Duvidas gerais Squid/XMPP/VPN/Ubuntu Server 7.10

Question

Ol&aacute; galera, vai ficar um post meio grande, mas &eacute; que tenho algumas v&aacute;rias d&uacute;vidas sobre o que estou tentando fazer no trabalho..

A rede, quando eu cheguei, estava toda liberada, tudo com IP fixo (25 m&aacute;quinas tem na rede), uma m&aacute;quina com Windows 2003 Server sem nada (apenas o roteador ligado nela, e ela dividindo acesso, como uma rede dom&eacute;stica)... Minha tarefa inicial foi fazer o bloqueio de sites indesejados, msn, etc etc... Como est&aacute; pra chegar um servidor novo (o servidor &eacute; um pentium 3 todo zuado).. eu peguei uma m&aacute;quina nova (x2 4000+, 2x 512 DDR2, HD Sata 80Gb), e coloquei o Ubuntu Server 7.10... coloquei o Squid nele, e coloquei um servidor DHCP nele, e registrei o MAC de todas as m&aacute;quinas na rede nele, de forma a fornecer IP por DHCP, por&eacute;m Ip fixo, igual estava antes, por nao ter mexido no servidor atual...

Resolvi nao botar a m&atilde;o no que j&aacute; est&aacute; feito l&aacute;... fiz apenas uma interven&ccedil;&atilde;o e redirecionei o tr&aacute;fego para o meu servidor Linux, e o Linux passa pro servidor atual.. configurei como proxy transparente (redirecionamento de porta 80), embora andei lendoa qui que muitos n&atilde;o concordam com isso.. .mas bem depois que chegar o server mesmo e eu colocar o AD... vou criar GPO para configurar os clientes para automaticamente pegar o proxy..

Mas bem, ta tudo rodando beleza.. meu Squid.conf eu posto aqui depois hehe aos poucos ta ficando bem completinho... Bloqueando radios online, orkut, msn (infelizmente o hotmail foi junto, mas foi aprovado pela chefia, entao beleza), google talk (web, client e via e-mail, sem perder o e-mail do gmail), youtube, e coloquei bloqueio de malware tambem, com atualizacao a cada 4 horas do site (www.malware.com.br, bastante interessante o projeto), e bloqueiod e algumas portas no IPtables, mas at&eacute; ent&atilde;o a config ta como libera tudo e bloqueia o necessario, tendo em vista que ainda nao fiz um estudo mais aprofundado pra saber quais portas s&atilde;o usadas e tal.

Bem, a empresa tem algumas filiais... e eu vou colocar um servidor linux em cada filial.. minha id&eacute;ia era fazer uma VPN permantente entre eles, de forma a poder fazer uma gerencia remota de todas as filiais, e configurar por questoes de seguranca, acesso somente pela rede local, no caso a da VPN, de forma que toda vez que eu mudar alguma coisa no meu script do Squid, ao inves de dar um squid -k reconfigure, eu rodo um script que troca os arquivos de cada servidor remoto e manda reconfigurar tudo...

A parada foi que eu apanhei feio pra conseguir fazer o Hamachi rodar (achei ele mais simples, na id&eacute;ia principal... ja usava aqui em casa pra jogar, era bem o que eu queria, simplesmente uma interface de rede criando uma rede somente entre as m&aacute;quinas que estiverem na sala... acontece que nao consegui fazer funfar por nada no mundo.. v&aacute;rios tutoriais e tal.. instalei, mas na hora do hamachi login ele simplesmente nao conecta.. Dai vou tentar depois fazer essa VPN.. at&eacute; ent&atilde;o, nao fiz nenhum server pras filiais, devo ir na semana que vem nas filiais pra fazer tudo... Vai ser uma coisa basica.. PC com 2 placas de rede, modem do velox entrando em uma, e na outra o cabo indo pro switch.. at&eacute; entao vou fazer via SSH, com o putty e tal, as a questao da VPN era mais por outro motivo.. queria colocar um Servidor XMPP, e colocar um client interno pra rodar na empresa... Mas queria comunica&ccedil;&atilde;o com as filiais, de forma a fazer uma grande rede de contatos.. todo mundo podendo adicionar todo mundo de qualquer filial, de forma bem transparente... Mas acredito que para isso precisaria fazer a VPN funcionar, pra criar uma interface de rede virtual, pois nao sei se d&aacute; pra centralizar esse tipo de coisa pela internet..

Outra coisa &eacute; com o bloqueio de portas.. chegando o servidor novo, e quando eu fizer as configs a partir do zero em tudo... quero fazer a pol&iacute;tica bloqueia tudo e libera o necess&aacute;rio, mas queria poder sniffar a rede pra descobrir quais sao as portas utilizadas para saida (tem uns programas que soa usados), a primeira alternativa foi tentar snifar a partir do meu computador la, por&eacute;m &eacute; tudo via Switch, e nao funcionou o sniffer... Agora pensei numa outra coisa, nao sei se funciona... Posso configurar no meu atual gateway de internet (tudo passa por ele, e a partir dai vai para o servidor ja existente la), para gerar um log de todas as conexoes efetuadas por alguns IPs em espec&iacute;fico, mostrando portas e tal, para depois eu poder ver o que foi conectado? Da mesma forma, tem um cara enjoado que fica tentando burlar o bloqueio todo dia... Eu vou pra l&aacute; a tarde, por causa da facul de manha.. dai eu chego a tarde, vejo que o cara da manha acessou por algum site via Ip (meebo, etc etc), dai eu vou, adiciono o IP no bloqueio, procuro semelhantes, e beleza.... no ouitro dia aparece outro... passei hoje pros supervisores a respeito disso, mandaram eu continuar bloqueando, e guardando os logs.. O dia que minha paciencia estourar, fa&ccedil;o um relatorio detalhando mostrando todos os acessos a sites indevidos, mostrando a inten&ccedil;&atilde;o de furar o bloqueio, e o cara vai tomar uma advertencia (quando eu coloquei o bloqueio pra rodar, foi feito um comunicado interno avisando que foi feito o bloqueio de tudo que nao &eacute; relativo ao trabalho, e que independente de quem fosse pego burlando, seria advertido)... (o que eu gosto nessa empresa que eu to, &eacute; que no meu caso, o setor de informatica, onde eu sou o admin do servidor, o chefe do setor de info mesmo, eu tenho contato direto com a chefia, e sou subordinado somente ao diretor geral e o diretor administrativo, tudo que eu precisar, falo com o diretor administrativo, sobre condutas a serem tomadas etc etc.. e quando preciso tenho acesso &agrave; diretoria geral.. gosto dessa independencia com rela&ccedil;&atilde;o a outros setores)

No mais, tenho como mandar o iptables gerar um log com TUDO que sair e chegar para determinados hosts? vou mandar sniffar 3 computadores que acessam esses programas em especial, e queria saber quais portas sao usadas para sair, e chegar... de modo a bloquear todas as outras, so deixando essas abertas

No caso, o que voc&ecirc;s acham de um Pentinum 4 2,4GHz, 2x 256 DDR333, HD 80Gb ATA100, 2x 100Mbps, para receber o link da internet por uma porta, e colocar a outra porta no switch? deixando toda a rede separada da internet, inclusive colocando o Servidorz&atilde;o no switch junto com os outros, rodando o Ubuntu Server 7.10 c/ Squid, e 2003 Server c/ AD, DHCP, WSUS..

Pensei no seguinte: Todas as maquinas da rede, vao ser configuradas por DHCP c/ IP fixo pelo 2003 server, e com gateway para o P4... dai se for requisi&ccedil;&atilde;o para porta 80 (tentando sair direto para a internet), redireciona para o IP do Linux c/ o Squid, e de l&aacute; vai pro gateway, e dai sim autorizado..

ou entao todas as maquinas mandando a conexao para o Squid, e de l&aacute; para o proxy... nao sei direito ainda como fazer do melhor jeito possivel =/

num falei? topico gigante =///

Answer

Ola, n&atilde;o sou nenhum expert em linux, na verdade estou estudando e muitomas deixa eu ver se consigo te ajudar um pouco
Que tem como o iptables logar tudo o que entra e sai tem sim, a duvida que me surgio &eacute; a seguinte como esta a sua rede:
squid->2003->rede
ou squid->rede (incluindo o 2003) ?
acho que isso vai fazer uma grande diferen&ccedil;a na hora de criar as regras.
Outro ponto &eacute; mais facil mesmo do gateway pegar todas as portas (ate porque s&atilde;o essas as portas pra se comunicar com a internet) um program super simples &eacute; o iptraf (n&atilde;o vai de dar detalhes mirabolantes) mas vai te dizer as portas utilizadas, ele tb cria log, e com um dia de log acho que vc vai ter (ou tudo ou pelo menos a grande parte do que &eacute; usando na empresa)
Como sou iniciante pensei em algo mais ou menos assim:[size=4]
 
iptables -A INPUT -p tcp --dport 20:65000 -j LOG
 
e usar a mesma regra para as tabelas OUTPUT e FORWARD agora acredito que esse log vai ficar monstruoso, o mais facil e simples seria fazer uma auditoria dos programas utilizados na empresa e verificar as portas que eles usam. Como estou aprendendo por favor se escrevi besteira me corrija assim aprendo um pouco mais e da forma correta.
Abra&ccedil;os e boa sorte (espero ter ajudado um pouco)
[/SIZE]

Answer

Bloqueando radios online, orkut, msn (infelizmente o hotmail foi junto, mas foi aprovado pela chefia, entao beleza)
Tem como fazer o bloqueio s&oacute; do MSN.

Bem, a empresa tem algumas filiais... e eu vou colocar um servidor linux em cada filial.. minha id&eacute;ia era fazer uma VPN permantente entre eles, de forma a poder fazer uma gerencia remota de todas as filiais, e configurar por questoes de seguranca, acesso somente pela rede local, no caso a da VPN, de forma que toda vez que eu mudar alguma coisa no meu script do Squid, ao inves de dar um squid -k reconfigure, eu rodo um script que troca os arquivos de cada servidor remoto e manda reconfigurar tudo...

A parada foi que eu apanhei feio pra conseguir fazer o Hamachi rodar (achei ele mais simples, na id&eacute;ia principal... ja usava aqui em casa pra jogar, era bem o que eu queria, simplesmente uma interface de rede criando uma rede somente entre as m&aacute;quinas que estiverem na sala... acontece que nao consegui fazer funfar por nada no mundo.. v&aacute;rios tutoriais e tal.. instalei, mas na hora do hamachi login ele simplesmente nao conecta.. Dai vou tentar depois fazer essa VPN.. at&eacute; ent&atilde;o, nao fiz nenhum server pras filiais, devo ir na semana que vem nas filiais pra fazer tudo... Vai ser uma coisa basica.. PC com 2 placas de rede, modem do velox entrando em uma, e na outra o cabo indo pro switch.. at&eacute; entao vou fazer via SSH, com o putty e tal, as a questao da VPN era mais por outro motivo.. queria colocar um Servidor XMPP, e colocar um client interno pra rodar na empresa... Mas queria comunica&ccedil;&atilde;o com as filiais, de forma a fazer uma grande rede de contatos.. todo mundo podendo adicionar todo mundo de qualquer filial, de forma bem transparente... Mas acredito que para isso precisaria fazer a VPN funcionar, pra criar uma interface de rede virtual, pois nao sei se d&aacute; pra centralizar esse tipo de coisa pela internet..

Eu sugiro que voc&ecirc; use o OpenVPN. &Eacute; muito simples de configurar e muito eficiente.

Como suas m&aacute;quinas Linux ser&atilde;o os gateways de sua rede, n&atilde;o vai precisar de nenhuma grande altera&ccedil;&atilde;o nas outras, pra voc&ecirc; poder trabalhar com as redes como se fossem diretamente conectadas.

S&oacute; &eacute; preciso ter um cuidado: cada filial ter&aacute; que usar uma faixa de IPs diferente, ou sen&atilde;o voc&ecirc; n&atilde;o vai poder acessar os pontos remotos.

Outra coisa &eacute; com o bloqueio de portas.. chegando o servidor novo, e quando eu fizer as configs a partir do zero em tudo... quero fazer a pol&iacute;tica bloqueia tudo e libera o necess&aacute;rio, mas queria poder sniffar a rede pra descobrir quais sao as portas utilizadas para saida (tem uns programas que soa usados), a primeira alternativa foi tentar snifar a partir do meu computador la, por&eacute;m &eacute; tudo via Switch, e nao funcionou o sniffer... Agora pensei numa outra coisa, nao sei se funciona... Posso configurar no meu atual gateway de internet (tudo passa por ele, e a partir dai vai para o servidor ja existente la), para gerar um log de todas as conexoes efetuadas por alguns IPs em espec&iacute;fico, mostrando portas e tal, para depois eu poder ver o que foi conectado? Da mesma forma, tem um cara enjoado que fica tentando burlar o bloqueio todo dia... Eu vou pra l&aacute; a tarde, por causa da facul de manha.. dai eu chego a tarde, vejo que o cara da manha acessou por algum site via Ip (meebo, etc etc), dai eu vou, adiciono o IP no bloqueio, procuro semelhantes, e beleza.... no ouitro dia aparece outro... passei hoje pros supervisores a respeito disso, mandaram eu continuar bloqueando, e guardando os logs.. O dia que minha paciencia estourar, fa&ccedil;o um relatorio detalhando mostrando todos os acessos a sites indevidos, mostrando a inten&ccedil;&atilde;o de furar o bloqueio, e o cara vai tomar uma advertencia (quando eu coloquei o bloqueio pra rodar, foi feito um comunicado interno avisando que foi feito o bloqueio de tudo que nao &eacute; relativo ao trabalho, e que independente de quem fosse pego burlando, seria advertido)... (o que eu gosto nessa empresa que eu to, &eacute; que no meu caso, o setor de informatica, onde eu sou o admin do servidor, o chefe do setor de info mesmo, eu tenho contato direto com a chefia, e sou subordinado somente ao diretor geral e o diretor administrativo, tudo que eu precisar, falo com o diretor administrativo, sobre condutas a serem tomadas etc etc.. e quando preciso tenho acesso &agrave; diretoria geral.. gosto dessa independencia com rela&ccedil;&atilde;o a outros setores)

No mais, tenho como mandar o iptables gerar um log com TUDO que sair e chegar para determinados hosts? vou mandar sniffar 3 computadores que acessam esses programas em especial, e queria saber quais portas sao usadas para sair, e chegar... de modo a bloquear todas as outras, so deixando essas abertas

Se voc&ecirc; sniffar no servidor de compartilhamento, vai pegar todo o tr&aacute;fego direcionado &agrave; internet.

Minha sugest&atilde;o, no caso, &eacute; que voc&ecirc; filtre esse sniff, de forma a pegar apenas o three-way handshake, que &eacute; a sequ&ecirc;ncia inicial da conex&atilde;o tcp. Assim voc&ecirc; sabe pra onde o alvo conectou, e se o destino respondeu. Depois, com elementos suficientes, voc&ecirc; pode concentrar em um ou mais destinos, sem perder muito tempo (e espa&ccedil;o, os traces ocupam muito espa&ccedil;o em disco) com coisas irrelevantes.

No caso, o que voc&ecirc;s acham de um Pentinum 4 2,4GHz, 2x 256 DDR333, HD 80Gb ATA100, 2x 100Mbps, para receber o link da internet por uma porta, e colocar a outra porta no switch? deixando toda a rede separada da internet, inclusive colocando o Servidorz&atilde;o no switch junto com os outros, rodando o Ubuntu Server 7.10 c/ Squid, e 2003 Server c/ AD, DHCP, WSUS..

Pensei no seguinte: Todas as maquinas da rede, vao ser configuradas por DHCP c/ IP fixo pelo 2003 server, e com gateway para o P4... dai se for requisi&ccedil;&atilde;o para porta 80 (tentando sair direto para a internet), redireciona para o IP do Linux c/ o Squid, e de l&aacute; vai pro gateway, e dai sim autorizado..

ou entao todas as maquinas mandando a conexao para o Squid, e de l&aacute; para o proxy... nao sei direito ainda como fazer do melhor jeito possivel =/

Veja s&oacute;: a m&aacute;quina que carrega nossa rede nas costas, aqui, &eacute; um P3-1000 com 1GiB de RAM. S&atilde;o 500 m&aacute;quinas na nossa rede, incluindo impressoras (que ficam numa faixa de IPs diferenciada).

Esse firewall (bridge) ainda roda o NTOP e o Snort. A carga m&eacute;dia do sistema &eacute; 0.5. O Squid, no entanto, fica em outra m&aacute;quina. Usamos o proxy configurado, em hierarquia com a nossa matriz, e recentemente configurei o WPAD, em nossa rede.

Sobre a topologia, sugiro que a nova m&aacute;quina Linux seja o &uacute;nico gateway. Mantenha o servidor Win2k3, mas tire todas as fun&ccedil;&otilde;es de roteamento dele --- deixe-o fazer o que ele sabe fazer direito. Ligue todas as m&aacute;quinas diretamente aos swiches.

Answer

[quote=jqueiroz, post: 3676427]Tem como fazer o bloqueio s&oacute; do MSN.[/quote]

Tem? Como que &eacute; feito? Pelo que eu li, n&atilde;o achei nenhuma alternativa, usando somente o Squid.. Estava lendo que at&eacute; a vers&atilde;o 7.5, era s&oacute; bloquear o acesso da gateway.dll, mas na vers&atilde;o 8, se ele n&atilde;o consegue acesso normal, ele tenta pelas portas 80 e 443, tentando logar ao passport... Imaginei o bloqueio com o Isa Server.. fica uma solu&ccedil;&atilde;o boa? O Iptables como front-end, pra filtrar tentativas de invas&atilde;o, etc etc.. o Isa server como firewall interno da rede, e o Squid como web-cache?

Eu sugiro que voc&ecirc; use o OpenVPN. &Eacute; muito simples de configurar e muito eficiente.

Como suas m&aacute;quinas Linux ser&atilde;o os gateways de sua rede, n&atilde;o vai precisar de nenhuma grande altera&ccedil;&atilde;o nas outras, pra voc&ecirc; poder trabalhar com as redes como se fossem diretamente conectadas.

S&oacute; &eacute; preciso ter um cuidado: cada filial ter&aacute; que usar uma faixa de IPs diferente, ou sen&atilde;o voc&ecirc; n&atilde;o vai poder acessar os pontos remotos.

Como que funciona? Tentei ler a respeito, mas acabei me perdendo nas configura&ccedil;&otilde;es.. acho que a principio, vou colocar uma regra pra impedir conex&otilde;es TCP de se iniciarem, e liberar uma porta que eu vou atribuir ao SSH (diferente da 22), dai vou poder acessar remotamente, e posteriormente vou instalar o OpenVPN (havia tentado o Hamachi, mas cansei depois de tomar muita surra.. vi muita gente em foruns do proprio Ubuntu relatando que nao funcionava... simplesmente ele nao conecta)..

Se voc&ecirc; sniffar no servidor de compartilhamento, vai pegar todo o tr&aacute;fego direcionado &agrave; internet.

Minha sugest&atilde;o, no caso, &eacute; que voc&ecirc; filtre esse sniff, de forma a pegar apenas o three-way handshake, que &eacute; a sequ&ecirc;ncia inicial da conex&atilde;o tcp. Assim voc&ecirc; sabe pra onde o alvo conectou, e se o destino respondeu. Depois, com elementos suficientes, voc&ecirc; pode concentrar em um ou mais destinos, sem perder muito tempo (e espa&ccedil;o, os traces ocupam muito espa&ccedil;o em disco) com coisas irrelevantes.

Acho que vou ir nas m&aacute;quinas que utilizam servi&ccedil;os online, e sniffar pessoalmente elas, capturando portas e tal..

Ou ent&atilde;o, eu tenho como filtrar no meu firewall/web-cache, qualquer conex&atilde;o de umd eterminado host? Por exemplo se eu der um tail -f no access.log do squid, com grep no ip desejado, eu consigo ver em tempo real todas as conex&otilde;es TCP porta 80 que ele fez.. tem algo do tipo para eu verificar todos os acessos dele a internet?

Veja s&oacute;: a m&aacute;quina que carrega nossa rede nas costas, aqui, &eacute; um P3-1000 com 1GiB de RAM. S&atilde;o 500 m&aacute;quinas na nossa rede, incluindo impressoras (que ficam numa faixa de IPs diferenciada).

Esse firewall (bridge) ainda roda o NTOP e o Snort. A carga m&eacute;dia do sistema &eacute; 0.5. O Squid, no entanto, fica em outra m&aacute;quina. Usamos o proxy configurado, em hierarquia com a nossa matriz, e recentemente configurei o WPAD, em nossa rede.

Sobre a topologia, sugiro que a nova m&aacute;quina Linux seja o &uacute;nico gateway. Mantenha o servidor Win2k3, mas tire todas as fun&ccedil;&otilde;es de roteamento dele --- deixe-o fazer o que ele sabe fazer direito. Ligue todas as m&aacute;quinas diretamente aos swiches.

Bem, como havia comentado la em cima.. a id&eacute;ia &eacute; deixar o linux com o iptables como front-end, para ele evitar as invas&otilde;es externas.. e dentro da rede, o ISA Server, pois li a respeito, que ele de fato &eacute; uma solu&ccedil;&atilde;o bem mais parruda para um firewall de rede (e o iptables &eacute; mais parrudo pra segurar a onda de tentativas de invas&atilde;o, etc etc), e que o squid &eacute; mais eficiente que o ISA como web-proxy.. Pelo fato de o ISA rodar como client em cada maquina, posso bloquear aplicativos diretamente, e liberar o tr&aacute;fego &agrave; internet...

Valeu de mont&atilde;o jqueiroz!!!!

Answer

subindo o t&oacute;pico...

Ferramentas

Mover Tópico