[Sysadmins] transparent squid auth

[Sysadmins] transparent squid auth

[Timur Batyrshin]

[-- Attachment #1: Type: text/plain, Size: 925 bytes --]

Появилась задача сделать прозрачный прокси с доступом по паролю.
Я знаю, что средствами Squid это сделать невозможно, но может быть есть
какие-то другие варианты с использованием динамической маршрутизации? 

Скажем, перенаправлять на маршрутизаторе запросы пользователя
по-умолчанию на сервер аутентификации, а после успешного ввода пароля
изменять правила так, чтобы его запросы перенаправлялись к прозрачному
Squid.

Существует ли подобное ПО?
Не обязательно на базе ALTLinux, и не обязательно открытое.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] transparent squid auth

[Alexey I. Froloff]

[-- Attachment #1: Type: text/plain, Size: 278 bytes --]

On Tue, Feb 16, 2010 at 10:10:05AM +0300, Timur Batyrshin wrote:
> Появилась задача сделать прозрачный прокси с доступом по паролю.
Прозрачных.  Прокси.  С.  Аутентификацией.  Не.  Бывает.  Точка.

-- 
Regards,    --
Sir Raorn.   --- http://thousandsofhate.blogspot.com/

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] transparent squid auth

[Timur Batyrshin]

[-- Attachment #1: Type: text/plain, Size: 969 bytes --]

On Tue, 16 Feb 2010 11:38:20 +0300
Alexey I. Froloff wrote:
> > Появилась задача сделать прозрачный прокси с доступом по паролю.
> Прозрачных.  Прокси.  С.  Аутентификацией.  Не.  Бывает.  Точка.

Пожалуй, я здесь зря заговорил о прокси вообще. Забудь о нем.

По сути -- задача сводится к динамическому изменению правил
маршрутизации в зависимости от авторизованности пользователя, причем
желательно без каких-то дополнительных ухищрений со стороны пользователя
(без установки VPN-клиентов, настройки PPPoE-соединения и т.п.)

Существует ли что-нибудь для этого?

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] transparent squid auth

[Anton Farygin]

16.02.2010 10:10, Timur Batyrshin пишет:
> Появилась задача сделать прозрачный прокси с доступом по паролю.
> Я знаю, что средствами Squid это сделать невозможно, но может быть есть
> какие-то другие варианты с использованием динамической маршрутизации?
>
> Скажем, перенаправлять на маршрутизаторе запросы пользователя
> по-умолчанию на сервер аутентификации, а после успешного ввода пароля
> изменять правила так, чтобы его запросы перенаправлялись к прозрачному
> Squid.
>
> Существует ли подобное ПО?
> Не обязательно на базе ALTLinux, и не обязательно открытое.

Если делать аутентификацию не средством squid, то можно что-то сгородить.

Но вот подобное ПО мне неизвестно. Впрочем, подозреваю что биллинговые 
системы этому обучены, и там есть различного рода варианты аутентификации.

Re: [Sysadmins] transparent squid auth

[Alexey I. Froloff]

[-- Attachment #1: Type: text/plain, Size: 863 bytes --]

On Tue, Feb 16, 2010 at 11:51:13AM +0300, Timur Batyrshin wrote:
> По сути -- задача сводится к динамическому изменению правил
> маршрутизации в зависимости от авторизованности пользователя,
"Авторизованности" где?

> причем желательно без каких-то дополнительных ухищрений со
> стороны пользователя (без установки VPN-клиентов, настройки
> PPPoE-соединения и т.п.)
Так тоже не бывает.  Кто-то должен у пользователя что-то
спросить, пользователь должен куда-то что-то ввести.
Пользовательская сессия должна как-то завершаться.

Как вы себе это представляете "без установки стороннего софта на
пользовательскую машину"?

Нет, ну можно конечно на роутере приделать простенький web
интерфейс.  Ввёл пароль - поменялся роутинг.  Но как-то
хреновенько оно работать будет.

-- 
Regards,    --
Sir Raorn.   --- http://thousandsofhate.blogspot.com/

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] transparent squid auth

[Timur Batyrshin]

[-- Attachment #1: Type: text/plain, Size: 1914 bytes --]

On Tue, 16 Feb 2010 12:00:39 +0300
Alexey I. Froloff wrote:

> > По сути -- задача сводится к динамическому изменению правил
> > маршрутизации в зависимости от авторизованности пользователя,
> "Авторизованности" где?

См. ниже.
 
> > причем желательно без каких-то дополнительных ухищрений со
> > стороны пользователя (без установки VPN-клиентов, настройки
> > PPPoE-соединения и т.п.)
> Так тоже не бывает.  Кто-то должен у пользователя что-то
> спросить, пользователь должен куда-то что-то ввести.
> Пользовательская сессия должна как-то завершаться.

Если адреса динамические, смена MAC-адреса у этого IP будет
автоматически означать завершение пользовательской сессии.
Плюс таймаут на активность IP-адреса по этому маршруту.
Для статических адресов -- таймаут + возможно отдельную страницу для
завершения сессии.
 
> Как вы себе это представляете "без установки стороннего софта на
> пользовательскую машину"?
> 
> Нет, ну можно конечно на роутере приделать простенький web
> интерфейс.  Ввёл пароль - поменялся роутинг.  Но как-то
> хреновенько оно работать будет.

Почему хреновенько?

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] transparent squid auth

[Anton Farygin]

16.02.2010 12:09, Timur Batyrshin пишет:
>> Нет, ну можно конечно на роутере приделать простенький web
>> интерфейс.  Ввёл пароль - поменялся роутинг.  Но как-то
>> хреновенько оно работать будет.
>
> Почему хреновенько?

Такие решения реализованы в различного рода системах типа "гостинниц", 
когда покупаешь доступ в интернет, потом подключаешься к открытому WiFI 
и авторизуешься по имени пользователя/паролю.

Раньше так-же был доступ организован у платных WiFI сетей в МСК, сейчас 
не знаю.

Re: [Sysadmins] transparent squid auth

[Alexey Shabalin]

16 февраля 2010 г. 11:51 пользователь Timur Batyrshin
<batyrshin@ieml.ru> написал:
> On Tue, 16 Feb 2010 11:38:20 +0300
> Alexey I. Froloff wrote:
>> > Появилась задача сделать прозрачный прокси с доступом по паролю.
>> Прозрачных.  Прокси.  С.  Аутентификацией.  Не.  Бывает.  Точка.
>
> Пожалуй, я здесь зря заговорил о прокси вообще. Забудь о нем.
>
> По сути -- задача сводится к динамическому изменению правил
> маршрутизации в зависимости от авторизованности пользователя, причем
> желательно без каких-то дополнительных ухищрений со стороны пользователя
> (без установки VPN-клиентов, настройки PPPoE-соединения и т.п.)
>
> Существует ли что-нибудь для этого?

Для этого существует даже специальный термин. Читайте:
http://en.wikipedia.org/wiki/Captive_portal
Такое делают для гостевых сетей. Пришёл человек, воткнулся в розетку
(или подключился по wifi) и на любой запрос в web-браузере его
пересылают на (шлюз)страничку с формой для заполнения имени/пароля.
После успешного ввода, на шлюзе добавляется разрешающее правило для
этого клиента.
В некоторых железках это бывает встроенно (например в wifi контролёрах cisco).

-- 
Alexey Shabalin

Re: [Sysadmins] transparent squid auth

[Кирилл Феоктистов]

Здравствуйте, Anton Farygin! Вы писали 16.02.2010 12:48:
> Такие решения реализованы в различного рода системах типа "гостинниц", 
> когда покупаешь доступ в интернет, потом подключаешься к открытому WiFI 
> и авторизуешься по имени пользователя/паролю.
> 
> Раньше так-же был доступ организован у платных WiFI сетей в МСК, сейчас 
> не знаю.

Кстати, а можно чуть подробнее, если есть, что рассказать?
Потому что мне всегда было интересно, как именно это реализовано, чисто 
технически. Каждая "гостиница" изобретает свой самописный велосипед, или 
есть что-то более или менее готовое и проверенное?

P.S.
Каждый раз о том, как же конкретно это реализовано, задумываюсь, 
подключаясь в МакДаке к бесплатному вай-фаю от Билайна. Там тоже сначала 
всё закрыто, при попытке перейти по любой ссылке перекидывает на 
страницу авторизации, после авторизации же начинает работать всё по всем 
портам.

С уважением, Кирилл Феоктистов.
(926) 46-958-46
ICQ: 344652942

Re: [Sysadmins] transparent squid auth

[Alexey Shabalin]

16 февраля 2010 г. 13:10 пользователь Кирилл Феоктистов
<fealik@mail.ru> написал:
> Здравствуйте, Anton Farygin! Вы писали 16.02.2010 12:48:
>>
>> Такие решения реализованы в различного рода системах типа "гостинниц",
>> когда покупаешь доступ в интернет, потом подключаешься к открытому WiFI и
>> авторизуешься по имени пользователя/паролю.
>>
>> Раньше так-же был доступ организован у платных WiFI сетей в МСК, сейчас не
>> знаю.
>
> Кстати, а можно чуть подробнее, если есть, что рассказать?
> Потому что мне всегда было интересно, как именно это реализовано, чисто
> технически. Каждая "гостиница" изобретает свой самописный велосипед, или
> есть что-то более или менее готовое и проверенное?
>
> P.S.
> Каждый раз о том, как же конкретно это реализовано, задумываюсь, подключаясь
> в МакДаке к бесплатному вай-фаю от Билайна. Там тоже сначала всё закрыто,
> при попытке перейти по любой ссылке перекидывает на страницу авторизации,
> после авторизации же начинает работать всё по всем портам.
1 ) При подключении тебе выдаётся ip адрес, которому всё запрещено,
разрешено только к обращение к шлюзу на порт 80 или 443.
2) Все http запросы на порт 80 перенаправляются на шлюз на порт 80 или
443 с формой для ввода пароля.
3) после успешного ввода пароля добавляется разрешающее правило для ip клиента.

http://en.wikipedia.org/wiki/Captive_portal

-- 
Alexey Shabalin

Re: [Sysadmins] transparent squid auth

[Timur Batyrshin]

[-- Attachment #1: Type: text/plain, Size: 1607 bytes --]

On Tue, 16 Feb 2010 13:10:23 +0300
Alexey Shabalin wrote:

> > По сути -- задача сводится к динамическому изменению правил
> > маршрутизации в зависимости от авторизованности пользователя, причем
> > желательно без каких-то дополнительных ухищрений со стороны
> > пользователя (без установки VPN-клиентов, настройки
> > PPPoE-соединения и т.п.)
> >
> > Существует ли что-нибудь для этого?
> 
> Для этого существует даже специальный термин. Читайте:
> http://en.wikipedia.org/wiki/Captive_portal

Спасибо!
Знать по каким ключевым словам искать -- уже знать половину ответа.

> Такое делают для гостевых сетей. Пришёл человек, воткнулся в розетку
> (или подключился по wifi) и на любой запрос в web-браузере его
> пересылают на (шлюз)страничку с формой для заполнения имени/пароля.
> После успешного ввода, на шлюзе добавляется разрешающее правило для
> этого клиента.
> В некоторых железках это бывает встроенно (например в wifi
> контролёрах cisco).

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] transparent squid auth

[Maks Re]

> 
> Кстати, а можно чуть подробнее, если есть, что рассказать?
> Потому что мне всегда было интересно, как именно это реализовано,
> чисто технически. Каждая "гостиница" изобретает свой самописный
> велосипед, или есть что-то более или менее готовое и проверенное?

обычно гостиницы/кафе приобретают подобное устройство

http://www.zyxel.ru/content/catalogue/classifier/9/

я пробовал, мне понравилось... кнопочку на принтере нажал,
распечатался текст, где логин-пароль-время доступа указаны, ну и
логотипы и координаты...
 
не понравилось - состояние с лицензией на предоставление услуг связи...
мелкому кафе не осилить, а крупному - проще провайдера пустить на свою
"территорию", а втихую такое делать - как коршуны налоговая,
проверки, милиция прибегут быстро...

> 
> P.S.
> Каждый раз о том, как же конкретно это реализовано, задумываюсь, 
> подключаясь в МакДаке к бесплатному вай-фаю от Билайна. Там тоже
> сначала всё закрыто, при попытке перейти по любой ссылке перекидывает
> на страницу авторизации, после авторизации же начинает работать всё
> по всем портам.
> 
> С уважением, Кирилл Феоктистов.
> (926) 46-958-46
> ICQ: 344652942
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] transparent squid auth

[Кирилл Феоктистов]

Здравствуйте, Alexey Shabalin! Вы писали 16.02.2010 13:10:
> Для этого существует даже специальный термин. Читайте:
> http://en.wikipedia.org/wiki/Captive_portal

Спасибо, вы как раз ответили на мой вопрос. 8)

С уважением, Кирилл Феоктистов.
(926) 46-958-46
ICQ: 344652942

Re: [Sysadmins] transparent squid auth

[Кирилл Феоктистов]

Здравствуйте, Alexey Shabalin! Вы писали 16.02.2010 13:16:
 > 1 ) При подключении тебе выдаётся ip адрес, которому всё запрещено,
 > разрешено только к обращение к шлюзу на порт 80 или 443.
 > 2) Все http запросы на порт 80 перенаправляются на шлюз на порт 80 или
 > 443 с формой для ввода пароля.
 > 3) после успешного ввода пароля добавляется разрешающее правило для 
ip клиента.
 >
 > http://en.wikipedia.org/wiki/Captive_portal

Нет, ну сам принцип был и так очевиден, хотелось чуть конкретнее про 
реализацию узнать.
За ссылку ещё раз спасибо, она как раз проясняет.

С уважением, Кирилл Феоктистов.
(926) 46-958-46
ICQ: 344652942

Re: [Sysadmins] transparent squid auth

[MisHel64]

Здравствуйте, Rinat.

Вы писали 16 февраля 2010 г., 12:46:20:

Ну  как  вариант,  использовать  PPPtP. Встроено везде, внутри локалки
работает  всегда.  При  попытке  выйти  на  веб, переадресовывается на
локальный   web  сервер,  который  показывает  инструкцию,  что  нужно
сделать, что бы выйти в инет.

Для  инет  кафе,  используем  другую  систему.  Там администратор зала
с помощью простенького web интерфейса рулит правами машин.

> Появилась задача сделать прозрачный прокси с доступом по паролю.
> Я знаю, что средствами Squid это сделать невозможно, но может быть есть
> какие-то другие варианты с использованием динамической маршрутизации? 

> Скажем, перенаправлять на маршрутизаторе запросы пользователя
> по-умолчанию на сервер аутентификации, а после успешного ввода пароля
> изменять правила так, чтобы его запросы перенаправлялись к прозрачному
> Squid.

> Существует ли подобное ПО?
> Не обязательно на базе ALTLinux, и не обязательно открытое.


-- 
С уважением,
 MisHel64                          mailto:MisHel64@Bk.Ru

Re: [Sysadmins] transparent squid auth

[Denis Kuznetsov]

Доброго времени суток!
On Tuesday 16 February 2010 11:00:39 Alexey I. Froloff wrote:
> On Tue, Feb 16, 2010 at 11:51:13AM +0300, Timur Batyrshin wrote:

> Как вы себе это представляете "без установки стороннего софта на
> пользовательскую машину"?
А ежели 802.1x для этого заюзать???
после авторизации появится связка имени пользователя и его mac.
дальше можно фантазировать....
Для офтопика дополнительный софт на стороне клиента не нужен.
И гости тоже будут пастись в сторонке.
>
> Нет, ну можно конечно на роутере приделать простенький web
> интерфейс.  Ввёл пароль - поменялся роутинг.  Но как-то
> хреновенько оно работать будет.



-- 
Denis Kuznetsov
	mailto: kde@kde.kiev.ua
	jabber: denis.e.kuznetsov@gmail.com

Re: [Sysadmins] transparent squid auth

[Anton Farygin]

18.02.2010 23:42, Denis Kuznetsov пишет:
> Доброго времени суток!
> On Tuesday 16 February 2010 11:00:39 Alexey I. Froloff wrote:
>> On Tue, Feb 16, 2010 at 11:51:13AM +0300, Timur Batyrshin wrote:
>
>> Как вы себе это представляете "без установки стороннего софта на
>> пользовательскую машину"?
> А ежели 802.1x для этого заюзать???
> после авторизации появится связка имени пользователя и его mac.
> дальше можно фантазировать....
> Для офтопика дополнительный софт на стороне клиента не нужен.
> И гости тоже будут пастись в сторонке.

А различного рода роутеры типа D-Link DIR-100 будут работать ?

Что-то я не припомню у своего WL500gP поддержки 802.1x на стороне WAN 
интерфейса в дефолтной прошивке.

>>
>> Нет, ну можно конечно на роутере приделать простенький web
>> интерфейс.  Ввёл пароль - поменялся роутинг.  Но как-то
>> хреновенько оно работать будет.
>
>
>

Re: [Sysadmins] transparent squid auth

[Denis Kuznetsov]

Доброго времени суток!
On Friday 19 February 2010 01:46:07 Anton Farygin wrote:

> >> Как вы себе это представляете "без установки стороннего софта на
> >> пользовательскую машину"?

> А различного рода роутеры типа D-Link DIR-100 будут работать ?
>
> Что-то я не припомню у своего WL500gP поддержки 802.1x на стороне WAN
> интерфейса в дефолтной прошивке.
Всякие длинки и иже с ними пойдут лесом, как гостевые уствойства, ведь речь 
я так понимаю о ПК (в офисе) а не роутере. А раз уж пошла такая пьянка, то тут 
смотреть нужно на готовые решения, к примеру NETUP, у них есть готовый модуль 
для подобных задач.

-- 
Denis Kuznetsov
	mailto: kde@kde.kiev.ua
	jabber: denis.e.kuznetsov@gmail.com

Re: [Sysadmins] transparent squid auth

[Anton Farygin]

19.02.2010 22:12, Denis Kuznetsov пишет:
> Доброго времени суток!
> On Friday 19 February 2010 01:46:07 Anton Farygin wrote:
>
>>>> Как вы себе это представляете "без установки стороннего софта на
>>>> пользовательскую машину"?
>
>> А различного рода роутеры типа D-Link DIR-100 будут работать ?
>>
>> Что-то я не припомню у своего WL500gP поддержки 802.1x на стороне WAN
>> интерфейса в дефолтной прошивке.
> Всякие длинки и иже с ними пойдут лесом, как гостевые уствойства, ведь речь
> я так понимаю о ПК (в офисе) а не роутере. А раз уж пошла такая пьянка, то тут
> смотреть нужно на готовые решения, к примеру NETUP, у них есть готовый модуль
> для подобных задач.

Да, я так и говорил про биллинги - нужно в первую очередь смотреть на них.

Для офиса тоже могут понадобиться другие гостевые устройства (например 
принтеры), и как их авторизовывать по 802.1x ?

Впрочем, видимо можно для порта сделать исключения и прописать привязку 
MAC-IP-Port на коммутаторе.

Re: [Sysadmins] transparent squid auth

[Denis Kuznetsov]

Доброго времени суток!
Вы сами ответили на свой вопрос.
On Friday 19 February 2010 22:18:23 Anton Farygin wrote:
> Для офиса тоже могут понадобиться другие гостевые устройства (например
> принтеры), и как их авторизовывать по 802.1x ?
>
> Впрочем, видимо можно для порта сделать исключения и прописать привязку
> MAC-IP-Port на коммутаторе.

недавно обсуждал с товарищем как-бы ему объявить войну сотрудникам
офиса, которые ходят на работу с своими wifi-роутерами (минуточку задуматься,
эти товарищи еще и журналюги... (никогда не думал что журналюги способны такое 
придумать)).  дык сошлись на том, что эму достаточно фильтрации по 
фигерпринтам :) Поэтому в очередной раз убеждаюсь, что неверных решений в 
opensouce небывает. Бывают не рациональные.

-- 
Denis Kuznetsov
	mailto: kde@kde.kiev.ua
	jabber: denis.e.kuznetsov@gmail.com