Как можно сделать систему фильтрации интернет-траффика?

Question

[Сережа]

Имеется организация (10-15 компов) Сервера нет. IP статика. Необходимо поставить шлюз который будет фильтровать траффик (например перекрыть доступ к вк и одноклассникам) В наличии имеется старый компик с двумя сетевухами. Больше ничего нет и денег никто ни на что выдавать не будет. Подскажите пожалуйста как можно организовать фильтрацию. Насколько я знаю все это дело можно организовать на линуксе. Ну как вариант взять centos. Только как настраивать все это дело я совершенно не знаю. Друзья, подскажите пожалуйста выход из ситуации. Надо чтобы на этом сервера была и маршрутизация (из локалки во внешку и обратно) и фильтрация, ну и NAT+dhcp. Очень хочется услышать вариант на примере каких-либо Linux дистрибутивов

Answer 1

[cssman]

centos вполне неплох будет, настраиваем интерфейсы, затем:
squid + dhcp + маршруты статические же у вас? если динамика то ещё quagga например.

squid - прокси сервер для фильтрации трафика
yum install squid
гайдов по настройке в интернете много
chkconfig squid on - не забудьте добавить в автозагрузку

dhcp server - тут всё просто yum install dhcp и настроить /etc/dhcp/dhcpd.conf (как настроить - в интернете также много гайдов)
/etc/init.d/dhcpd start - запускаете демон
chkconfig dhcpd on - автозагрузка

Comments

[Сережа]

Самое оптимальное решение! Спасибо большое. Тему пока закрывать не буду, может ребята еще какие варианты предложат. Хотя конечно я подразумеваю что твой вариант самый адекватный.

[O Di]

Сережа: здесь для простоты конфигурирования squid можно добавить и sams sams.perm.ru

Answer 2

[Вадим Сабынич]

https://ru.wikipedia.org/wiki/Zentyal ?

Comments

[tartarelin]

я бы не стал этот комбайн ставить на старенький компьютер

[Сережа]

Соглашусь. Сетка у нас маленькая, да и комп для шлюза действительно старенький. У zentyal куча плюшек, но они мне не нужны. Мне надо блокировать торренты и соц. сети и все. Более ничего не требуется.

[O Di]

Сережа: а zentyal тянет только то, что вы ему скажете.

[tartarelin]

O Di: и хочет минимум два гигабайта, а лучше четыре

[Александр Маджугин]

tartarelin: и? Вы же собрались ставить pfsense - то же самое, только на базе BSD.
Что вы смотрите в эти документации?
Чтобы вы не поставили, это всегда будет ядро операционнки (FreeBSD или Linux) и какой-то прозрачный прокси вроде privoxy или squid куда с помощью iptables будут завернуты запросы к 80 порту.
Всё. Думаете один дистрибутив будет волшебным образом в этой задаче кушать больше чем другой только потому что иначе называется?
Де-факто у вас 2 решения - privoxy и squid, все остальное это обертки над ними упрощающие настройку и делающие ее менее гибкой. Какая разница как обертка называется?

[tartarelin]

Александр Маджугин: я не собирался ставить pfsense, он у меня уже стоит, я знаю что pfsense это почти тоже самое, что zentyal, zentyal у меня тоже стоял, до него стоял zerroshell, смотреть в документацию по моему естественно.
Я уверен, что один дистрибутив может потреблять больше чем другой, волшебство тут ни причём.

[Александр Маджугин]

tartarelin: естественно, но не на минимальные требования
Если вас волную они, то вы не должны ставить ни pfsense, ни zentyal. Ставьте тогда Gentoo+prelink+cgroup.

[tartarelin]

Александр Маджугин: у тебя нет других дел? может работой займёшься или пообедать сходишь? займись чем нибудь полезным.
Задолбал уже, какие на хрен минимальные требования из документации, по русски же написал, у меня стоял zentyal и стоит pfsense, я говорю, о том что знаю, не знал бы, прошёл мимо.

Answer 3

[ShamblerR]

зайди в роутер да настрой, в большенстве роутеров это все есть, вот тебе и нат вот тебе и нет однокласникам.

Comments

[Сережа]

Нету никакого роутера дружище) свич циска неуправляемая в которую заходит шнурок провайдера с определенной подсетью. А роутер ставить никакой не буду - детский сад.

[ShamblerR]

pfcense пойдет ?

[Сережа]

ShamblerR: Интересное решение. Спасибо за подсказку.

Answer 4

[AlexLIn]

www.sophos.com/en-us/products/unified-threat-manag...
www.sophos.com/en-us/products/free-tools/sophos-ut...
home лицензия на 50 Ip
web interface, все настраевомо. Антивир в придачу, можно банить сайты по категориям

Comments

[Сережа]

Спасибо! Тоже интересный вариант

Answer 5

[tartarelin]

как тут уже предлагали - pfsense
например вот установка
https://ghostadmin666.wordpress.com/2012/09/18/%D1...
и всякое такое
https://ghostadmin666.wordpress.com/tag/pfsense/

Comments

[Сережа]

Первым делом попробую этот вариант. Даже не думал, что на этом тостере такая движуха. Думал вообще никто не ответит! Спасибо большое за помощь!

[Александр Маджугин]

А чего там за прокси по дефолту? squid? privoxy? ..?

[tartarelin]

Александр Маджугин: squid

Answer 6

[Александр Маджугин]

privoxy - заточен как раз под это

Есть отличные гайды по настройке: https://sites.google.com/site/rpfteam/
Там же обновляющиеся конфиги.

Чтобы запустить в режиме прозрачного прокси:
-A PREROUTING -s ТвояПодсеть/24 -p tcp -m tcp --dport 80 -j DNAT --to-destination IpШлюзаВПодсети:8118
-A OUTPUT -p tcp -m owner --uid-owner UidПользователяОтКоторогоЗапущенPrivoxy -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -j DNAT --to-destination IpШлюзаВПодсети:8118

Единственное - если надо фильтровать https придется потрахаться.

Answer 7

[Сергей Петриков]

pfSence - все есть из коробки.

Answer 8

[Александр]

RouterOS
Как вариант использовать такую штуку. Кушать много не просит, работает по принципу настроил и забыл, ставится на x86 архитектуру и имеет весь необходимый сетевой функционал.