alpolle Aug 25 2012 at 21:55

Прозрачное проксирование или как подружить Cisco и Squid

3 min

44K

Configuring Linux*System administration*Cisco*

From sandbox

Comments 14

Darka Aug 26 2012 at 00:29

Еще одна статья «Как настроить WCCP» =)

Darka Aug 26 2012 at 00:30

Кстати небольшой нюанс, для случая с ASA сервер прокси должен находится обязательно в том-же VLAN, что и пользователи.

Levitator Aug 26 2012 at 20:31

Когда делаешь все сам, «нюансов» хватит. ) Например, в этом мануале я не увидел ни слова про Router ID и как он выбирается асой…

mashimaro Aug 26 2012 at 18:56

А какой смысл ВЕСЬ трафик заворачивать на сквид? Ведь некоторые протоколы не смогут нормально работать со сквидом в transparent режиме (SSL, например).
Есть более интересные решения.

Levitator Aug 26 2012 at 20:23

Видимо имелся в виду весь трафик, приходящий по GRE. А если глянуть акл асы, то можно увидеть, что заворачивается в туннель только www.

mashimaro Aug 26 2012 at 20:31

Ну да, не заметил any eq www

amario Aug 26 2012 at 20:40

В дополнение, альтернативные решения:

При не больших объемах (как пользователей, так и правил фильтрации), можно просто использовать url filtering на asa.
ссылка

Ну а если у вас много пользователей, и много правил, то более популярная связка ASA & Websense
youtube url.

p.s. Вы в энтерпрайз внедрили связку? Было бы хорошо в будущем, отписаться о впечатлениях.
Спасибо.

Levitator Aug 26 2012 at 20:49

Энтерпрайз = продакшн? Если да, то могу поделиться своими личными впечатлениями… В двух местах настроил такую связку — никаких проблем (8 мес и 4 мес). В одном asa 5510 (человек 60), в другом asa 5505 (около 40). По основному месту работы крутится стандартная «непрозрачная» схема, ибо нужна ntlm-авторизация. А в прозрачном режиме только по IP…

amario Aug 26 2012 at 21:10

т.е. после настройки, стабильная работа и только?
Насколько требовательны условия, к построению правил фильтрации?

Levitator Aug 27 2012 at 12:54

Не понял вопроса. Да, всё стабильно работает. Проблем нет. Фильтрация по открытым спискам «плохих» сайтов + белые списки + шейпер + редиректы… Все плюшки сквида в действии.

vvh1te Aug 27 2012 at 06:21

ибо нужна ntlm-авторизация

на ASA?
Если да, то можете подробней рассказать или тнуть в мануал по настройке?

Levitator Aug 27 2012 at 12:52

Под «стандартной схемой» имел в виду «прокси отдельно, фаер отдельно» :) Но дла асы, кстати, есть приблуда какая-то, насколько помню — типа AD Agent. Ставится на контроллер домена и передает на асу кто на какой комп вошел. Аса сопоставляет юзера и IP-адрес по этим данным. И «как бы» доменная авторизация выходит. Но, конечно, костыль какой-то.

m0ps Aug 27 2012 at 18:02

Может кто еще не в курсе:
До недавнего времени приходилось использовать связку сквид+аса для аутентификации и авторизации пользователей, с выходом же версии софта 8.4 появился новый и очень долгожданный функционал: Identity Firewall (подробнее можно познакомиться тут www.anticisco.ru/blogs/?p=1667).
Говоря простым языком, теперь можно забыть про сквид, который используется для аутентификации пользователей из АД и разграничения доступа к сайтам на основе групп АД. Все это теперь умеет Cisco ASA и можно спокойно вздохнуть, забыв о «ручной» настройке параметров прокси в разнообразном софте.
Хотя остается смысл прикрутить прозрачный сквид через WCCP для фильтрации нежелательного контента (реклама, порно и т.д.) и статистики посещения веб-страниц (если у кого-то руководство страдает паранойей).

gryzwold May 23 2013 at 14:00

Добрый день.
Прошу помощи.
У меня не отрабатывает правило:
-A PREROUTING -p tcp -m tcp -i wccp0 -j REDIRECT --to-ports 3128.
Счетчики увеличиваются, но пакеты просто маршрутизируются
Точно такое же правило для локального интерфейса заворачивает пакеты на сквид. В случае с интерфейсом gre пакет просто маршрутизируется.
Пробовал делать на FreeBSD. PF и IPFW работают точно также.
Подскажите что копать…

Show the best of all time