Elektriker
01.10.11, 15:10
Hi.
So, da nun das Grundsystem schonmal gut steht, folgt der nächste Ausbauschritt.
Proxyserver. Der Proxyserver soll als Cache und als Filter eingesetzt werden.
Er soll neben HTTP auch HTTPS filtern können, und basierend auf einer Authentifizierung verschiedene Berechtigungsstufen bereit stellen.
Ideal wäre ein transparenter Proxy. Aber bei einem transparenten Proxy soll weder HTTPS noch Authentifizierung funktionieren.
Aber eine Authentifizierung im herkömmlichen Sinne habe ich ohnehin nicht geplant.
Ich hätte gerne eine Webbasierte Authentifizierung, d.H. man geht auf eine spezielle, interne Loginseite, um sich dort dann für eine gewisse Zeit für unbeschränkten Internetzugang freizuschalten.
Die Authentifizierung und Userverwaltung soll nicht über den Proxy selbst organisiert werden, sondern über ein eigenes PHP / Shellscript.
Folgender Plan:
Ich konfiguriere für den Proxy eine Whitelist und eine Blacklist. Der Porxy arbeiet im transparenten Modus mit der Whitelist als Default.
Nachdem man sich an meinem Login Script angemeldet hat, konfiguriert dieses Script den Proxy im laufenden Betrieb um, und zwar so, dass IP basiert für die NutzerIP von Whitelist auf Blacklist Filter umgeschaltet wird.
Außerdem werden für diese IP in IPTABLES weitere Ports freigeschaltet, so dass nach Login auch direktverbindungen ins Internet möglich sind.
HTTPS hätte ich auf jeden Fall gerne über den Proxy laufen. Selbst wenn er im transparent mode ist.
Würde das gehen, wenn ich nicht nur den Port80, sondern auch den HTTPS Port auf den transparenten Proxy umleite?
Oder wäre es möglich, den Proxy nicht als transparent zu konfigurieren, ihn mittels Firewall Regeln für die User trotzdem als transparenten Proxy erscheinen zu lassen, indem man die proxybasierte Userverwaltung abschaltet und Port 80 / 443 auf den Proxyport 8080 umlenkt?
Für die User soll der Proxy nutzbar sein, ohne dass man am PC etws konfigurieren muss. Selbst das umstellen der Einstellung von "kein Proxy auf Proxy automatisch erkennen" wäre schon als konfigurieren anzusehen.
Nur wenn es vollautomatisch per DHCP ö.ä ohne zutun des Nutzers und auch "Playstation 3 tauglich" machbar ist, kann man den Proxy im normalmode laufen lassen.
Die eigene Authentifizierung auf basis einer internen PHP Webseite müsste dann trotzdem gemacht werden. sofern man nicht mit erfolgreicher Proxyauthentifizierung von diesem ein eigenes backgrundscript anstoßen kann (Die Firewall für den User öffnen)
Wie würdet ihr das Problem angehen? Ist meine Idee brauchbar oder bin ich auf dem Holzweg? Oder hat von euch jemand sowas schonmal erfolgreich umgesetzt?
Irgenwie muss es ja funktionieren. Bei einem von mir häufig verwendeten kommerziellen Hotel WLAN Hotspot geht es ja auch.
Da muss man sich auch nicht an einem Proxy anmelden, man muss am Rechner exakt gar nichts einstellen. Und die Authentifizierung der User geht über eine interne login Webseite. Darauf hin wird dann dort auch die Firewall aufgemacht (so dass dann z.B. VPN, WoW, Teamspeak usw geht) und man kann außerhalb der allgemein verfügbaren Whitelist "surfen".
Viele Grüße und Danke schonmal für die Hilfe, wie ich dieses Problem angehen kann.
So, da nun das Grundsystem schonmal gut steht, folgt der nächste Ausbauschritt.
Proxyserver. Der Proxyserver soll als Cache und als Filter eingesetzt werden.
Er soll neben HTTP auch HTTPS filtern können, und basierend auf einer Authentifizierung verschiedene Berechtigungsstufen bereit stellen.
Ideal wäre ein transparenter Proxy. Aber bei einem transparenten Proxy soll weder HTTPS noch Authentifizierung funktionieren.
Aber eine Authentifizierung im herkömmlichen Sinne habe ich ohnehin nicht geplant.
Ich hätte gerne eine Webbasierte Authentifizierung, d.H. man geht auf eine spezielle, interne Loginseite, um sich dort dann für eine gewisse Zeit für unbeschränkten Internetzugang freizuschalten.
Die Authentifizierung und Userverwaltung soll nicht über den Proxy selbst organisiert werden, sondern über ein eigenes PHP / Shellscript.
Folgender Plan:
Ich konfiguriere für den Proxy eine Whitelist und eine Blacklist. Der Porxy arbeiet im transparenten Modus mit der Whitelist als Default.
Nachdem man sich an meinem Login Script angemeldet hat, konfiguriert dieses Script den Proxy im laufenden Betrieb um, und zwar so, dass IP basiert für die NutzerIP von Whitelist auf Blacklist Filter umgeschaltet wird.
Außerdem werden für diese IP in IPTABLES weitere Ports freigeschaltet, so dass nach Login auch direktverbindungen ins Internet möglich sind.
HTTPS hätte ich auf jeden Fall gerne über den Proxy laufen. Selbst wenn er im transparent mode ist.
Würde das gehen, wenn ich nicht nur den Port80, sondern auch den HTTPS Port auf den transparenten Proxy umleite?
Oder wäre es möglich, den Proxy nicht als transparent zu konfigurieren, ihn mittels Firewall Regeln für die User trotzdem als transparenten Proxy erscheinen zu lassen, indem man die proxybasierte Userverwaltung abschaltet und Port 80 / 443 auf den Proxyport 8080 umlenkt?
Für die User soll der Proxy nutzbar sein, ohne dass man am PC etws konfigurieren muss. Selbst das umstellen der Einstellung von "kein Proxy auf Proxy automatisch erkennen" wäre schon als konfigurieren anzusehen.
Nur wenn es vollautomatisch per DHCP ö.ä ohne zutun des Nutzers und auch "Playstation 3 tauglich" machbar ist, kann man den Proxy im normalmode laufen lassen.
Die eigene Authentifizierung auf basis einer internen PHP Webseite müsste dann trotzdem gemacht werden. sofern man nicht mit erfolgreicher Proxyauthentifizierung von diesem ein eigenes backgrundscript anstoßen kann (Die Firewall für den User öffnen)
Wie würdet ihr das Problem angehen? Ist meine Idee brauchbar oder bin ich auf dem Holzweg? Oder hat von euch jemand sowas schonmal erfolgreich umgesetzt?
Irgenwie muss es ja funktionieren. Bei einem von mir häufig verwendeten kommerziellen Hotel WLAN Hotspot geht es ja auch.
Da muss man sich auch nicht an einem Proxy anmelden, man muss am Rechner exakt gar nichts einstellen. Und die Authentifizierung der User geht über eine interne login Webseite. Darauf hin wird dann dort auch die Firewall aufgemacht (so dass dann z.B. VPN, WoW, Teamspeak usw geht) und man kann außerhalb der allgemein verfügbaren Whitelist "surfen".
Viele Grüße und Danke schonmal für die Hilfe, wie ich dieses Problem angehen kann.