LINUX.ORG.RU
Форум — Admin  

[Теория] LDAP users + iptables

 


0

0
Пока просто в теории интересуюсь про ldap, в планах есть желание почитать что-нить про ISA, по сути единственный ее плюс в том, что она умеет трафик разруливать по доменным пользователям, подумал как такое реализовать в linux.

Тут же придумалось следущее решение, если есть связка:

LDAP как база для пользователей (прочего),
на шлюзе iptables + pam (mod_ldap, пользователи из LDAP, локальных нет),
как workstation linux + pam (mod_ldap, пользователи из LDAP, локальных нет).
При этом, UID пользователя храниться в ldap, так вот если на шлюзе применять правила вида:

$IPTABLES -t nat -A OUTPUT -p tcp --dport 80 -m owner --gid-owner 100 -j REDIRECT --to-ports 3128

т.е. правила использующие uid/gid будут ли они применяться/работать ???
anonymous
← Добавить строку в файл не удаляя предыдущую
SLES 9. Проблема с VNC →
Ничего не получится.
anonymous
()
На workstation linux $IPTABLES -t mangle -A OUTPUT -p tcp --dport 80 -m owner --gid-owner 100 -j TOS --set-tos 100

$IPTABLES -t nat -A OUTPUT -p tcp --dport 80 -m tos -tos 100 -j REDIRECT --to-ports 3128

Толко на TOS есть ограничение 8 bit.

tungus ★
()
Ответ на: комментарий от tungus
> $IPTABLES -t mangle -A OUTPUT -p tcp --dport 80 -m owner --gid-owner 100 -j TOS --set-tos 100

> $IPTABLES -t nat -A OUTPUT -p tcp --dport 80 -m tos -tos 100 -j REDIRECT --to-ports 3128

А если -j MARK вместо -j TOS? значения от 0 до 0xFFFFFFFF

$IPTABLES -t mangle -A OUTPUT -p tcp --dport 80 -m owner --gid-owner 100 -j MARK --set-mark 100
$IPTABLES -t nat -A OUTPUT -p tcp --dport 80 -m mark --mark 100 -j REDIRECT --to-ports 3128

По теме: не уверен, что сработает, но чем чёрт не шутит...
Топикстартеру: пробуй и доложись тут - интересно же :)
Slavaz ★★★★★
()
Ответ на: комментарий от Slavaz
Я пока просто прикидываю, в любом случае на скорую руку, побыстрому опробовать не удасться, потому в ближайшие сутки не ждите. В любом случае получается, что если приспичить такое организовать то решение есть.
anonymous
()
Ответ на: комментарий от tungus
>На workstation linux $IPTABLES -t mangle -A OUTPUT -p tcp --dport 80 -m owner --gid-owner 100 -j TOS --set-tos 100

PS. только желательно очистять tos в mangle - а то всякие приложения могут выставлять tos.

Т. е. на workstation должны как минимум быть два правила:

$IPTABLES -t mangle -A OUTPUT -p tcp --dport 80 -j TOS --set-tos 0

$IPTABLES -t mangle -A OUTPUT -p tcp --dport 80 --gid-owner 100 -j TOS --set-tos 100

Помимо tos на workstation так же можно аналогично метить пакеты с помощью ttl заголовка

tungus ★
()
Ответ на: комментарий от tungus
а, понял идею. :) На клиентах маркировать пакеты полем tos, на роутере на основе этого поля разгребать. Извиняюсь, сразу не распознал слово "Workstation" :)

Slavaz ★★★★★
()
Ответ на: комментарий от Slavaz
workstation - просто рабочий компьютер - офис, интернет...
anonymous
()
Ответ на: комментарий от tungus
а разве с ТОС хорошо игратся ? Мелкомягкие в своё время уже поигрались ((
cyclope ★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Добавить строку в файл не удаляя предыдущую
Admin
SLES 9. Проблема с VNC →