Question de Proxy

Support Debian
#10

Donc dans la solution de sloteur, si j’ai bien compris ton “Proxy, DNS, DHCP” devient aussi routeur ? Donc les clients seront dans un second sous réseau ?

Il récupère donc Internet sur la Box, en revanche les clients utilisent le serveur Proxy pour se connecter à Internet.

Pour que cela fonctionne il faut que rajoute l’option à la fin de ton fichier /etc/netword/interfaces :

Pour les passerelles par defaut :
- Client : Serveur Proxy/Routeur
- Routeur/Proxy : Ta Box

J’ai déjà mis en place un Proxy Squid sur une machine à deux interfaces, je n’ai pas eu de soucis il me semble.

#11

Parfait, c’est bien ce que je pensé, merci a tous pour votre aide, je laisse ouvert au cas ou j’ai encore un petit soucis lors de la mises en place de celui ci.

Et Oui le proxy deviens aussi un Routeur, donc la salle informatique serras sous un autre sous réseau, ce qui me parait logique ^^

Merci pour toutes vos infos et astuces.

#12

Suite a vôtre aide j’ai réussi a mettre plus ou moins en place le système.

C’est a dire que mon DHCP fonctionne bien (a première vue)
Le proxy aussi

Par contre j’ai un petit soucis concernant le serveur DNS, je m’explique

En gros si je note l’IP du site que je veux visité, parfait sa fonctionne (tester avec les restrictions de Squid) mais en revanche si je note le nom de domaine (ex: Google.fr) ça ne fonctionne pas
Je n’ai donc pas de résolution des nom de Domaine, j’ai installer “Bind” mais je suis complétement perdu quand a sa configuration (j’ai essayé de suivre quelques tuto’s sur le net mais je n’y comprend rien, je pensé que sa aller être le plus simple…)

Auriez vous une idée pour palier a ce soucis ?

#13

En tout premier lieu ce qu’il te faut c’est :
[ul]

  • Faire un petit brainstorming de manière à lister :
    [list]les besoins
    les moyens techniques ( software et matériel )
    le matériel à disposition
    le matériel manquant[/ul]
  • un proxy cache performant
  • une administration (relative simple pour administrer le tout)
    [/list:u]

En second lieu Squid est un très bon proxy pour le filtrage quoi que complexe à régler mais il est catastrophique niveau performance de mise en cache je lui préfère nettement du nginx ou varnish.

Pour le restant je te laisse revenir vers nous avec un plan complet de tes besoins et de ce que tu as à ta disposition.

#14

Dac, c’est vrais que depuis le début c’est fort brouillon

les besoins
Installer un proxy-cache avec liste noir si possible et le tout en transparent car il m’est presque impossible de modifier la configuration des postes de la salle informatique

Un serveur DHCP (je sais le faire sans trop de difficulté)
Evité de devoir ajouter en plus un serveur DNS car je ne sais pas le faire

les moyens techniques
Un ordinateur ayant 2 carte réseau (Avec possibilité d’installer tout ce que l’on veux au niveau software)
De multiples ordinateurs dans une salle informatique
Des switch pour interconnecter les ordinateurs
Une LiveBox qui donne l’accés a internet au ordinateur (qui sont a présent tous relier a la livebox)

**** Autre ****
ngix et varnish permette il de fonctionner en transparent ? si oui il est envisageable de les utiliser, j’avais opté pour Squid car c’est le 1er nom que j’ai trouver en cherchant un peu donc voila, mais je suis disposer a changer s’il y a mieux.

#15

Clochette, Varnish est un reverse-proxy non ? Peut-il gérer la fonction de proxy-cache ?

Tes clients ont bien ton serveur DNS en serveur DNS principale ? (Normalement ton DHCP devrais le faire si tu l’as configuré)
Ta résolution se fait-elle en interne ?

Si tu ne veux pas mettre en place un nouveau serveur DNS, essaye d’utiliser ta Box en tant que DNS ?

#16

Oui c’est ce que j’essaye de faire, je cherche a comprendre les Iptables pour ouvrir mon port 53 et je pense que ça devrais fonctionner

Encore faut-il y parvenir ^^

#17

[quote=“Bastichou”]Clochette, Varnish est un reverse-proxy non ? Peut-il gérer la fonction de proxy-cache ?

Tes clients ont bien ton serveur DNS en serveur DNS principale ? (Normalement ton DHCP devrais le faire si tu l’as configuré)
Ta résolution se fait-elle en interne ?

Si tu ne veux pas mettre en place un nouveau serveur DNS, essaye d’utiliser ta Box en tant que DNS ?[/quote]

Varnish peu faire du cache bien entendu même si je lui préfère la ch’tite vodka russe :033

#18

On a parler de Vodka ? :stuck_out_tongue:
Par contre tes deux proxy don tu as parler, il n’y a pas énormément de tuto’s en tout genre.

J’espère que vous pourrez m’aider dans mon cas désespèré ^^

#19

Avec ces liens et la documentation officiel tu devrais avoir tous ce qu’il te faut ( je précise qu’à moins de savoir réellement ce que tu fais il vaux mieux rester dans les réglages fourni de base ).

http://techminded.net/blog/transparent-cache-in-nginx.html
http://stackoverflow.com/questions/9137755/nginx-can-proxy-caching-be-configured-so-files-are-saved-without-http-headers

Par contre un doute me hante, la cache c’est du cache de navigation ou de service web que tu héberge ?

car si c’est avant tout pour effectuer du filtrage te accélérer le surf sur des pages internet je pense que malgré tout Squid soit plus approprié.

Nginx et Varnish sont avant tout spécialisé dans le “reverse caching” que dans la gestion du cache pur et dure.

Sinon si tu as aussi des service mail, DNS, ftp ou autres à gérer un panel du genre de DTC ou d’ISPconfig ne serait aps du luxe pour te permettre de gérer tous ça depuis une interface web ( accessible uniquement en local :wink: ).

Je sais que certains utilise ces panel si ils pouvaient nous préciser si il y a des modules pour interfacer un proxy tel que Squid cela ferait sans doute ton affaire :think:

#20

" DTC ou d’ISPconfig "… en français ?
Je ne sais plus si j’ai précisé mais a la base linux pour moi c’est un autre monde ^^

C’est bien un proxy cache et non un reverse proxy que je cherche, quand a l’interface web, il y aurais “ZeroShell” Mais avec peu de documentation a 1er vue et sinon il y en as un autre qui as l’air bien plus gourmand en ressources, un des projet de Artica nommé tout simplement “Artica proxy”

Quand je vois les ressources qui son demander j’ai un peu peur que si j’utilise une configuration minimal je ne puisse pas avoir un résultat correct quand au traitement des caches.

De plus pour Artica-proxy il est dit qu’il n’ai nécéssaire d’utiliser qu’une seule carte réseau, hors j’en ai besoin de deux étant donné que le serveur doit servir de routeur pour ne pas devoir reconfigurer les postes, ce qui pourrais être fastidieux.

Après il me faudrait voir du coté de “Zential” qui lui as énormément de potentiel et de services différent dont le proxy, mais je ne sais plus s’il peu fonctionner en mode transparent (Je viens juste de m’en rappeler quand tu as parler d’interfaces web)

#21

Je crois qu’il faut commencer par la base.
Une de tes phrases me fait un peu peur

Du coup quand tu dis que :

[quote]Un serveur DHCP sa doit pas être bien sorcier
Un serveur SSh pour l’administrer a distance (pour les listes noir par exemple)
Le firewall je ne sais pas comment faire mais sa viendra avec un peu de recherches[/quote]
Il faudrait être sûr d’être sur la même longueur d’onde.
Pour ça il faudrait que tu nous postes (en transformant toute adresse ip propre à ton réseau) le fichier de configuration de ton dhcpd.conf par exemple.

Je te mets de mon coté les premières manipulation pour faire fonctionner deux cartes réseau correctement
Il faut ouvrir le fichier

et vérifier que les noms des cartes “eth0” et "eth1 correspondent bien à l’adresse MAC de la carte physique. Sinon il faut permuter les noms.
Ensuite il faut éditer le fichier /etc/network/interfaces
comme ceci :

[code]# lo
auto lo
iface lo inet loopback

eth0

auto eth0
iface eth0 inet static
address 192.168.1.2
netmask 255.255.255.0
gateway 192.168.1.1

eth1

auto eth1
iface eth1 inet static
address 192.168.2.1
netmask 255.255.255.0
[/code]
Bien sur les adresses sont fictives à toi d’adapter en fonction de ton réseau.

Ensuite :

[code]# service networking stop

service networking start

[/code]

Si déjà nous sommes d’accord là dessus, nous verrons pour la suite…

#22

Dac, mes deux carte réseau fonctionne.

Voici mon interfaces

# The loopback interface
 		auto lo
 		iface lo inet loopback

# eth0 (lan) : la carte réseau eth0 est branchée sur le LAN
# on attribue une adresse statique à la passerelle sur le lan
 		auto eth0
 		iface eth0 inet static
 		address 192.168.10.1
 		network 192.168.10.0
 		netmask 255.255.255.0
 		broadcast 192.168.10.255

# eth1 (internet) : la carte eth1 est branchée au modem adsl
# les lignes suivantes spécifient que l'adressage est dynamique  (dhcp du FAI)
 		auto eth1
 		iface eth1 inet dhcp

Mon DHCP.conf

authoritative; option domain-name "192.168.1.1"; option domain-name-servers 192.168.1.1; subnet 192.168.10.0 netmask 255.255.255.0 { range 192.168.10.10 192.168.10.200; option routers 192.168.10.1; option broadcast-address 192.168.10.255; }

Et j’ai aussi utiliser la commande que l’on m’avais donner plus haut c’est a dire

J’ai aussi installer OpenSSH-Serveur

J’ai tenté d’installer Bind9 mais niveau configuration c’est bien loin d’être de mon niveau donc il est en suspend et reste tel qu’il était après installation

Pour les Iptables, c’est un peu le bazar maintenant étant donné que j’ai essayé pas mal de choses en vin.

J’ai aussi Squid d’installer mais par contre comme la configuration de celui ci me dépasse un peu j’ai donc légérement du mal mais bon si j’ai l’IP du site que je veux visiter tout vas bien, par contre le nom de domaine ne passe pas.

#23

Yo,

[quote]# eth1 (internet) : la carte eth1 est branchée au modem adsl

les lignes suivantes spécifient que l’adressage est dynamique (dhcp du FAI)

   auto eth1
   iface eth1 inet dhcp[/quote]

Je pense que c’est faux, l’adresse fournis par le FAI est attribué à ta Box (Adresse publique).
Du coup ta carte eth1 doit être dans le même réseaux que la seconde carte de ta Box. Je te conseillerais de mettre toutes les interfaces de ton routeur (et tout tes serveurs en générale) en adressage statique (à moins d’utiliser des réservations via ton DHCP).

Sans filtrage ni proxy, est-ce que tout ton réseau communique ? Box -> Client, Client -> Internet (ping 8.8.8.8 ? Si pas de DNS) etc ?

Cette commande est remise à zéro à chaque redémarrage du démon “networking” il me semble, d’où l’intérêt de l’écrire dans le fichier /etc/network/interface :

[quote]" DTC ou d’ISPconfig "… en français ?
Je ne sais plus si j’ai précisé mais a la base linux pour moi c’est un autre monde ^^[/quote]

Ces deux utilitaires une fois installé te permette justement d’administrer ton serveur via un interface graphique assez simple. Je rajouterais aussi “Webmin” dans ce type de logiciel.

Oui IPTables c’est pas simple à appréhender mais est un outil très puissant une fois contrôlé, tu devrais trouver pas mal d’aide à ce sujet (notamment sur le forum).

J’ai déjà mis en place un serveur Squid (avec SquidGuard pour le filtrage des sites), je pourrais essayer de t’aider même si je pense que toutes les réponses se trouvent dans des tutos du net.

[EDIT] : Voici deux liens pour t’aider sur Bind9 :
isalo.org/wiki.debian-fr/ind … title=BIND
webadonf.net/2011/03/configurer- … n-squeeze/
coagul.org/drupal/article/instal … sur-debian

#24

Eth1 est relier a la box donc sont IP est fourni par celle ci, soit “192.168.1.42”

Pour ce qui es de mes serveur que l’IP soit fixe ou dynamique peu importe car on vas chercher les infos via son nom pour ce qui es du partage de fichier “\serveur”

Afin d’évité les soucis si on as un changement de box et donc de plage ip.

Oui tout communique puisque tout est sur le même réseau, si je fait un ping sur les DNS de Google, oui tout fonctionne impec.

echo 1 > /proc/sys/net/ipv4/ip_forward cette commande étais bien inscrite dans mon “interfaces” mais ça me semblai étrange du coup je l’avais enlever (je viens de la remettre)

Pour ce qui es des Iptables, il y as beaucoup de doc, mais apparement j’ai quelques petit soucis de ce coté la, des erreur qui apparaisse.

Pour ce qui es de Squid, apparemment je n’ai pas de soucis pour le moment, il me faudra installer SquidGuard pour mon filtrage mais je préférerai avant toute choses faire fonctionner mon proxy (juste un soucis pour laisser passer les requêtes DNS vers le Web et recevoir la réponse )

#25

Tes machines en 192.168.10.x/24 ne sont pas dans le même réseau que ton proxy et ta Box en 192.168.1.x/24 :030
Mais si tout marche niquel :slightly_smiling:

Donne nous ton fichier de conf Iptables pour voir ce que tu as fais pour le moment. (Tu veux bien faire un pare-feu ? Ou juste créer des redirections pour ton proxy ?)

#26

Normale, pour évité les confusions entre les deux réseau différent j’ai changer les plages IP
Eth1 est relier a la box
Eth0 gère tous le réseau de la salle informatique

D’ou l’intéret d’avoir deux plages différentes.
Comme il y as un Forward sur les carte réseau normalement ça ne change rien (si j’ai bien compris jusque la)

Le Parfeu me sert pour la redirection vers mon Proxy
Etant donné les restrictions déja en place sur les postes les éléves ne peuvent rien installer de plus que ce qui es déja présent sur les postes.

Donc en gros tout peu passer directement sur internet sauf les requêtes du port 80 qui doivent être envoyer sur le proxy.

Ou ce trouve le fichier de conf des Iptables ?

J’ai tester un #Iptables -L
Et appart les “truc” par défaut je n’ai rien
Est ce que lors d’un reboot du serveur sa reviens a zero ?

#27

D’accord donc pas de règles de filtrages.
Il n’y a pas de “réel” fichier de conf, tu peux très bien lancer les règles IPtables en ligne de commande elle seront en fonctionnement.

La plupart du temps, on créé un simple script en sh ou bash que tu lanceras au démarrage de ta machine et qui lira toutes tes règles de manière séquentielle. (De haut en bas)

Ca te donne un truc du genre :

#/bin/sh

#NAT Proxy
iptables ....
iptables ....

#Filtrage DNS
iptables ...

Je sais pas si j’ai été assez clair ?

Tu coup tu n’auras dans ton fichier que une règles iptables pour ta redirection :

[size=85](J’ai retrouvé la ligne sur internet :shhh: )[/size]

Si tu lances la commande normalement tout tes postes clients passeront par le proxy (pour les requêtes http)

A toi de voir si tu veux ou non faire un script que tu lanceras au démarrage, sinon la règles n’existera plus au prochain reboot.

#28

La ligne Iptable que tu as inscrite c’est celle que j’utilise, par contre pour mes DNS ça ne passe pas, ya rien a faire, pourtant cette ligne ne fait que rediriger le port 80

Et les requêtes DNS passe normalement sur le port 53
le soucis étant que ça ne passe pas, je ne comprend pas, juste l’IP d’un site passe sans problème
mais je n’ai toujours pas de résolutions de nom de domaine.

C’est frustrant de bloquer sur une aussi petite chose ^^
Ou alors c’est mon squid.conf qui me bloque…

#29

Non, je ne pense pas que Squid soit le problème.
Iptables ne filtre rien, la commande redirige juste les flux HTTP.

Où est ton serveur DNS ?
Quel serveur DNS est renseigné sur tes clients ?

Tu peut m’afficher le /etc/resolv.conf de ton proxy ?