Squid : un "cas d'école"

Ici vous pouvez parler de tout et de rien

Squid : un "cas d'école"

Messagepar Piscator » 05 Déc 2014, 13:16

Bonjour à tous,

Merci tout d'abord à tchao57 pour l'impressionnant tutoriel !

Comme je suis nouveau sur ce forum, je fais une courte présentation (elle permettra aussi de mieux vous faire part de mon projet) : je suis gestionnaire d'un réseau en Haute Ecole, qui regroupe environ 200 machines (essentiellement destinées à des étudiants du supérieur) ... qu'il faut encadrer un minimum pour éviter les dérives possibles que vous imaginez (accès intempestifs aux réseaux sociaux pour certains groupes de machines en laboratoire, tentatives de téléchargements licites ... ou non, etc ...). Le parc est du "crosoft" pur (et comme je suis seul à tout gérer, je ne dispose pas vraiment de temps pour m'investir sur du Linux). Jusqu'ici, les routeurs utilisés (nous sommes en sites multiples) étaient gérés par le FAI, qui appliquait un filtrage global plus ou moins abouti (ce qui n'était qu'un problème relatif, vu les performances très modestes de nos connexions). Nos lignes Internet vont évoluer assez grandement en 2015, en terme de bande passante, et je dois m'assurer désormais que ces ressources sont correctement utilisées de A à Z, définir des règles d'accès, filtrer des contenus, etc ... ce qui est une "première" complète pour moi (!).

Après pas mal de recherches, Squid s'est imposé comme un choix intéressant à retenir (version Windows, bien sûr).
Après pas mal de lectures, il m'a semblé plus judicieux de faire transiter tout le traffic Internet par un serveur réservé à cela (Squid proxy sur Windows Server 2012). J'ai donc effectué mon câblage de la sorte (serveur proxy à deux cartes réseau) :

Image

De cette manière, je suis certain que toutes les requêtes vers l'extérieur doivent être validées avant d'atteindre la passerelle (qu'elles proviennent d'ordinateurs "Haute Ecole", d'appareils connectés au Wifi, ou encore ... de petits malins qui tentent de se ponter directement sur la câblage réseau de l'établissement)
Squid fonctionne parfaitement pour l'HTTP et l'HTTPS mais, comme Fel (dans son post "Ports POP3 et SMTP"), je suis confronté au souci des autres types de traffic, principalement la messagerie (POP3, IMAP, SMTP) qui échoue systématiquement les connexions, envois ou réceptions.

Mes recherches ne me donnent apparemment que deux solutions :

SOLUTION 1 : je maintiens mon architecture tel quelle, et il me faut trouver un moyen de dériver le traffic Internet "hors HTTP/HTTPS", adressé sur l'interface entrante du serveur (192.168.100.1), vers son interface sortante (192.168.1.2, afin de continuer vers la passerelle sans que Squid le gère). Le problème est comment ? On trouve plein de solutions sur Squid Linux, au départ d'IPTABLES (qui n'existe pas sur Windows, et je trouve difficilement le correspondant sur Windows)

SOLUTION 2 : ou alors je modifie le positionnement du serveur sur le réseau (il ne dispose alors plus que d'une carte réseau) et devient un client comme les autres sur le LAN, et ne gère que les paquets provenant des navigateurs de l'ensemble des ordinateurs (configurés pour surfer au départ d'un proxy). Tout le reste du traffic continue à sortir directement sur la passerelle, et ça marche. Le souci, c'est comment restreindre le traffic non souhaité (peer2peer) et aussi empêcher les navigateurs des machines non gérées d'outrepasser le proxy en se dirigeant directement sur la passerelle ?

Merci de m'avoir lu, pour les plus patients d'entre vous (!) :P
Piscator
Tuteur débutant
 
Messages: 4
Inscription: 05 Déc 2014, 10:35

Re: Squid : un "cas d'école"

Messagepar tchao57 » 17 Déc 2014, 19:12

Salut Piscator,

merci pour le retour ;)
Pour ce qui est de ton souci des ports POP, SMTP, IMAP, etc. as-tu pensé à installer le rôle "Routage et accès distant" sur ton serveur? Tu peux le paramétrer en Routage "NAT", du coup les ports peuvent être translatés d'une carte à l'autre.
Nul n'est parfait, nous apprenons sans cesse...

Site Web Pro : http://www.solucetech.fr
Avatar de l’utilisateur
tchao57
Administrateur du site
 
Messages: 118
Inscription: 07 Avr 2013, 22:14
Localisation: Florange en Moselle

Re: Squid : un "cas d'école"

Messagepar tchao57 » 17 Déc 2014, 19:12

PS: j'aime bien ton titre :)
Nul n'est parfait, nous apprenons sans cesse...

Site Web Pro : http://www.solucetech.fr
Avatar de l’utilisateur
tchao57
Administrateur du site
 
Messages: 118
Inscription: 07 Avr 2013, 22:14
Localisation: Florange en Moselle

Re: Squid : un "cas d'école"

Messagepar Piscator » 19 Déc 2014, 11:19

Bonjour Tchao !

Merci pour ta suggestion. En effet, après avoir galéré (pour rien) avec la commande Shell "ROUTE" sur le serveur (qui ne m'a pas vraiment servi, puisque appramment il faut aussi la paramétrer en plus sur le client, ce qui ne m'est pas systématiquement possible), j'ai finalement entendu parler du rôle RRAS (Routing and Remote Access Service) à activer sur le serveur 2012.
Il devrait, comme tu le dis, me permettre de router le trafic au travers des deux cartes réseau. Si ça fonctionne bien, j'aurai (enfin) ma solution de filtrage HTTP/HTTPS grâce à Squid, le passage du trafic réservé à la messagerie (traversant de manière transparente le proxy grâce à RRAS), et le blocage des autres ports/protocoles pour le reste ...

Je suis pour le moment en train de modifier ma config pour tester tout cela, donc je vais attendre de bien en faire le tour, avant de revenir sur le forum.

Est-ce que tu sais si RRAS me permettrait, en plus du routage de cartes, de définir aussi un blocage du trafic "indésirable" (peer2peer) en verouillant sur le serveur les ports et/ou les protocoles, ou si c'est une chose qu'il me faut régler ensuite séparément sur la passerelle ?
Merci encore pour ton aide ! ;-)

tchao57 a écrit:PS: j'aime bien ton titre :)

Hé, hé, ... Je le trouvais assez approprié aussi (!) :)
Piscator
Tuteur débutant
 
Messages: 4
Inscription: 05 Déc 2014, 10:35

Re: Squid : un "cas d'école"

Messagepar tchao57 » 19 Déc 2014, 20:57

En effet, RRAS te permettra de natter les ports que tu souhaites.
Pour ce qui est du P2P je te conseille de gérer ça par un routeur/firewall en appliance. Les séries USG de ZyXell gèrent très bien ça. Il faut ajouter une licence (payante) IDP afin de pouvoir bloquer le P2P et consors.

En espérant t'avoir aidé.
Nul n'est parfait, nous apprenons sans cesse...

Site Web Pro : http://www.solucetech.fr
Avatar de l’utilisateur
tchao57
Administrateur du site
 
Messages: 118
Inscription: 07 Avr 2013, 22:14
Localisation: Florange en Moselle

Re: Squid : un "cas d'école"

Messagepar Piscator » 02 Avr 2015, 15:32

Bonjour Tchao,

Bon, eh bien je reviens un peu "moitié-content, moitié-bredouille" ! RRAS installé sur le serveur marche du tonnerre : tout le trafic intérieur (paquets que les ordinateurs clients adressent à la carte LAN du serveur) est bien relayé de façon transparente à la carte WAN (externe) de celui-ci, et contiue donc bien son chemin vers la passerelle Internet. C'est assez bluffant : mon serveur à double carte réseau se comporte comme un véritable routeur !

A présent, je dois encore solutionner deux choses simultanément (et là, je cale) : bloquer tout le trafic qui ne provient du filtrage de Squid, mais laisser malgré tout passer les paquets envoyés/reçus par les logiciels de messagerie. Je me dis qu'il faut donc, comme avec un routeur classique, paramétrer le firewall de mon serveur.

Mon raisonnement est le suivant :
- les paquest destinés à être gérés par Squid doivent être adressés à la carte interne LAN sur le port 3128
- les paquets provenant des logiciels de messagerie utilisent IMAP, donc les ports 25 ou 587 (SMTP, sécurisé ou non) et le port 143
Je bloque donc tout le trafic arrivant sur la carte interne, sauf les ports précités.

Par le firewall "classique" du serveur (Windows Server 2012), tout se passe comme si mes règles de filtrage étaient parfiatement ignorées : tout continue à traverser le serveur.
Mes recherches récentes m'apprennent que RRAS peut aussi gérer de type de filtrage de port. Je place donc une première restriction (propriétés de la carte interne --> "filtre d'entrées") en demandant que tout le trafic soit bloqué, sauf le port 3128. Ca fonctionne ! RRAS ne joue plus son rôle de routage que si le paquets ont été envoyés sur le port 3128 du serveur (et donc soumis au filtrage HTTP de Squid). Pour un utilisateur qui ne s'est donc pas soumis au régles de proxy, impossible d'outrepasser mon système de filtrage HTTP, génial !
Je rajoute l'exception au même endroit sur les paquets 25, 587 et 143. Marche pas ! Les messageries des clients restent en échec de connexion ... (j'ai tenté de définir les paramètres de proxy sur les logiciels Outlook et Thunderbird aussi, mais ça ne résoud rien).

Aurais-tu une idée de ce que je peux encore tenter ?
Piscator
Tuteur débutant
 
Messages: 4
Inscription: 05 Déc 2014, 10:35

Re: Squid : un "cas d'école"

Messagepar tchao57 » 19 Mai 2015, 18:39

Salut PICASTOR,

désolé pour le temps de réponse mais j'ai beaucoup de boulot en ce moment...
Tu as peut être déjà trouvé la solution mais dans le cas inverse cette réflexion pourrait peut être t'aider.
Tu dis avoir bloqué tout le trafic sauf le port 3128. Par la suite tu indiques avoir ajouté des règles de permission pour SMTP et POP. Or, si d'un côté tu bloques tout et de l'autre tu en ouvres une partie, le blocage est prioritaire.

Il faudrait peut être tenter de n'autoriser que les ports voulus à l'inverse de bloquer tout sauf 3128 et autoriser SMTP et POP après.

Ais-je été assez clair?
Nul n'est parfait, nous apprenons sans cesse...

Site Web Pro : http://www.solucetech.fr
Avatar de l’utilisateur
tchao57
Administrateur du site
 
Messages: 118
Inscription: 07 Avr 2013, 22:14
Localisation: Florange en Moselle

Re: Squid : un "cas d'école"

Messagepar Piscator » 20 Mai 2015, 10:28

Bonjour Tchao !

Merci déjà de passer un peu de temps pour m'aider.
Je vois ce que tu veux dire, oui : la première restriction (accès au port 3128 uniquement) va "court-circuiter" la seconde permission (accès aux ports IMAP), parce que cette dernière est appliquée après et qu'elle va donc être bloquée par les restrictions imposées par la première.

Je vais regarder à ça d'ici quelques jours, car la fin de l'année scolaire m'impose de travailler sur pas mal de choses à réaliser/finaliser d'ici là.
Je reviens très bientôt ! Bonne journée ...

P.
Piscator
Tuteur débutant
 
Messages: 4
Inscription: 05 Déc 2014, 10:35

Re: Squid : un "cas d'école"

Messagepar tchao57 » 20 Mai 2015, 11:39

Ok, on attend de tes nouvelles ;)
Bon courage pour l'école :)
Nul n'est parfait, nous apprenons sans cesse...

Site Web Pro : http://www.solucetech.fr
Avatar de l’utilisateur
tchao57
Administrateur du site
 
Messages: 118
Inscription: 07 Avr 2013, 22:14
Localisation: Florange en Moselle


Retourner vers Forum détente

Qui est en ligne

Utilisateurs parcourant ce forum: Aucun utilisateur enregistré et 1 invité