proxy behind firewall

дайте някаква идея за следното:
имам хардуеърен firewall и локална мрежа с 20-тина PC-ta.
Искам да сложа proxy, което да ми следи трафика на user-ите, но искам и да запазя firewall-a. Т.е. proxyto да е след firewall-a, като от firewall-a ще пусна нет само на proxyto и на няколко компа към които са мапнати портове, а user-ските PC-та ще теглят нет от проксито. Как може и въобще може ли да стане това при положение, че локалната мрежа ми е в един subnet?

ти май не си наясно какво точно искаш да питаш. какво значи 'прокси след файъруол'?

i-net---firewall---proxy---users или i-net---proxy---firewall---users?

и по двата начина може да стане, ама по кой по-точно?

TANSTAAFL! There AiNt Such Thing As A Free Lunch

spored men ... the first one :)))
ama dori i taka da e pak ne wijdam problem pone teoritichen da stane

You'r catching me at a bad time...

ами то4но първия вариант е
зна4и както си казал
разрешаваш от фиревалла само нет към проксито
буташ вси4ки на проксито и си готов?
какво може да се обърка?

Born to Lose, Live to Win

ami imam vpredvid purvoto: i-net---firewall---proxy---users - misleh che stava jasno.

no ne mi e jasno kak moje da stane teoreticheski. slagal sum ili samo proxy, ili samo firewall, ili i dvete na edin komp, no ne i dvete na razlichni PC-ta. Eto kakvo ne mi e jasno:

sled kato pusna net ot firewall-a kum proxyto, proxyto shte trjava da ima dve lan karti, ednata prez kojato net-a vliza i druga prez kojato izliza. po toja nachin obache shte se narushi structurata na localnata mreja. V smisul shte trjabva da se pravjat dva subnet-a i t.n. (pone taka si mislja, moje i da gresha).
moje i gluposti da govorja, no poneje vuobshte ne mi e jasno kak da stane zatova pitam.

obshto vzeto mrejata predstavljava slednoto:
20-tina userski pc-ta, 'mail server + dns server', 'database server + file server'. Kum mail server-a i kum database server-a sa mapnati portove ot realnoto IP na firewall-a. v localnata mreja puk userite trjabva da imat dostup i do dvata survura.
V momenta userite imat za gateway firewall-a i tochat net ot tam. Na povecheto sa orjazani njakoi portove, no ot firewall-a imam mnogo malko vuzmojnosti, a njamam i sledene na trafika, zatova iskam da sloja proxy.
Kak da go napravja?

ama chakaj, tva proxy s edna lan harta li shte e?????

не как с една карта
то ти трябват два интерфейса

Born to Lose, Live to Win

imenno tuk mi e problema - kak da organiziram mrejata?

Значи според мен пробемът ти е никакъв.
Не ти трябват две лан карти за проксито. Задаваш на лузерите за гейтуей IP-то на проксито и си готов.
А проксито вече си тегли от рутера със защитната стена, който ти прави и NAT предполагам.
Не ми стана много ясно защо има мапнати портове към сървърите, ама ти си знаеш предполагам, едва ли е без причина.

4акай аз ли не разбрах, но нали фиреуола ти е хардуерен
ако е софтуерен и е на пц какво пре4и и проксито да сложиш на него?

Born to Lose, Live to Win

ами в проксито вкарваш нета
това ще ти е единия интерфейс
а на лан каратта я бутваш към хъба или суит4а

Born to Lose, Live to Win

hardwarene e firewall-a. cisco, ama po-starichko. da, i NAT pravi.
v momenta ot nego kabela napravo vliza v switcha. zatova mi e mnogo chudno kak hem ot switcha she si vurja edin kabel kum proxyto i posle ot proxyto kum switcha vtori??
razbirate li sega?

Ти това хардуерно нещо нямаш ли възможност да му бъзикаш настройките отнякъде? Ако да - ограничи да шерва интернет само на IP-то на проксито, както и там на сървърите дето споменаваш.
После си го връзваш към суича който ти е във вътрешната мрежа, към който е вързано и проксито. Както вече казах, задаваш дифолт гейтуей на клиентите да е IP-то на проксито. Не ти трябва втора мрежова карта.
Има ли нещо неясно?

ami da, ima nejasno.
taka kakto kazvash mi e idealnija variant. firewall-a moga da go pipiam i moga da ogranicha net-a samo kum serverite i proxyto. no kakto i the_dude_78 kazva po-gore, a i az taka si mislja, na edno proxy mu trjabva edin vhodjasht interface otdeto da vliza chistija net i edin izhodjasht, kojto da go preprashta na userite. kakto kazvash ti izliza che prez edna i sushta lan karta shte ima i vhodjasht trafik ot router-a i izhodjasht kum user-ite. vuzmojno li e tova i kak se pravi? az dosega sum slagal proxy s 2 interface-a.

Не виждам причина да не е възможно. Какво пречи да има входящ и изходящ трафик през една карта?
В краен случай ще зададеш два IP адреса на една и съща карта и пак ще стане. Макар да смятам, че изобщо няма да се наложи. На проксито му задаваш default gateway към защитната стена, както и IP - тата на клиентските машини, или обхват от IP-та които да обслужва.

ok, shte probvam

абе всъщност човека не иска ли нещо подобно на питането на gali ? и тя/той искаше прокси преди ЛАН-а и веднага след ИСП-то ... поне с такова впечатление оставам де

You'r catching me at a bad time...

Няма никакви проблеми с един интерфейс да ти е проксито.

просто клиентите трябва да имат default gw proxy-to ,
a proxyto - defautl gw NAT-firewall-a (както каза колегата по горе)

а най добрия вариант е да сложиш linux router+firewall + proxy + accounting na мястото на hardware firewall-a

Az imam например router+NAT+proxy+shape+web server + mail server + accounting (imashe i ftp, ama go mahnah) на ЕДНА машина :)

А би ли споделил повече подробности относно софтуера, който си ползвал на тази машина, и дали тя е била под Линукс или уиндоус (доколкото схващам от постинга ти е Линукс).

По-точно ме интересува shape, proxy, и най-вече accounting.

Да linux e.
proxyto e SQUID,
shape със HTB (за негарантирана скорост на клиентите , много е удобен)
accountinga e s iptables ( [линк] ) , ne използва база данни , и няма пароли за потребителите, но на мен ми върши работа.

хитрото е 4е машината е хем NAT router , хем обикновен router, т.е
роутва и реални IP и частни IP и прекарва целия web трафик през проксито (transparent).

машинката е [линк]