| ||||||||||||||||
| ||||||||||||||||
| ||||||||||||||||
Win Proxy 1.4. Руководство по использованию Здесь ответы на часто возникающие вопросы (FAQ)
Предупреждение: Содержание
Этот документ предназначен для пользователей
программы WinProxy. Описывает, для чего WinProxy служит,
как работает, как провести конфигурацию а также
содержит другую полезную информацию. Документ
будет постепенно дополняться актуальной
информацией. Актуальная версия будет доступна на
вебе. Просим читателей, чтоб в случае неточности,
непонятности или не достаточной информации
обращались со своими пожеланиями к нам. Мы
приветствуем также предложения о дополнении
информации касающейся данной проблематики, или
описание конфигурации software, который здесь не был
приведен. Авторы 2. Что такое WinProxy и как он работает? Proxy сервер - это программа
предназначенная для предоставления доступа к
ресурсам сети Internet из локальной сети охраняемой
Firewall. Под Firewall подразумевается компьютер,
который находится на границе между локальной
сетью и сетью Internet. Его задачей является охрана
локальной сети и информации на компьютерах этой
сети от нападений из относительного опасного
Interneta. Эта охрана осуществляется несколькими
способами, чаще всего путем запрещения
направления пакетов на компьютере выполняющем
функцию firewall. Это означает, что невозможно
попасть в локальную сеть c IP уровня, а именно
проникновения с этого уровня являются самыми
опасными. Недостатком такого решения является
отсутствие прямого доступа к сети Internet c
компьютера в локальной сети.
Обычно речь идет о программе, которая запущена на компьютере с прямым подключением к сети Internet (или к любой другой требуемой сети). Таким образом компьютеры из локальной сети получают доступ к Internet не прямо, а через этот компьютер (firewall).
Если компьтер A хочет связаться с компьютером B, то сначала должен связаться с компьютером C. После установления связи пошлет компьютер A компьютеру C запрос с требованием связи с компьютером B. Компьютер C свяжется с компьютером B, после чего может начаться обмен данными между компьютерами A и B. Формат запроса приходящего к компьютеру C может быть различным и зависит от выше указанных доступов. Также задача компьютера C при обмене данными между компьютерами A и B отличается в зависимости от используемого доступа. В простых случаях компьютер C в обмене данными участие не принимает, в более сложных - может трансформировать протоколы. Компьютер C может также проверить пришедший к нему запрос о связи и, в зависимости от определенных критериев, решить будет ли связь предоставлена. Это позволит управлять доступом пользователей локальной сети к определенным ресурсам. Чтобы нельзя было связаться обратным путем, то-есть компьютер в Internete не мог присоединиться к компьютеру в локальной сети через компьютер C, WinProxy позволяет установить так называемый безопасный сетевой интерфейс или интервал IP адресов, с которых можно пользоваться услугами WinProxy. Таким образом, связь с компьютером C возможна только из локальной сети. Указанная модель кроме увеличения безопасности предоставляет и другие интересные возможности :
Операционная система : Windows 95 или Windows NT с установленной поддержкой TCP/IP (см. Конфигурация TCP/IP). Hardware : минимальная конфигурация HW для данной операционной системы, приблизительно 1 MB на HDD + место на диске для cache. С увеличивающимися требованиями пользователей и объемом cache увеличиваются требования к памяти, процессору, диску и скорости присоединения. Рекомендуем следующие (минимальные) :
3.2 Установка, описание файлов Установка проходит путем запуска программы SETUP.EXE, которая находится на установочной дискете или запуском архивного файла полученного с Internet. Если работаете под Windows NT, то можете установить WinProxy с возможностью запуска в режиме службы (application with service support). Для этого вы должны иметь привилегии администратора. В конце получите вопрос, хотите-ли организовать в Администраторе программ (Program Manager) группу. Если Вы провели установку с поддержкой службы для Windows NT, то будет образована группа типа Common, в обратном случае - типа Personal. После проведения установки WinProxy готов к эксплуатации. В целевой директории (куда Вы WinProxy наинсталировали) найдете следующие файлы :
Если у Вас на компьютере не установлен
протокол TCP/IP , то прочитайте сперва главу
5 Конфигурация TCP/IP.. В предыдущей главе были оговорены основные принципы работы WinProxy. Таким образом программа выполняет функции :
Каждая задача представляет определенную подсистему WinProxy. Параметры этих подсистем устанавливаются при помощи форм-страниц. В следующих главах рассмотрены способы их конфигурации. Внимание : в дальнейшем часто будем ссылаться на компьютер, на котором работает WinProxy. Для удобства будем этот компьютер называть Proxy Host. Таким образом ProxyHost представляет DNS имя или IP адрес компьютера (в локальной сети), на котором WinProxy работает. Далее предполагаем , что компьютер ProxyHost
имеет доступ к локальной сети и к Internet. Связь с
Internet может быть реализована любым способом :
коммутируемая линия, ISDN, еще одна сетевая карта,
... Установка WinProxy WinProxy ожидает запросы через порт 3128.
Этот параметр можно изменить на странице Network. Конфигурация клиентов Netscape Navigator
Второй возможностью является использование файла автоматической конфигурации. Этот файл после инсталирования находится в тойже директории что и WinProxy. В этом файле необходимо вписать в поле proxy - компьютер ProxyHost. В Navigator выберите Automatic Proxy Configuration, а в поле Configuration Location (URL)укажите : ProxyHost:3129/autoconfig. NCSA Mosaic
MS Internet Explorer 3.0
Каскадирование Информацию, которая пройдет через proxy, можно укладывать в совместной cache. При повторном обращении к этой информации, она поступает из cache. Определение параметров Правила (параметры) для сохранения
объектов в cache можно установить на странице Cache. Главным параметром является
максимальный объем cache (поле Max. Size). Это
максимальный объем помещенной в cache информации.
При наполнении cache до этой величины, будут
удаляться объекты с наиболее старой датой.
Следующим параметром является максимальная
величина объекта, который может быть в cache
помещен. Этот параметр можно указать отдельно
для объектов каждого протокола (HTTP, FTP, GOPHER). При
оптимальных величинах этих параметров можно
избежать таким ситуациям, при которых передача и
помещение 2 MB файла в cache Вам сотрет 330 небольших
файлов (при средней величине объекта 6kB). Cache Directory
определяет место расположения директории с cache. "Долговечность" объекта "Долговечность" объекта
(англ. Time-To-Live, сокращенно TTL) время актуальности
информации в cache. В случае, если TTL данных
закончилось, то WinProxy при получении запроса на эти
данные, начнет их обновление. Telnet - это протокол, который позволяет
присоединиться к любому компьютеру в Internet и
работать с ним в удаленном режиме (естественно
только в том случае, если этот компьютер имеет
пользовательский счет). FTP (File Transfer Protocol) - протокол
предназначенный к передаче файлов. Ftp gateway
предоставляет ftp клиентам доступ к ftp серверам в
Internet. Gateway имеет вид user@host. Если Вы хотите
присоединиться к компьютеру ftp.bestsite.com в режиме
anonymous, то сначала присоединитесь к компьютеру с
WinProxy, в качестве username укажите anonymous@ftp.bestsite.com. Если хотите функцией Ftp gateway пользоваться, то зачеркните на странице Network поле Ftp Gateway. 4.3.3 RealAudio gateway (proxy) RealAudio gateway позволяет принимать звуки с Internet в формате RealAudio. Поддерживаются как TCP, так и UDP. Если хотите этой возможностью пользоваться, то активизируйте на странице Network поле RealAudio. Номер порта по умолчанию 1090. Конфигурация RealAudio Player проходит следующим образом : menu View -> Preferences -> Proxy, зачеркнуть Use Proxy, в поле host указать компьютер ProxyHost, а в поле порт вписать 1090. News gateway позволит Вам принимать и посылать информацию из USENET News. Конфигурация следующая: на странице Network в поле News server укажите имя или IP адрес компьютера, с которого News хотите получать. В "читайте news" укажите в поле "имя news сервера" компьютер ProxyHost. К примеру: в Netscape Navigator-е - это поле News (NNTP) server на той же странице, что и для Mail сервера. WinProxy может обрабатывать почту тремя различными способами. Перед тем, как рассмотрим каждый из них, уделим внимание проблематике электронной почты как таковой. Дла переноса почты в Internet служит
протокол SMTP (Simple Mail Transfer Protocol). При помощи этого
протокола компьютеры обмениваются электронной
почтой. Почта может пройти несколькими
компьютерами, прежде чем дойдет к адресату. SMTP
требует, чтобы почта была доставлена в течении
определенного времени. Если же целевой компьютер
недоступен в течении этого срока (обычно три дня),
то почта возвращается к отправителю.
По этой причине почта пересылаемая по Internet при помощи протокола SMTP чаще всего заканчивает свой путь на больших беспрерывно работающих машинах, размещенных к примеру у ISP. Перенос почты на компьютеры отдельных пользователей осуществляется по протоколу POP3. Таким образом, пользователь имеет возможность в любое время присоединиться к почтовому компьютеру и скачать почту на свой компьютер. В заключении можно сказать, что для dial-up подключения чаще всего используется метод, при котором пользователи (почтовые программы) посылают почту в Internet при помощи программы SMTP (это проходит без проблем), а принимают почту при помощи программы POP3. Такой же метод использует и WinProxy. Mail Gateway является наиболее простым способом. В конфигурации почтовых клиентов укажете, что компьютер ProxyHost будет SMTP и POP3 сервером. В этом случае при приходу запроса WinProxy перенаправит его на сервер указанный в конфигурации WinProxy. Конфигуоация WinProxy : Если некоторые пользователи принимают почту от
других компьютеров, то могут этот сервер в
конфигурации почтовой программы
специфицировать в поле POP3 username. Имя сервера
присоединяется к концу имени, от имени
пользователя отделяется знаком "#". Таким
образом запись имеет следующий вид :
username#popserver.domain.cz . В этом случае будет WinProxy работать как
SMTP/POP3 сервер. SMTP сервер специально приспособлен к
условиям dial-up присоединения. Пользователи
используют WinProxy для приема и отправления почты в
Internet или в локальную сеть. Если WinProxy получит
почту предназанченную для отправления в Internet, то
почта будет уложена и послана при подключении. Использование WinProxy в качестве Mail Server предоставляет несколько выгод:
Таким образом WinProxy скачивает почту из удаленных mailboxов (POP3 серверов) в Internet и укладывает её в локальные mailboxы. Из этих mailboxов пользователь в последствии переносит почту на свой компьютер.Так же происходит и отправление почты. Пользователи отправляют почту на WinProxy, а он в свою очередь пересылает её почтовому серверу в Internet. Конфигурация WinProxy Правильность конфигурации данных в Account Listu лучше всего проверить путем запуска обработки почты через веб интерфейс на странице Manual. Запись информации о приему/отправлении почты в Internet установите параметром Enable Logging. Конфигурация клиентов : Приложение B - пример конфигурации Mail Server. На странице Network зачеркните SOCKS server для каждой версии SOCKS протокола. В настоящее время версии 4 и 5. Стандартным портом для SOCKS server является порт 1080. Если будете пользоваться версией 4, то скорее всего надо будет установить DNS. Если в поле DNS server укажете имя DNS сервера, то WinProxy будет направлять DNS вопросы на этот сервер, таким образом WinProxy будет вести себя как DNS сервер. WinProxy позволяет установить телефонную связь с ISP. Связь может быть установлена двумя способами:
Примечание : В случае автоматического соединения может случится, что Вы хотите скачать файл в рамках локальной сети, но по-ошибке укажете неправильное имя компьютера, WinProxy об этом не подозревает и после неуспешного первода DNS-имя на IP адрес начнет устанавливать связь. Таким образом может показаться, что WinProxy устанавливает связь самовольно и без повода. Конфигурация телефонной связи проводится на странице Dial. Условием для этого является правильная конфигурация и работоспособность связи без WinProxy. В combo box Connection Name выберите имя требуемого присоединения. В поле Username и Password укажите имя и пароль для выбранного имени присоединения. Если хотите, чтоб связь устанавливалась автоматически по требованию, то зачеркните check box Demand Dial. В поле Hang up After также можете указать время, по истечении которого связь прервется, если по линии не будут переносится никакие данные. WinProxy прерывают только ту связь, которую сам установил. Примечание : Если Ваш ISP не поддерживает PAP или CHAP, то в этом случае Вы имеете следующие возможности :
4.7 Управление пользователями, контроль доступа WinProxy позволяет создать счет пользователей и группы пользователей. Пользователи и группы пользователей создаются для того, чтобы обозначить область доступа пользователей через WWW и для обработки почты, если используется Mail Server. Пользователи, группы и членство пользователей в группах создается на странице Accounts. WinProxy автоматически создает группу Admins. Члены этой группы не имеют ограничения при никаких операциях. Эту группу нельзя уничтожить. Access List Определение доступа на основе
Access List Ограничение доступа к веб
интерфейсу Примечание
Примеры 1. Необходимо следующее: чтобы пользователи, которые находятся в группе [users], имели доступ только к следующим доменам : domain.cz, work.cz, а пользователь boss имел доступ ко всему. Access List и доступ пользователя / группы установим следующим образом:
2. Хотим, чтоб никто не имел доступ к домену bad.cz :
Все более актуальной в настоящее время становится охрана локальной сети от проникновений из Internet, и трэндом в этой области будет отказ от прямой связи. С WinProxy довольно легко можете установить простой Firewall. Под этим подразумевается компьютер охраняющий локальную сеть от внешних атак и предоставляющий остальным компьютерам доступ к сети Internet. Для того, чтобы WinProxy работал как firewall, необходимо :
Далее, для охраны сети от проникновений пиратов из Internet через WinProxy, есть две возможности:
Необходимо сказать, что в стандартном случае, т.е. локальная сеть + один компьютер с модемом, нет причин к опасениям и выше указанные меры безопасности более-менее избыточны. Для того, чтобы WinProxy правильно работал, необходимо правильно установить TCP/IP на компьютерах, которые службами WinProxy будут пользоваться, и на копьютере, на котором WinProxy будет работать. На компьютере, на котором WinProxy будет работать, должна быть установлена система Windows NT или Windows 95. На клиентах может быть любая операционная система поддерживающая TCP/IP (Windows, Unix, Macintosh, VMS, ...). Если Вы еще TCP/IP не установили, то у Вас есть следующие возможности:
Будем пользоваться следующей моделью : Сеть с пятью компьютерами; компьютеры в сети Microsoft имеют следующие имена: Tom, Petr, Dusan и Martin. К компьютеру Martin присоединен модем для связи с Internet, на этом компьютере запустим WinProxy. На компьютерах установлены следующие операционные системы: Windows 95, Windows NT и Windows 3.1. Для того, чтобы компьютеры могли
между собой общаться через TCP/IP, то должны иметь
так называемые IP адреса. IP адреса - это 32 битовое
число, для большей ясности указывается по байтах
в формате a.b.c.d . IP адрес должен быть уникальным,
т.е не может использоваться в той же сети
несколько раз. Эти адреса следующие:
Гарантируется, что эти
адреса не используются компьютерами в рамках
сети Internet. Причины для использования этих
адресов и другие предложения как составить TCP/IP
сеть найдете в вышеуказанном документе.
За этим следует установка для отдельных операционных систем: Windows 95
Windows NT (3.51)
Windows 3.1
Windows для Workgroups 3.11
В предыдущей главе мы рассматривали использование и закрепление IP адресов за компьютерами в локальной сети. Так как IP адреса тяжело запоминаются, а для людей более приемлемо давать компьютерам имена, то в TCP/IP можно закреплять за компьютерами имена. Речь идет о так называемых DNS именах, которые могут отличаться от имен использованных в сети Microsoft (это имена, которые видны под иконой Network Neighbors). Каждому IP таким образом отвечает имя или alias. Должен существовать способ как переводить эти имена на IP адреса, так как именно они требуются для коммуникации. Перевод осуществляется или через DNS сервер, или при помощи статических таблиц размещенных в каждом компьютере локальной сети. Мы рассмотрим второй способ, так как для сети с четырмя компьютерами вполне достаточен. Компьютерам дадим DNS имена соответствующие именам в сети Microsoft. Файл, содержащий таблицу с именами, должен называться hosts и должен находиться в следующих директориях :
Файл hosts - текстовый файл, его записи имеют формат IP_адрес DNS_имя [aliasеs]Для корректировки / создания файла можно использовать любой текстовый редактор. Файл должен быть уложен как текстовый и не иметь расширение. К примеру, если в NOTEPAD не укажете расширение, то по умолчанию расширение будет .txt . Тогда надо файл вручную переименовать. Наш файл будет выглядеть так : # файл hosts # этот файл содержит соответствие между именами DNS и IP адресами # 127.0.0.1 localhost 192.168.1.1 martin winproxy 192.168.1.2 tom 192.168.1.3 petr 192.168.1.4 dusan # конец файла hosts Файл надо скопировать на все компьютера в соответствующие директории. Теперь можете адресовать компьютера в сети TCP/IP при помощи их DNS имен. На всех местах, где ранее встречалась запись "укажите адрес компьютера, на котором работает WinProxy" можете указать вместо его IP адреса соответствующее DNS имя, в нашем случае martin или winproxy. A. Сеть с несколькими сегментами Это приложение рассматривает использование WinProxy в сетях с несколькими сегментами в связи с телефонной связью. Для наглядности будем рассматривать рисунок с 2 сетями:
Адрес первой сети 192.168.1.0, второй - 192.168.2.0. Сети связанны через роутер, IP адреса которого 192.168.1.1 и 192.168.2.1. Компьютер 192.168.1.3 используется для связи с Internet. В такой конфигурации наступает следующая проблема: компьютеры используют для связи с другой сетью default route. В момент присоединения компьютера 192.168.1.3 к Internet, default route изменено на Internet gateway (её IP адрес указываете при конфигурации телефонного адаптера). В этот момент перестанет компьютер 192.168.1.3 "видеть" компьютеры составляющие сеть 192.168.2.0. Причиной этого является то, что для связи было выбрано направление по умолчанию, которое теперь изменилось. В итоге это означает, что компьютера из сети 192.168.2.0 не могут общаться с компьютером 192.168.1.3. Эту ситуацию можно легко решить. Решение заключается в замене default route на нормальное. А именно, на компьютере 192.168.1.3 в командной строке задать команду: c:\>route ADD 192.168.2.0 MASK 255.255.255.0 192.168.1.1 команда означает следующее: если появится пакет предназначенный для сети 192.168.2.0 с сетевой маской 255.255.255.0, послать этот пакет через роутер с адресом 192.168.1.1. В Windows NT есть еще параметр -p, который устанавливает это направление как постоянное. В Windows 95 можно эту команду поместить в файл AUTOEXEC.BAT. После проведения этой команды компьютер 192.168.1.3 будет "видеть" компьютера сети 192.168.2.0 вне зависимости от параметра default route. B. Пример конфигурации Mail Serveru I. Простой пример. Возмем 4 пользователя. Каждый из них имеет счет организованный на WinProxy на странице Users; имена следующии : boss, petr, tom, martin. Далее, была организована группа пользователей [sales], члены этой группы: boss и petr. Почту хотим обрабатывать в соответствии со следующей таблицей :
В этом случае надо дополнить Account List, после чего он бы выглядел следующим образом : Правильность данных в Account List лучше всего проверить запуском обработки почты через веб интерфейс на странице Manual. II.Комплексный пример с использование правил сортировки. Возьмем фирму с 6 пользователями. Каждый из них имеет счет на WinProxy, имена следующие: boss, petr, tom, martin, robert, jana. Далее, организованы группы пользователей [sales], члены которой: boss и petr , группа [developers] , члены которой: martin, tom и jana и группа [users], члены которой все пользователи. Фирма имеет у ISP свой домен для приема почты. Имя домена firma.cz, почта для этого домена укладывается в mailbox firma на компьютере mbox.prov.cz. Каждый пользователь имеет в этом домене свой e-mail адрес. Далее был создан еще один e-mail адрес для информаций о продаже - sales@firma.cz , а почту приходящую на этот адрес будут получать пользователи группы [sales]. Пользователи martin и tom также получают почту с других компьютеров. Далее, пользователь tom является участником конференции conf-l@prov.cz , а также хотим, чтоб почту из этой конференции получали martin и jana. Фирма хочет иметь свою собственную (внутреннюю) конференцию, адресом которого будет info-l@firma.cz. Account List в этом случае выглядел бы следующим образом :
Правильность данных в Account List лучше всего проверить запуском обработки почты через веб интерфейс на странице Manual. Примечания :
C. Информация для ISP
Укладывание почты для целого домена в
один mailbox (UNIX, sendmail) R$*<@firma.cz.>$* $#local $: firma Добавление заголовка X-Enevelope-To к mail (UNIX, sendmail) Необходимая корректировка файла sendmail.cf: 1. В правило S0 или S98 необходимо для каждого
клиента добавить строку: R$*<@firma.cz.>$* $# xlocal $@ firma $: $1<@firma.cz.>$2 $# xlocal ... имя нашего почтового клиента $@ firma .... нормальное имя компьютера, в нашем случае mailbox $: $1<@firma.cz.>$2 ..... адрес получателя, который будет в X-Envelope-To: 2. к параметрам почтового клиента: Mxlocal, P=/usr/local/etc/bin/xlocal, F=lsDFMA, S=10/30, R=21, T=DNS/RFC822/SMTP, A=xlocal $u procmail $h $u ... адрес, который будет в X-Envelope-To: $1<@firma.cz.>$2 $h ... имя mailboxа A=xlocal $u procmail $h ... командная строка, в качестве локального почтового клиента использован procmail Использованные флаги почтовых клиентов: l локальный почтовый клиент s выбросить из адресов лишнюю информацию (кавычки, скобки, ...) D дополнить заголовок Date: (если его нет) F дополнить заголовок From: (если его нет) M дополнить заголовок Message-Id: (если его нет) A ARPA совместимый почтовый клиент Здесь находится код источника "fake"
почтового клиента cc -o xlocal xlocal.c |
|
| ||||||||||||||||
|