решил поиграться с суперлюимином

[Dimerson]

начали с суперлюмина ... кончили сквидом.

на третье: у меня от сквида впечатление, что у него совсем не здраво в работе с диском. BM с томами на TFS вот наш идеал скорости. SLN в этом плане шаг вперед (режет кеш разделы в своем формате (unknown partition type) и работает мимо OS и сам кеширует отьедая к что-то около 6,5гб из 8 на стенде).

на второе: viewtopic.php?f=2&t=11421&hilit=squidtrust

на первое: Цитата крейга
Since Nemesis static NAT is not a one-to-one IP address-to-IP address
mapping, but instead maps per port number, the address
conservation idea of a proxy doesn’t even apply.

Ну то есть в их понимании статик нат проброс порта а не IP<->IP (при этом входящий валит к нам на secondary ip, транслируются dest ip, dest port а исходящий уходит наружу не с secondary ip а с главного внешнего ip через динамический нат ). Как говорят производители - руками дергать iptables и вообще что-либо настраивать вручную противопоказано тк у SLN конфиг один в XLM виде настраиваемый через вебморду и он все настройки берет оттуда
(Сам видел - наконфигуряешь к примеру АПАЧЪ - /etc/apache2/listener.conf а он раз в сутки по шаблонам его восстанавливает - помогает правка шаблона правда но разрабы дружно говорят мол это "not-supported !!!!"). Разрабы говорят мол этоу нас тн Appliance и так было задумано. А на вопрос почему нельзя было сделать аналог STATIC нат как в БМ (блин SNAT зачем в iptables ?) ане ответили мол _мы используем как основу SuSE Firewall а он такого мол не позволяет_. Накой мне такой Suse Firewall ???? Накой мне такой СуперЛюмин ???

Четвертое: рассмотрим BM как мотор+колеса+кузов. То есть Прокси + VPN + Firewall.
Опустим VPN. Если прокси с прозрачной авторизацией это будет squid+squidtrust (правда с плайн-текст конфигами и без гуя - не пинать - все ходят в отпуска и их кто-то подменяет). То файрволл это пусть будет fwbuilder (то есть chconfig SuSE_firewall2 off, fwbuilder on) без отговорок что мол у нас апплайнс и никак по другому ничего не завернуть.

[skoltogyan]

Понятно.

в части iptables - предпочитаю писать руками правила, зайдя по ssh. хотя совсем не сложно настроить и что-бы правила брало из eDir само. а уж каким макаром правила прописывать в eDir будет человек - кому как нравится.

в части squidtrust - заложенная технология не позволяет использовать в треминальном сервере ?

[Dimerson]

если на терминалку то велкам то SuperLumin - там cookie based auth. если я ее отключаю через cookie = off + ip overrode cookie = off,
и если не сработал SSO и failback логин через форму пройдет ОК то он пускает без запроса напроля _навсегда_ до ребута сервера.

Вот такое хреновое лето

[Иван Иванов]

Третье - "Или бесплатный сквид или отлаженная ИСА." повторю ранее задававшийся вопрос - чем плох squid ?

Он не плох но ИСА намного лучше. Нормальная система прозрачной авторизации как ната так и прокси, интегрированный VPN сервер с привязкой к АД, возможность разграничивать доступ не только для пользователей и IP а и для приложений (например дать скайпу Сидорова полный доступ через нат а всему остальному только через прокси), протоколы и мониторы работы информативнее (сразу видно всю сетевую активность, не нужно выяснить кто сидит в данный момент за компьютером выедающим трафик). Конечно почти всего этого можно добиться и на линуксе но как-то везде все кусками и нужно научным тыком делать самому. Вполне может быть что проще купить ИСУ на пару процессоров и не сушить мозги.

[skoltogyan]

из того, что Вы Иван написали , присоединяюсь только к "разграничить доступ для приложений"

[Dimerson]

я бы присоединился к нату с аутентификацией .... iptables + pam (с динамической конфигурацией правил для IP по которому атентифицируется пользователь ... ) ? даже не знаю будет оно жить или нет ....

[skoltogyan]

"(с динамической конфигурацией правил для IP по которому атентифицируется пользователь ... ) ? даже не знаю будет оно жить или нет ...." - это что именно имеется ввиду ?

[Dimerson]

имеется iptables в котором динамически создаются разрещающие правила при прозрачной аутентификации пользователя.
соответственно при нективности пользователя правила удаляются.

гуглится старый проект Authentication Gateway . в нем для аутентификации на gateway использовался телнет. почему бы не сделать связку с clntrust/squidtrust итд ?

[skoltogyan]

так это на базе openvpn легко .

[Иван Иванов]

так это на базе openvpn легко .

Что-то мне кажется что так из пушки по воробьям. Нагрузка на сервер должна быть приличная. Выедаются IP адреса.

[Dimerson]

помнится раньше провы лепили на msvpn без шифрования ...

[skoltogyan]

да, openvpn выдает , при логине адрес из пула.
и тот-же openvpn , на основании ИМЕНИ пользователя залогинившегося, присваивает ему нужные правила в iptables.

[Иван Иванов]

Вот http://www.ufwi.org/ какая-то реализация управляемого ната.

[skoltogyan]

и без этого сделал и работает и управляется через imanager или c1

[Dimerson]

Я тут подумал и решил что легко допилить до ума шифрование в squidtrust.exe / squidtrust.pl
юзаем use Crypt::OpenSSL::RSA ; в .exe - OpenSSL
на стороне clntrust.pl private key
на стороне clntrust.exe public.key
ответ clntrust.exe перед отправкой шифруем открытым ключом
и хелпером (.pl) делаем $key_private->decrypt.

как-то так.

upd: воркает.

_чуть_ утяжелит но с учетом того что надо декриптовать лишь fdn и лишь 1 раз в $ttl минут то думаю будет ок. наворачивать тут обмен сессионными ключами с шифрацией обмена симметричными алгоритмами имхо это перебор. а так было интересно зяглянуть внутрь openssl одно могу сказать таки ватком все - даже опенссл штатно не собрать ...