Proxy-Authentifizierung für www.kg-fds.de

[Rüdiger Kupper]

Hallo Jens,
ich habe die Kepler-Homepage als eine der Startseiten in den Firefox-Profilen eingerichtet (neben WebUntis und Trac). Um www.kg-fds.de anzuzeigen muss man sich momentan am Proxy authentifizieren. Daher muss sich momentan jeder Nutzer authentifizieren, wenn er im Klassenraum einen Firefox öffnet. Das will ich den Kollegen eigentlich nicht zumuten.

Frage: Was spricht dagegen, für die Domain www.kg-fds.de den Proxy auf "DIRECT" zu setzen? Die Inhalte dieser Domain haben wir ja Kontrolle. Oder übersehe ich etwas?

[bau]

www.kg-fds.de sitzt in Berlin bei Strato, die Änderung der WPAD.DAT bringt also hier nichts.
Soweit ich den Squid verstehe (und auch schon ausprobiert habe - mit den Ubuntu-Servern habe ich das nicht hinbekommen) kann der entweder eine Passwortabfrage machen oder eben keine.

Lösungsvorschlag:
Für www.kg-fds.de tragen wir in der WPAD.DAT auf dem greenproxy (10.32.1.251) den 10.32.1.253 als Proxy ein, somit fragt er bei diesem Server nicht nach dem Passwort - ich mach das gleich mal. (Der Squid auf dem 10.32.1.253 hat die Domäne kg-fds.de bereits freigegeben.)

So machen wir das am Besten in Zukunft für alles, was wir ohne Auth freigeben wollen.

[Rüdiger Kupper]

Hi Jens,
kurze Frage zwischendurch: Welche Aufgaben erfüllt der Proxy 10.32.1.251 eigentlich, reine Beschleunigung, oder macht der sonst noch was?

[bau]

Die paedML sieht den IPCop als transparenten Proxy für alle aufgenommenen Clients vor. Der macht aber dann kein Protokoll - niemand weiß also anschließend wer wohin gesurft ist - außer bei den Clients, denn dort führt der Samba Protokoll, wer wo angemeldet war, der IPCop liefert dann die Seiten dazu. Damit bin ich auch nicht ganz glücklich aber so ist es eben vorgesehen.

Der IPCop lässt keine nicht-aufgenommenen Clients ins Internet, das führt natürlich zu Versuchen, die Firewall auszuhebeln, weshalb ich den 10.32.1.251 ins Leben gerufen habe, so dass alle Clients eine IP bekommen (vom paedml) und sofort ins Netz kommen (nach Eingabe des Passworts). Das ist überaus praktisch, denn auch Fortbildner, ... erhalten mit ihren Laptops sofort Zugang zum Internet, wenn ein Lehrer ihnen das Passwort eingibt.

Der 10.32.1.253 macht schließlich den Zugang für die Seiten, die keine Authentifizierung erfordern (z.B. die Downloadseiten für die LTSP-Server)

[Rüdiger Kupper]

Hi Jens,

danke für die Erklärung. Ich war heute wieder etwas verwirrt, warum bei uns eigentlich so viele verschiedene Wege ins Internet existieren.

Fragen:

• Verstehe ich das richtig, dass der IPCop am Kepler-Gymnasium langfristig überflüssig sein soll? Ist er das nicht jetzt schon fast? Es verwenden doch praktisch alle Rechner im grünen Netz den 10.32.1.251 als Proxy, oder? Wer geht denn dann eigentlich noch über den IPCop raus? (Das blaue Netz, glaube ich. Was sonst noch?)
• Laut Beschreibung des IPCop auf ​WikipediaDe:IPCop läuft auf dem IPCop-Rechner auch ein Squid. Wieso gibt es dann trotzdem noch zwei andere Squids (10.32.1.251 und 10.32.1.253)? So wie ich Dich verstehe, soll der 251er ja praktisch den Job des IPCop übernehmen. Wäre es da nicht einfacher gewesen, den IPCop dafür zu verwenden und nur anders zu konfigurieren?
• Oben erwähnst Du die fehlende Protokolleirung. Ist das eine der Aufgaben unserer Proxies, mitzuprotokollieren, wer auf welche Seite im Internet zugreift? Da musst Du mir nochmal erklären, wie die rechtliche Lage aussieht: Müssen wir diese Art von Protokollen führen, wenn ja, wann, warum, und in welchem Umfang?

[bau]

Antworten:

• der IPCOp ist integraler Bestandteil der paedML, er managed die komplette Kommunikation ins Internet und vom Internet. So wird z.B. die OpenVPN-Sache (Blaues Netz, WLAN) über den IPCop gesteuert, er macht die Seitenfilterung, stellt die Firewall, welche die Netze trennt. JEGLICHER Verkehr ins Netz muss durch den IPCop durch! Also auch der von den anderen Proxys

• Der IPCop ist so konfiguriert, dass nur die aufgenommenen Clients ins Internet kommen (transparent), alle anderen dürfen fast nichts. Am IPCop kann man nicht beliebig rumschrauben, da er komplett per Scripting von der paedML aus gesteuert wird. Er wird z.B. komplett gesichert und kann nach einem Crash von CD neu aufgesetzt werden und wird mit einem Restore-Befehl über das Netz wiederhergestellt.
  • Ich wollte aber für alle dem Netz nicht bekannten Rechner (Laptops, ...) einen Netzzugang, bei dem man seinen Benutzername/Passwort eingeben muss. Dafür musste der 10.32.1.251 her. Der läuft als OpenVZ virtuell auf dem 10.32.1.253. Es hat sich aber als unpraktisch herausgestellt, die LTSP-Server mit diesem Proxy zu betreiben, da der ja immer ein Passwort will. Deshalb habe ich beschlossen auch auf dem 10.32.1.253 einen Proxy zu betreiben, der kein Passwort will aber auch nur Zugriff auf ein paar wenige Seiten ermöglicht.

• Der Anschlussinhaber haftet leider für ziemlich viel, was die Nutzer über seinen Anschluss machen. Wir müssen in geeignetem Maße Sicherheitsmaßnahmen ergreifen. Dazu haben wir einen vorgelagerten Proxy der Firma BelWUE (eine Filterung auf dem IPCop ist folglich nicht mehr ganz so wichtig, spart aber massiv Traffic). Bei Missbrauch müssen wir unter Umständen nachweisen, wer was wann aufgerufen hat. Das macht der Proxy brav und logrotate entfernt die Daten, bevor die Platte vollgelaufen ist