/ip_forward

#################################################

Vider les tables actuelles

#################################################
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X

#################################################

default policy : DROP

#################################################
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

#################################################

on ouvre certaines chaines

#################################################
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

#################################################

accepte tout ce qui concerne l’interface loopback

#################################################
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

#################################################

on accepte les paquets relatifs aux connexions deja ouvertes

#################################################

eth0

iptables -A INPUT -i $SECURE_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o $SECURE_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT

eth1

iptables -A INPUT -i $RISKS_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o $RISKS_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT

#################################################

on accepte les requetes icmp

#################################################

eth0

iptables -A INPUT -i $SECURE_IFACE -p icmp -s $SECURE_LAN -d $SQUID_SECURE_SERVER --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -i $SECURE_IFACE -p icmp -s $SECURE_LAN -d $SQUID_SECURE_SERVER --icmp-type echo-request -j ACCEPT

on drop sur eth1

iptables -A INPUT -i $RISKS_IFACE -p icmp -s $RISKS_LAN -d $SQUID_RISKS_SERVER -j DROP

#################################################

Routage

#################################################
iptables --table nat --append POSTROUTING -o $SECURE_IFACE -j MASQUERADE
iptables -A FORWARD -s $RISKS_LAN -o $SECURE_IFACE -p tcp --dport 53 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -s $RISKS_LAN -o $SECURE_IFACE -p udp --dport 53 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i $RISKS_IFACE -j ACCEPT
iptables -A FORWARD -i $SECURE_IFACE -o $RISKS_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A PREROUTING -i $RISKS_IFACE -p tcp --dport 80 -j DNAT --to $SQUID_SECURE_SERVER:$SQUID_PORT

#################################################

Regles specifiques

#################################################
#iptables -A FORWARD -i $RISKS_IFACE -o $SECURE_IFACE -p tcp --dport 443 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

#################################################

SSH

#################################################

eth0

iptables -A INPUT -i $SECURE_IFACE -p tcp -s $SECURE_LAN -d $SQUID_SECURE_SERVER --dport 22 -j ACCEPT

eth1

iptables -A INPUT -i $RISKS_IFACE -p tcp -d $SQUID_SECURE_SERVER --dport 22 -j DROP

#################################################

on accepte ce qui sort vers l’exterieur

#################################################

eth0

iptables -A OUTPUT -o $SECURE_IFACE -j ACCEPT

eth1

iptables -A OUTPUT -o $RISKS_IFACE -j ACCEPT

#################################################

on refuse les connexion entrantes et les paquets invalides

#################################################
iptables -A INPUT -i $SECURE_IFACE -m state --state NEW,INVALID -j DROP
iptables -A OUTPUT -o $SECURE_IFACE -m state --state INVALID -j DROP

#################################################

LOG et DROP tout le reste

#################################################
iptables -A INPUT -j DROP
[/code]