close Warning: Can't synchronize with repository "keplertools" (/srv/svn/keplertools does not appear to be a Subversion repository.). Look in the Trac log for more information.

Opened 13 years ago

Closed 13 years ago

Last modified 13 years ago

#1414 closed Defekt (erledigt)

Kein Proxy im Schülernetz?

Reported by: Rüdiger Kupper Owned by: bau
Priority: schnell erledigen Milestone: Schuljahr 2013/14
Component: Hardware: Netzwerktechnik Severity: beeinträchtigt den Unterricht vieler Lehrer
Keywords: Cc:

Description

Täusche ich mich, oder kommt man derzeit im Schülernetz ohne Proxy ins Internet?

Change History (8)

comment:1 by bau, 13 years ago

Irgendwie habe ich da auch das komische Gefühl.
Was macht der IPFire da???

comment:2 by bau, 13 years ago

Resolution: → erledigt
Status: new → closed

Es war kein IPFire-Problem!
Auf dem proxys.kg-fds.de war IP_Forwarding (/proc/sys/net/ipv4/ip_forward) eingeschaltet. Normalerweise reicht dies keinswegs für das Weiterleiten von Internetpaketen ins Netz, in dieser speziellen Konstellation gingen die Pakete aber so raus, als ob sie vom proxys kämen.

Ich habe das jetzt abgestellt.

comment:3 by bau, 13 years ago

Auch bei der Konfiguration des squid auf dem ipFire war eine Fehlkonfiguration, die dazu führte, dass jeder über den ipFire-Proxy ohne Authentifizierung rauskam. Das habe ich nun über [Netzwerk->Webproxy / Erlaubte Subnetze] geregelt.

comment:4 by Rüdiger Kupper, 13 years ago

Wie sind diese Lücken denn entstanden?

comment:5 by bau, 13 years ago

Nun, das waren verschiedene Unachtsamkeiten.

  1. Normalerweise ist die Grundeinstellung für den kernel: ip_forward = 0, bei den VM übernimmt der wohl beim Starten die Einstellung des Host-Kernel - komisch
  2. Beim Umzug auf die neue Musterlösung linuxmuster.net 6 wurden leider nicht alle Konfigurationsdetails mit umgezogen. Auch bin ich mir nicht sicher, ob die Einstellungen der linuxmuster.net beim ipfire letztendlich sicher sind. Die arbeiten viel mit der firewall auf dem paedml, es genügt meiner Ansicht nach aber nicht, einfach keine Namensauflösung für unbekannte Clients anzubieten - ich denke, da muss der Proxy selbst die unbekannten IP/MAC rausblocken.

in reply to:  2 comment:6 by Rüdiger Kupper, 13 years ago

Replying to bau:

Auf dem proxys.kg-fds.de war IP_Forwarding (/proc/sys/net/ipv4/ip_forward) eingeschaltet.
[...]
Ich habe das jetzt abgestellt.

Ich gehe davon aus, dass Änderungen im proc-Dateibaum nur temporär bis zum nächsten Reboot gelten. Ich nehme an, für eine dauerhafte Änderung musst Du den entsprechenden Eintrag in /etc/sysctl.conf setzen: net.ipv4.ip_forward=1.

comment:7 by bau, 13 years ago

Genau so ist es - ist bereits erledigt :-)

comment:8 by Rüdiger Kupper, 13 years ago

Super :-)!

Note: See TracTickets for help on using tickets.