Proxies im Kepler-Netzwerk

Im Kepler-Netzwerk existieren zwei ​Squid Proxy-Server. Ihre Aufgaben sind

• beschleunigen des Zugriffs auf Seiten außerhalb des Kepler-Netzwerkes (Web-Caching)
• authentifizieren der Nutzer, die auf Seiten außerhalb des Kepler-Netzwerkes zugreifen
• beschränken des Zugangs zu bestimmten Seiten

Proxy im grünen Netz

Aus #250:

Wir haben im grünen Netz zwei Verfahren, wie man ins Internet kommt:

1. DNS: paedml.kg-fds.de (10.32.1.1)
   WPAD: paedml.kg-fds.de
   Gateway: ipcop.kg-fds.de (10.32.1.254, transparent, deshalb DIRECT)
   liefert die folgende wpad.dat, da ​IPCop transparent ist:

   function FindProxyForURL(url, host)
   {
     return "DIRECT";
   }
   

   IPcop-Webadmin: ​https://10.32.1.254:445

2. DNS: 10.32.1.251 (GreenProxy)
   WPAD: 10.32.1.251
   Gateway: 10.32.1.251 (Nicht transparent, Squid auf Port 3128)
   liefert folgende wpad.dat:

   function FindProxyForURL(url, host)
   {
   lurl = url.toLowerCase();
   
   if ((lurl.substring(0, 5) == "http:") ||
       (lurl.substring(0, 4) == "ftp:" ) ||
       (lurl.substring(0, 6) == "https:"))
     if ((isPlainHostName(host) && !localHostOrDomainIs(host, "www")) ||
         (dnsDomainIs(host, ".kg-fds.de") && !localHostOrDomainIs(host, "www.kg-fds
   .de")) ||
         (host.substring(0, 6) == "10.32."))
         return "DIRECT";
     else
        if (localHostOrDomainIs(host, "www.kg-fds.de"))
            return "PROXY 10.32.1.253:3128";
        else
            return "PROXY 10.32.1.251:3128";
   else
      return "DIRECT";
   }
   

In dieser wpad.dat werden alle Anfragen an die Domain kg-fds.de lokal beantwortet (ohne Proxy) lediglich www.kg-fds.de muss über den Proxy raus. Zusätzlich wäre das Netz 10.32.0.0 / 255.255.240.0 rauszunehmen.

Proxy an der Kommandozeile

Der folgende Aufruf sollte den Proxy an der Kommandozeile setzen:

export http_proxy=http://<username>:<password>@10.32.1.251:3128/

Squid auf 10.32.1.253

Auf 10.32.1.253 (ProxmoxS) läuft ein weiterer ​Squid. Dieser Proxy wird von den LTSP-Servern für Software-Updates benutzt (apt).

Adressen im Proxy freischalten

Adressen, die über den 253er Proxy ohne Authentifizierung zugänglich sein sollen, müssen in 10.32.1.253:/etc/squid/squid.conf eingetragen werden. Das ist z.B. sinnvoll für

• die Adressen, auf die apt zum Software-Update zugreift
• den Kepler-Kalender von Herrn Hilbert
• die Kepler-Homepage (die ja extern liegt)

Danach muss Squid die Konfigurationsdatei neu einlesen (s.u.).

Squid-Konfigurationsdatei neu einlesen

    squid -k reconfigure

teilt Squid mit, dass die Konfigurationsdatei neu eingelesen werden soll. Das ist nach jeder Änderung an der squid.conf nötig.

Adressbereiche von Domains herausfinden

 ping URL

ergibt mal eine URL der Domain, damit kann man dann bei ​https://apps.db.ripe.net/search den Adressbereich herausfinden. Auch unter ​http://tcpiputils.com/ sind gute Ergebnisse erhältlich: Zunächst einen DNS-Lookup, die erhaltene IP dann bei WHOIS-Lookup abfragen.