Squid - Zwangsproxy - Anmeldung - Logfunktion

[mo]

Hi,
der Thread sagt eigentlich alles:
Ich will den Squid als Zwangsproxy mit Useranmeldung und einer entsprechenden Logfunktion (MySQL-Datenbank) einrichten. System: Debian.
Wie mach ich sowas?
Ich will das übrigens nur für meine PCs hier vor Ort, also wären keine User zu informieren (Bevor einer der Datenschützer losschreit ).

[Albu]

Also grob gesagt müßte zunächst die Infrastruktur so aufgebaut sein, dass der Proxy Server (im folgenden kurz Server genannt) zwei Netzwerk-Schnittstellen besitzt. Eine geht ins Internet (rot) und die andere führt ins geschützte Netz (blau). Damit wäre eine klare, physikalische Trennung der beiden Netze gewährleistet.

Dann muss auf dem Server eine Firewall mit NAT konfiguriert werden. In dieser Firewall werden alle Ports (1-65535) für UDP und TCP vom blauen ins rote Netz gesperrt. Lediglich Verbindungen auf dem Proxy Port (Standard 3128 für squid) von Blau zum Server werden zugelassen. Dadurch können die Benutzer vom Internet nur das sehen, was über den Proxy zugelassen wird.
Hier bieten sich dann noch diverse Addons wie adzapper oder squidguard an.

Über die ACL Filter in der squid.conf kann dann das Anmelden der Benutzer gefordert werden (proxy_auth) und diverse andere Einschränkungen (z.B. erlaubte remote Ports) eingestellt werden.

Wie und ob eine Anbindung an eine Datenbank möglich ist, weiß ich nicht, habe ich auch noch nicht durchgeführt. I.d.R. kann man mittels grep, sed und awk auch sehr effektiv in den Logdateien suchen und forschen.

Alles, was dann noch zu tun ist, ist den Benutzern die Proxy Einstellung mitzuteilen. Alternativ kann man auch einen Webserver aufsetzen und dort eine Datei proxy.pac hosten, die im Browser für die "automatische Proxy Konfiguration", bzw. "Proxy Konfiguration über URL" verwendet werden kann. Allerdings muss man dazu einen weiteren Dienst und damit Port für die Benutzer des blauen Netzes zugänglich machen.

Squid kann man mittels Firewall Regeln auch als transparenten Proxy verwenden. Dann wäre keine proxy Konfiguration im Client nötig, da alle Anfragen an Port 80 automatisch durch den Proxy gemappt werden. Aber laut Doku kann man dann kein proxy_auth mehr verwenden und ergo keine Benutzeranmeldung.

Zur Firewall Konfiguration kann ich shorewall empfehlen.