[Frage] Freetz und Privoxy als transparenten Proxy

[Adsubia]

Hi zusammen,

es geht um einen Internetanschluss, bei dem die Anfragen aller Clients zwangsläufig über einen Zwangsproxy laufen müssen. Da nicht alle Endgeräte die Konfiguration eines Proxys unterstützen, möchte ich gerne, dass die Fritzbox die Weiterleitung aller Anfragen an den Zwangsproxy übernimmt.

Ich habe da in Verbindung mit Freetz von Privoxy gelesen, was sich als transparenten Proxy konfigurieren lässt. Das hört sich genau danach an, was ich brauche! Ein Blick auf die Hilfeseite zu diesen Freetz Modul verrät Einiges, jedoch hat der Zwangsproxy in meinem Fall auch noch Authentifizierung und ich kann der Hilfe nicht entnehmen, wo ich die Anmeldedaten hinterlegen muss.

Kann mir da jemand weiterhelfen?

 

[Shirocco88]

Ich habe da in Verbindung mit Freetz von Privoxy gelesen, was sich als transparenten Proxy konfigurieren lässt.

das vorgeschlagene Konzept "Einsatz von Freetz mit Privoxy als transparenter Proxy" wird wohl aus zwei Gründen nicht gehen:
o Privoxy kann nur als transparenter Proxy für http-Traffic arbeiten, nicht jedoch für https-Traffic
o bei neueren Firmware-Version kann der aktuellle Freetz-Trunk das "iptables" Paket nicht einbauen, dies wäre jedoch für Transparenten Proxy-Betrieb erforderlich.

Squid sollte als Transparenter-Proxy für https-Traffic in neueren Versionen funktionieren; Bitte auch an leistungsstarke Hardware (RAM, CPU-Taktfrequenz) denken; sowie eigene Zertifikate in die Endgeräte in Certstore vorher einpflegen.

 

[Adsubia]

Okay, danke, da muss ich mich mal etwas in Squid einlesen.

 

[Adsubia]

Ich habe mir mittlerweile ein paar Artikel zu Squid durchgelesen. Scheinbar bringt der alles mit was ich brauche: Funktion als transparenter Proxy plus Möglichkeit der Weiterleitung an einen Fremdproxy inkl. Authentifizierung. Nur zur internen Weiterleitung aller Anfragen an Squid bedarf es wohl iptables Regeln (siehe z. B. den Eintrag zu Squid im Ubuntu Wiki), weswegen allerdings Freetz als Umsetzungsmöglichkeit ausscheidet, da ja lt. Aussage von @Shirocco88 iptables für neuere Firmware Versionen nicht zur Verfügung steht.

Also macht es meiner Einschätzung nach wohl eher Sinn einen Linux Server damit aufzusetzen, an die Fritte zu klemmen und den ganzen Traffic von der Fritte über diesen ins große weite Internet zu senden. Oder was meint ihr?

Mir wäre es zwar lieber, wenn die Box das alleine regeln könnte, aber ohne iptables hat sich mir bisher keine Möglichkeit dazu erschlossen.

 

[Shirocco88]

Also macht es meiner Einschätzung nach wohl eher Sinn einen Linux Server damit aufzusetzen

der Begriff "LINUX Server" ist sehr breit, das geht von Open-WRT Router bis hin zu Intel Xeon SMP Server; wichtig wäre zu wissen, wieviele concurrent client-sessions bei welcher Internet-Bandbreite bedient werden sollten, sowie ob "Green IT", d.h. Stromkosten für die Systemauswahl relevant sind ?

Alternativen sind Appliance (Hardware-Box oder als VM) sowie IPsec-VPN-Tunneling von Port tcp/80 sowie tcp/443 von Fritzbox zu einem Cloud-Proxy.

 

[Adsubia]

Also ich habe bisher eine Fritzbox und hatte ursprünglich vor das alles direkt über diese zu erschlagen. In Verbindung mit "Linux Server" dachte ich zumindest für den Anfang zu Testzwecken an ein RaspberryPi oder einen Billig-Mini-PC.

Mit OpenWRT Routern habe ich keinerlei Erfahrung und somit keine Ahnung, was die können und nicht können. Sollte dadurch der Squid Dienst gleich mit vorhanden sein, wäre der Umstieg darauf für mich ebenfalls eine denkbare Alternative.

Concurrent Clients max. 3, eher in der Regel sogar nur einer. Bandbreite eher grottig - max. DSL 6000er Geschwindigkeit. Möglichst niedrige Stromkosten wären natürlich vorteilhaft, aber solange er sich in verhältnismäßigen Grenzen hält, spielt das nicht die Hauptrolle.

IPSec VPN bietet ja die Fritzbox von Haus aus an. Das wäre eigentlich mein Wunsch gewesen: Die Fritzbox hinter dem Zwangsproxy darüber mit einer Fritzbox am freien DSL Anschluss verbinden. Aber leider geht das aus 2 Gründen nicht - 1. Proxy mit Authentifizierung dazwischen, 2. keine freie Portwahl beim Fritz VPN. Deswegen wollte ich erstmal sehen, dass ich das mit dem transparenten Proxy-Handling hinbekomme und dann später vielleicht überlegen kann, auf welchem Wege zusätzlich noch ein IPSec VPN machbar ist.

 

[Shirocco88]

2. keine freie Portwahl beim Fritz VPN.

Nein, bei Fritzbox ist es auch möglich nur Outpound-Internet-Traffic mit dedicated Dst-Ports zu tunneln, z.B. an einen VPS-Server per IPsec-IKEv1 Protokoll (racoon VPN Software) und die "transparente Proxy-Funktion" im VPS Server zu implementieren;
siehe https://www.ip-phone-forum.de/threads/vpn-wie-internet-zugang-einer-entfernten-box-nutzen.301654/