» SQUID и RDP

Есть freebsd 7.0 squid через него в сеть раздается интернет, все работает отлично, только вот я немогу из сети зайти по RDP на другой сервер в мире с установленной виндой.Никакие фаерволы не установлены на free, может кто подскажет что подправить конкретно в squid что бы заработало.

Цитата:

Никакие фаерволы не установлены на free

Вот это то и смущает...

Цитата:

что подправить конкретно в squid что бы заработало.

Ничего не надо подправлять т.к. стандартный клиент пока не может работать через прокси.

я знаю что надо сделать чтобы все работало - не трогать ничего.
Фря она штуковина дуракоустойчивая, если внутрь не лезть.

Скорее всего необходимо настроить нат
Я бы рекомендовал заюзать pf, это довольно хороший фаервол с возможностями ната. Однако для этого желательно пересобрать ядро(можно и соответствующие модули подгружать при загрузке, но ИМХО в ядре правильней)

Только учти, что у pf есть один недостаток - проблемы с натом gre-трафика на один внешний сервак от нескольких хостов из локальной сети.

bga83

Цитата:

проблемы с натом gre-трафика на один внешний сервак от нескольких хостов из локальной сети.

имхо, пофиксено это уже.

Цитата:

Вот это то и смущает...

Цитата:

Ничего не надо подправлять т.к. стандартный клиент пока не может работать через прокси.

Ничего страшного, это тестовая машина и тестовая сеть, предварительно все отлаживается и настраивается до боевого сервера еще далековато. И до фаервола тоже не близко


Цитата:

я знаю что надо сделать чтобы все работало - не трогать ничего.
Фря она штуковина дуракоустойчивая, если внутрь не лезть.

Ув. tankistua спасибо вам за самый ценный совет, ваши советы основываются на личной практике?.


Цитата:

Скорее всего необходимо настроить нат
Я бы рекомендовал заюзать pf, это довольно хороший фаервол с возможностями ната. Однако для этого желательно пересобрать ядро(можно и соответствующие модули подгружать при загрузке, но ИМХО в ядре правильней)

Только учти, что у pf есть один недостаток - проблемы с натом gre-трафика на один внешний сервак от нескольких хостов из локальной сети.

ок. будем знать. Но мне нужно сделать это средствами SQUID если я правильно понимаю можно использовать method CONNECT но я не совсем понимаю как это сделать как должно выглядеть правило. Мне нужно правило !!! по возможности с обяснением как что работает, если кто знает и может написать буду благодарен, заранее всм спасибо.

navigator711

Цитата:

если я правильно понимаю можно использовать method CONNECT

неправильно. и вообще, Сквид умеет проксировать только http и (с оговорками) https.

Цитата:

неправильно. и вообще, Сквид умеет проксировать только http и (с оговорками) https.

ок. то что я хочу можно сделать через squid ?

navigator711
нет. нужен NAT, прокси тут не помощник.

Хорошо, я честно говоря думал что можно как то решить это через прокси. А через nat само заработает или еще что то будет нужно донастраивать? если знаете опишите пож.

navigator711
Через NAT заработает само. Как его настраивать (если есть такие вопросы) тема отдельного поста

ок, с натом разберусь сам, еще раз спасибо за внимание.

navigator711
Через прокси можно но сторонним клиентом...

Цитата:

А через nat само заработает или еще что то будет нужно донастраивать?

Епт! tankistua кажись прав...

Ruza

Цитата:

Через прокси можно но сторонним клиентом...

как зовется? не слыхал.

не, теоретически можно через http-тунели завернуть или те же socks'ы но это уже не то немного.

Поднимай нат и делай прозрачный прокси. И доступ удобно к сайтам обрубать и RDP работать будет.

Sadok
http://www.2x.com/
вроде тут такой был...
Хотя и такая инфа встречается:

Цитата:

First of all: You cannot tunnel RDP directly through a proxy. RDP doesn’t speak any HTTP(S) to make the proxy connect to the RDP-Server or anything else.

Цитата:

Ничего не надо подправлять т.к. стандартный клиент пока не может работать через прокси.

RDP клиент с 2008 уже умеет работать через https (только я еще не настраивал, но знаю что может).

Цитата:

Цитата:
проблемы с натом gre-трафика на один внешний сервак от нескольких хостов из локальной сети.

имхо, пофиксено это уже.

в том и дело что до сих пор не пофиксили, pf в 7.0 имеет этот трабл

Чтобы подключиться по RDP к серверу через SQUID нужно:
1. Чтоб SQUID поддерживал(было разрешено) метод CONNECT см. squid.conf
2. Чтоб был разрешен порт 3389 для метода CONNECT см. squid.conf
3. Если порт для метода CONNECT не разрешен, тогда делать редирект (порт-маппинг) с разрешенных портов на 3389. в 2008 сервере примерно так и делается.
4. Если нужный сервак за NAT - все равно можно через tcpproxy и машинку с белым ИП (если такой машинки нет - пишите в личку)

mihmig

Цитата:

RDP клиент с 2008 уже умеет работать через https (только я еще не настраивал, но знаю что может).

ссылочку пожалуйста.

MaximillianGreat
Подключение к удаленному столу (клиент служб терминалов версии 6.0)
TS Gateway
TS Web Access

mihmig
1. Ну вроде согласен.
2. Сомнительно, но тож не возражаю.
3. При чём тут squid?
4. Бред, не?

MaximillianGreat
Ну вроде microsoft.com

Пардон, уже и сам нашёл
Наверное в какой-то мере это можно назвать и работой по https Смотря с какой стороны посмотреть.
Лично на мой взгляд это не далеко от обычного тунелирования ушло, так можно заявить что любой протокол через https работает.
Но спорить не буду. Если подходить с формальной точки зрения то работет через https.

MaximillianGreat

Цитата:

ссылочку пожалуйста.

Ссылочку дать не могу, утерял... Ищите на микрософте видеоролик о новшествах 2008 терминальных служб - я его скачивал, но потерял. Где и как скачал найти не могу - я с таким трудом пробивался через дебри сайта - ну вобщем вы поняли - "все для людей"...
Ищите по слову technet
Но в принципе можете поставить 2008 (с торрентов) и методом тыка - винда это позволяет.
А если 2003-й или патченая XP тогде проще так:

proxytunnel.exe -a 70 -p myproxy:8080 -d myserver:3389,
где 70 - локальный порт, при запуске указывать адрес : 127.0.0.1:70
myproxy:8080 -адрес и порт вашего сквида

Внимание! на сквиде должен быть разрешен метод CONNECT и порт этого для метода 3389 !

Если что пишите.

mihmig
Спасибо, тут уже и народ ссылок накидал и я сам нашел про туннелирование от майкрософт через TS Gateway

Просто чтоб беседу поддержать: stunnel круче