Configurando um proxy transparente

Question

Estou pensando em configurar algum tipo de acesso sem fio para visitantes em nossa empresa, mas todas as nossas conexões com a Internet são executadas por meio de um proxy externo.

Depois de muitas horas perdidas explicando aos visitantes como inserir as configurações de proxy antes que eles possam se conectar à web, sinto que é hora de olhar para uma solução que é um pouco mais simples do ponto de vista do usuário final.

Minha idéia inicial era que eu poderia comprar um WAP que me permitisse selecionar o servidor proxy, mas na realidade isso parece ser uma opção rara ou cara (eu já tive experiência anterior usando um ZyAIR G-4100 para algo similar mas isso não era confiável)

De um pouco de pesquisa, a resposta mais popular parece ser a de configurar um proxy transparente usando uma caixa do Ubuntu rodando o Squid entre o modem e o switch.

Isso soa como a ideia mais sensata ou eu estou supercomplicando as coisas?

Editar Esqueci de mencionar que meu outro problema é que eu estou bloqueado do roteador também, por isso não posso brincar com a criação de sub-redes separadas que ignoram o proxy.

    

Answer 1

Tenho certeza absoluta de que entendi seu layout, mas se você quiser apenas dar acesso à Internet a seus visitantes (e não se importar se eles usam um proxy), por que não apenas adicionar outra perna à sua borda firewall? roteador (supondo que ele pode fazer isso) e conectar o roteador wi-fi naquela perna e rotear / filtrar adequadamente?

                 Edge firewall/router: drop src 192.168.2.0 dst 192.168.1.0
[ eth0 LAN:192.168.2.1/24 | eth1 Guest:192.168.2.1/24, running DHCP for this network]
    |                         |      
    |                         |      
    |                         |      
 {your LAN}               [wi-fi bridged router (plugged into switch ports, not WAN;DHCP     
                           disabled)]

    

Answer 2

Você pode dar uma olhada no SmoothWall, no Endian e em outros sistemas semelhantes de "gerenciamento de ameaças", que são basicamente firewalls completos baseados em nix com proxies transparentes integrados (principalmente web e email).

    

Answer 3

Se você não se importa se os visitantes passam pelo proxy, tudo o que você precisa fazer é adicionar uma exceção à regra que bloqueia o tráfego da porta 80. Crie uma VLAN para a rede guest e permita que o tráfego desse intervalo de IP use a porta 80 na interface interna do seu firewall. (ou fora se você bloqueou lá)

    

Answer 4

Eu tive muita sorte usando o CNTLM para lidar com a miséria típica associada aos proxies corporativos.

Se você conseguir criar algum tipo de credencial guest-service que possa autenticar com o proxy, poderá colocar o serviço CNTLM na rede e apontar os convidados para esse proxy, e ele autenticará e encaminhará suas solicitações para o proxy. servidor proxy principal.

Não sei com que tipo de esquema de autenticação do servidor proxy você está lidando.