IPCOP - Iptables - Forcer Proxy

Bonjour

j'ai mis en place IPCOP sur une de mes machines. J'aimerai forcer le proxy afin que même si les utilisateurs soient obligés de passé par le proxy :
voici la règle que jai créé :

Code:

---

iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 80 -j REDIRECT --to-port 800

---

voici l'erreur que j'obtient lors de la naviguation :

Citation:

---

L'URL demandée n'a pu être chargée

--------------------------------------------------------------------------------

En essayant de traiter la requête :

GET / HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/xaml+xml, application/vnd.ms-xpsdocument, application/x-ms-xbap, application/x-ms-application, application/x-silverlight, application/vnd.ms-excel, application/vnd.ms-powerpoint, application/msword, */*
Accept-Language: fr-fr
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET CLR 1.1.4322; .NET CLR 3.0.04506.30)
Host: www.google.fr
Connection: Keep-Alive
Cookie: PREF=ID=f01e409e5ac726fb:FF=1:TM=1202206539:LM=1202983520:S=uizFznM1emzwpH_U


L'erreur suivante a été rencontrée :

Requête invalide
Quelque chose est invalide dans la requéte HTTP. Problèmes envisageables :

Méthode de requête absente ou inconnue (GET, POST)
Absence d'URL
Absence d'identifiant HTTP (HTTP/1.0)
La requête est peut-être trop volumineuse
Champ Content-Length absent pour les requêtes POST ou PUT
Caractère illégal dans le nom de la machine, les soulignés (underscores) ne sont pas autorisés.

-------------------------------------------------------------------------------

Generated Sun, 17 Feb 2008 17:19:54 GMT by ipcop.mairie.local (squid)

---

merci de votre aide

pourquoi ne pas simplement activer le proxy transparent ?


sinon tu peux utiliser BlockOutTraffic pour limiter les ports... ainsi les clients seront forcés d'utiliser le proxy ;)

je ne peut pas utiliser le proxy transparent car j'ai mis en place une authentification via LDAP. Je souhaite procédé par cette façon avec IPTABLES.

Merci de ton aide

ben tu as tout faux alors... parce que le proxy transparent effectue cette redirection ;)


il te faut donc bloquer les ports 80, et obliger les utilisateurs à déclarer le proxy explicitement :P

oui je sais que le proxy transparent effectue cette règle mais :

Proxy transparent INCOMPATIBLE avec une authentification LDAP donc je ne peut pas procédé comme cela.
C'est pour cela que je souhaite utilisé IPTABLES.

Citation:

---

Envoyé par scarabaeus

oui je sais que le proxy transparent effectue cette règle mais :

Proxy transparent INCOMPATIBLE avec une authentification LDAP donc je ne peut pas procédé comme cela.
C'est pour cela que je souhaite utilisé IPTABLES.

---

on est pas sorti de l'auberge... le proxy transparent utilise la redirection iptables ^^
http://gorgonite.developpez.com/tuto...isations#LII-1


si tu veux l'authentification systématique des connexions http/https, il faut obliger les client à utiliser squid en direct, et donc sous ipcop, interdire les NAT des ports 80 et 443 ^^

je te conseille l'addon BlockOutTraffic qui a une politique par défaut très parano, et te permettra d'écrire des règles iptables assez fines ;)

regarde le screen shoot avec le mode transparent d'activer, moi mon ipcop a pas l'air d'apprécié :

http://img138.imageshack.us/img138/7...itreuk7.th.jpg

Citation:

---

Envoyé par scarabaeus

regarde le screen shoot avec le mode transparent d'activer, moi mon ipcop a pas l'air d'apprécié

---

je suis au courant... j'ai un IpCop chez moi ^^

as-tu testé l'addon BlockOutTraffic ?

non je n'ai pas encore eu le temps de le tester, je le ferai mais je voudrais redireger les requêtes avec une règle iptable même si le module est plus complet.

:D

tu n'as pas lu ceci... http://gorgonite.developpez.com/tuto...isations#LII-1


il y a les deux commandes iptables nécessaires :aie:

je vais essayer ceci ce soir :

Citation:

---

# activer le routage d'adresses
echo 1 > /proc/sys/net/ipv4/ip_forward

# vous devez adapter zone_ip_interne et IP_interne

# exemple zone_ip_interne = 192.168.0.0
iptables -t nat -A PREROUTING -s zone_ip_interne/255.255.255.0 \
-p tcp -m tcp --dport 80 -j REDIRECT --to-port 8080
# exemple IP_interne = 192.168.0.1
iptables -t nat -A PREROUTING -s zone_ip_interne/255.255.255.0 \
-p tcp -m tcp --dport 80 -j DNAT --to-destination IP_interne:8080

---

merci de ton aide

au passage, sous Ipcop le port de squid est 800 et non 8080 ou 3128 ;)

tinquiète je me suis déja fait avoir avec ces ports maintenant j'ai retenu le port 800.

Dans la doc d'advanced proxy que j'utilise sous IPCOP, il y a marqué ceci.
Cette règle ne redirige pas les requêtes ? d'après la commande.

Citation:

---

Custom rules can be applied by adding them to the file /etc/rc.d/rc.firewall.local
The following example drops all direct access from inside to the destination ports 80 and 443 outside.
#!/bin/sh
# Used for private firewall rules
# See how we were called.
case "$1" in
start)
## add your 'start' rules here
/
stop)
## add your 'stop' rules here
;;
reload)
$0 stop
$0 start
## add your 'reload' rules here
;;
*)
echo "Usage: $0 {start|stop|reload}"
;;
esac
Note: Replace ppp0 with the name of your RED interface if ppp0 is not your RED interface.
Note: Replace eth0 with the name of your GREEN interface if eth0 is not your GREEN interface.
Note: You can add more lines for additional interfaces (e.g. eth1 for a wireless network)
Note: The rules must be reloaded after this modification: /etc/rc.d/rc.firewall.local reload
Note: The recommended ports to be blocked for web access are: 80,81,443,3128,6588,8000,8080,8181

---

j'ai essayé avec ton tuto mais toujours la même erreur.
j'ai modifié le fichier squid.conf, j'ai redémarré la machine puis appliqué les commandes iptables.

je crois que ca ne marchera jamais.:cry:

Citation:

---

Envoyé par scarabaeus

je crois que ca ne marchera jamais.:cry:

---

ben la redirection de ports ne marche sans doute pas... configures squid pour écouter sur le port 80 directement ^^