Spørsmål om nettverkstopologi.

[spit]

Jeg vil gjerne installere en boks som skal filtere webtrafikk for snusk og malware og slikt. Cluet er at jeg vil gjøre dette uten å tukle med de nåværede IP rekkene.

 

Slik som det er nå:

 

(inet) <-10.0.0.0-> (switch) <-10.0.0.0-> ((klienter))

 

(inet) <-10.0.0.0-> (spambox) <-10.0.0.0-> (switch) <-> ((klienter))

 

Jeg vet hvordan jeg setter det opp ved å la spamboksen håndtere 10.0.0.0 nettverket med det ene NIC'et og et nytt et f.eks 192.0.0.0 i det andre. Men hvordan få til dette med den samme iprangen?

 

Erling

[john.einar]

Eneste måten å ha en spam boks som er på 2 net med 2 nics med samme subnett på begge sidene er å sette den opp som en filtering ethernet bridge (som det heter så fint)... Men hvorfor vil du ikke endre på ip-range'n? Om du har xdsl eller lignende er det enklest å endre ip på routeren/modem'et og ha 192.168.x.x net på den siden av spamboksen. Evt. om du ikke kan gjøre det så kan du endre på den andre siden (klient siden). Om du har brukt DHCP så vil denne overgangen gå svært lett.

 

Men for at vi skal kunne hjelpe deg burde du gitt litt mer info om nettet dit, utstyr på den "andre siden" og evt. grunnen til at du vil ha samme net på begge sider.

Endret 6. desember 2004 av johneinar

[spit]

Grunnen til at jeg ikke vil endre IP range er vel fordi dette er på jobben og folk flest er mest vant med det slik det er nå.

Det vil også bli trøbbel med kommunikasjon mellom helpdesk utenifra og inn.

 

Det er vel slik det er nå, ganske enkelt:

 

WLAN Router (inet) -> Switch -> Switch

 

Erl

[john.einar]

Om du kun skal filterer web-trafikk kan du sette opp en boks som proxy. Denne fungerer nettverksmessig som en vanlig host. Du kan da sette opp mandatory proxy bruk på clientene mot denne boksen. Du setter så opp filtre i proxy'en for snusk og annet. Ingen endring i ip-rangene...

 

En annen ting: Om dine brukere er "vant til dette", så tyder det på litt dårlig nettverksoppsett. Brukerne bør ikke kunne noe om hvilke ip-ranges som er i bruk. Clientene burde kun bruke hostnames som 'serveren' og 'helpdesk' og ikke hva deres ip'er er. All ip config burde vært gjort via dhcp og 100% usynlig for clientene.

Endret 6. desember 2004 av johneinar

[spit]

For å sette opp en transparent proxy må ikke da den maskinen være klientenes gateway?

Det er ikke mulighet for å sette proxy manuelt.

[john.einar]

En transparent proxy må den enten være gateway for klientene eller en annen boks som er gateway som kan redirecte trafikk til proxyen.

 

Jeg har 2 routere og 2 logiske net (et ethernet) med linux hvor den ene har Squid installert. Begge linux boksene bruker denne proxy'en transparent for brukerne på begge "nettene". Boksen med Squid har forøvrig 2 inet linjer hvorav den ene er delegert for proxy-bruk.

 

Det jeg snakket om var å ha en vanlig (ikke-transparent) proxy som clientene via (om Windows) Group Policy var satt opp til å bruke. Men om du ikke har slik kontroll over klientene og heller ikke kan sette opp en gateway så må du vel gå for en filtering ethernet bridge. Her setter du opp så en linux-boks står med 2 nics koblet mellom klientene og resten av ethernet'et. Da kan du blokere porter og styre og herje så mye du vil. Har prøvd filtering ethernet bridging, men ikke med web-proxying. Men det burde være mulig.

 

 

Leif var her

Endret 7. desember 2004 av johneinar