Bind + Squid - IP verschleiern

[d3p]

Halli Hallo,

ich hab mal wieder eine Frage.

Ich würde gerne sämtlichen Traffic, der von einem Gerät raus ins Internet geht über einen Proxy laufen lassen.

Also die Reale IP vom Gerät selbst wird nicht angezeigt, sondern die vom Proxy.

Das Problem hierbei ist aber, das sich beim Gerät nun mal nur einen DNS-Server eintragen kann, aber keinen Proxy.

Deswegen müsste ich es wie folgt lösen:

Sprich:
Gerät -> DNS-Server -> Proxy-Server und dann auch wieder so zurück.

Geht das so mit BIND und Squid?
Oder hat jemand eine andere Idee?

Danke,

 

[Lord Gurke]

Es gibt mit iptables auch die Möglichkeit, den Traffic transparent durch einen Proxy zu schieben - machen z.B. praktisch alle Mobilfunkanbieter so, damit sie die Seiten vorher noch komprimieren können.

 

[Whistler]

Am einfachsten geht es mit einer zusätzlichen Netzwerkkarte im Proxy-Server, an die das betreffende Gerät angeschlossen wird.
Das kann eigentlich jede Firewall-Appliance (z.B. Sophos).
Für Squid gibt es im Web etliche Anleitungen, z.B. hier und hier.
Richtig umgesetzt kann man damit sogar SSL-verschlüsselten Traffic mitschneiden, indem man ein passendes Zertifikat für den Clienten "on the fly" erzeugt, z.B. mittels mitmproxy.

Eine Lösung "für arme" wäre, einen speziellen DNS-Server aufzusetzen, der für jeden Hostnamen die IP des Proxy ausgibt.
Das funktioniert aber nur bei Protokollen, bei denen sich der echte Hostname aus den Daten ermitteln läßt (z.B. bei HTTP 1.1 über den Host-Header), nicht aber z.B. bei FTP oder Mail.

 

[d3p]

Am einfachsten geht es mit einer zusätzlichen Netzwerkkarte im Proxy-Server, an die das betreffende Gerät angeschlossen wird.

Der DNS-Server bzw. Proxy-Server wird ein VServer sein, weswegen diese Lösung wegfällt.

@Lord Gurke:
Also mittels iptables dann Traffic von Port 53 weiter an Port 3128 schieben?
Oder missverstehe ich hier jetzt etwas?

 

[gunnarh]

Also mittels iptables dann Traffic von Port 53 weiter an Port 3128 schieben?
Oder missverstehe ich hier jetzt etwas?

Ja, du missverstehst.
Nicht der DNS-Traffic sondern der HTTP-Traffic wird durch Squid geschoben - Anleitungen wurden hier ja bereits verlinkt.