1 Тема от ibahob

  • ibahob
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.08.2012
  • Сообщений: 140
  • Репутация : [ 0 | 0 ]

Была поставлена задача:

1. Мониторинг трафика в разрезе пользователей.
2. Запрет доступа к нежелательным сайтам.
3. Запрет торрентов.
4. Желательно чтобы был прозрачный прокси.

Остановил свой выбор на SQUID, но после прочтения форумов и руководств, столкнулся с проблемами:

1. При работе SQUID в режиме transporent  нет возможности мониторить трафик в разрезе пользователей, т.к. нетавторизации.
2. Нет возможности мониторинга почтового трафика.
3. Нет возможности мониторинга наличие торрент клиентов, изапред использования их.
4. Если использовать SQUID в режиме прокси с авторизации, то пользователи с браузерами Portable будут ходить мимо прокси.

Такой вопрос. Как мне настроить SQUID чтобы я мог решить поставленную задачу. И как обойти проблемы с которыми я столкнулся?

2 Ответ от CyberDaemon

  • CyberDaemon
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.03.2010
  • Сообщений: 459
  • Репутация : [ 3 | 0 ]
ibahob пишет:

Была поставлена задача:

1. Мониторинг трафика в разрезе пользователей.
2. Запрет доступа к нежелательным сайтам.
3. Запрет торрентов.
4. Желательно чтобы был прозрачный прокси.

Остановил свой выбор на SQUID, но после прочтения форумов и руководств, столкнулся с проблемами:

1. При работе SQUID в режиме transporent  нет возможности мониторить трафик в разрезе пользователей, т.к. нетавторизации.
2. Нет возможности мониторинга почтового трафика.
3. Нет возможности мониторинга наличие торрент клиентов, изапред использования их.
4. Если использовать SQUID в режиме прокси с авторизации, то пользователи с браузерами Portable будут ходить мимо прокси.

Такой вопрос. Как мне настроить SQUID чтобы я мог решить поставленную задачу. И как обойти проблемы с которыми я столкнулся?

squid+sqlimit+Squidalyser.
1 - только при авторизации.
2 - легко, читайте документацию.
3 - можно подуматью
4 с 1 не совместимо.
По проблемам.
2 - Это не почтовый прокси.
3 - подумать можно.
4 - не пускай те в обход прокси.

3 Ответ от riso

  • riso
  • riso
  • Пользователь
  • Неактивен
  • Откуда: Украина г.Луганск
  • Зарегистрирован: 26.01.2011
  • Сообщений: 758
  • Репутация : [ 23 | 1 ]

4 с 1 не совместимо

поднимаете локальный dns, привязываете к нему netbios имена клиентов, ставите анализатор логов и вуаля

— Ты кто?
— Часть силы той, что без числа
Творит добро, всему желая зла. © Фауст

4 Ответ от ibahob (03.08.2012 15:00:36 отредактировано ibahob)

  • ibahob
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.08.2012
  • Сообщений: 140
  • Репутация : [ 0 | 0 ]
CyberDaemon пишет:

4 - не пускай те в обход прокси.

Не пускать их в обход прокси, это как мне им шлюз не прописывать?

5 Ответ от ibahob

  • ibahob
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.08.2012
  • Сообщений: 140
  • Репутация : [ 0 | 0 ]
riso пишет:

поднимаете локальный dns, привязываете к нему netbios имена клиентов, ставите анализатор логов и вуаля

Если я правильно понял:
- можно сделать прозрачный прокси, а в анализаторе логов связать ip клиентов с их доменными именами.
- клиентом тогда нужны статические ip адреса?

6 Ответ от riso

  • riso
  • riso
  • Пользователь
  • Неактивен
  • Откуда: Украина г.Луганск
  • Зарегистрирован: 26.01.2011
  • Сообщений: 758
  • Репутация : [ 23 | 1 ]

да, вы все верно поняли. Нет статика не нужна, dhcp умеет работать в связке с bind

— Ты кто?
— Часть силы той, что без числа
Творит добро, всему желая зла. © Фауст

7 Ответ от ibahob

  • ibahob
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.08.2012
  • Сообщений: 140
  • Репутация : [ 0 | 0 ]
riso пишет:

Нет статика не нужна, dhcp умеет работать в связке с bind

Я  про статику сказал потому у меня аренда 8 дней. Следовательно через 8 дней логи могу быть не совсем корректны.

8 Ответ от dima_nov (03.08.2012 15:18:31 отредактировано dima_nov)

  • dima_nov
  • dima_nov
  • Пользователь
  • Неактивен
  • Откуда: С-Петербург
  • Зарегистрирован: 03.09.2010
  • Сообщений: 185
  • Репутация : [ 9 | 0 ]

1. С прозрачным прокси, будет в лучшем случае в разрезе компов, а не пользователей. Для контроля пользователей нужна авторизация. Ну и запрет NAT на шлюзе для всех кому нельзя лезть в Интернет напрямую.
2. squid + SquidGuard

9 Ответ от ibahob

  • ibahob
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.08.2012
  • Сообщений: 140
  • Репутация : [ 0 | 0 ]

Все же  хотелось бы узнать как сделать так чтобы я  мог мониторить весь трафик проходящий через интренет (торренты, поты, icq.)
Меня бы устроит вариант когда я буду видеть только обьем трафика через интренет (сервер с NAT  и SQUID) почасово в разрезе пользователей.

10 Ответ от ibahob

  • ibahob
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.08.2012
  • Сообщений: 140
  • Репутация : [ 0 | 0 ]
dima_nov пишет:

1. С прозрачным прокси, будет в лучшем случае в разрезе компов, а не пользователей. Для контроля пользователей нужна авторизация.
2. squid + SquidGuard

Меня устроит в разрезе компов. Т.к. у меня в основном 1 пользователь на компьютер. И по имени компьютера я легко пойму чей это трафик.

11 Ответ от riso

  • riso
  • riso
  • Пользователь
  • Неактивен
  • Откуда: Украина г.Луганск
  • Зарегистрирован: 26.01.2011
  • Сообщений: 758
  • Репутация : [ 23 | 1 ]

Следовательно через 8 дней логи могу быть не совсем корректны.

нет, все будет ок.

Меня бы устроит вариант когда я буду видеть только обьем трафика через интренет

zabbix/munin/cacti

— Ты кто?
— Часть силы той, что без числа
Творит добро, всему желая зла. © Фауст

12 Ответ от ibahob

  • ibahob
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.08.2012
  • Сообщений: 140
  • Репутация : [ 0 | 0 ]
riso пишет:

zabbix/munin/cacti

Как вариант, но там вроде нету поддержки windows клиентов

13 Ответ от riso

  • riso
  • riso
  • Пользователь
  • Неактивен
  • Откуда: Украина г.Луганск
  • Зарегистрирован: 26.01.2011
  • Сообщений: 758
  • Репутация : [ 23 | 1 ]

вроде в zabbix есть клиент для оффтопика. Но он не нужен. Я ставлю мониторинг на шлюз и собираю общую загрузку канала. Если нужно смотреть в реальном времени - пользуюсь iptraf и подобными. Ну и анализатор логов squid'a - free-sa.

— Ты кто?
— Часть силы той, что без числа
Творит добро, всему желая зла. © Фауст
+ ibahob

14 Ответ от ibahob

  • ibahob
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.08.2012
  • Сообщений: 140
  • Репутация : [ 0 | 0 ]
riso пишет:

вроде в zabbix есть клиент для оффтопика. Но он не нужен. Я ставлю мониторинг на шлюз и собираю общую загрузку канала. Если нужно смотреть в реальном времени - пользуюсь iptraf и подобными. Ну и анализатор логов squid'a - free-sa.

Я думаю немного не поняли цель мониторинга.

Ситуация: Ктото в данный момент начал качать данные(видео, музыка торрент и т.д или даже вирус) тем самым сьел весь интернет трафик, как мне узнать кто это? 

Вопрос: Можно ли в SQUID  посмотреть использование канала (скорость закачки/отдачи) в данный момент времени? Если у SQUID  нет данной функции то как  ее можно реализовать?

15 Ответ от riso

  • riso
  • riso
  • Пользователь
  • Неактивен
  • Откуда: Украина г.Луганск
  • Зарегистрирован: 26.01.2011
  • Сообщений: 758
  • Репутация : [ 23 | 1 ]

как мне узнать кто это?

Если нужно смотреть в реальном времени - пользуюсь iptraf и подобными

— Ты кто?
— Часть силы той, что без числа
Творит добро, всему желая зла. © Фауст

16 Ответ от ibahob

  • ibahob
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.08.2012
  • Сообщений: 140
  • Репутация : [ 0 | 0 ]

В общем вот к чему пришел и настроил.

- Nat + Squid  в режиме transporent, без авторизации пользователя.
- Логи смотрю SARG юзверей идентифицирую по имени компа
- Настроил ipcad c записью логов в squid. Так мониторю кто качает в обход proxy.
- Торренты буду резать через iptables (пока не резал)

17 Ответ от ibahob

  • ibahob
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.08.2012
  • Сообщений: 140
  • Репутация : [ 0 | 0 ]

В общем нашел оптимальное решение которое удовлетворяет всем моим требованиям. Рекомендую.
Использую дистрибутив основанный на FreeBSD, сие чудо называется pfsense