Transparante (http)router met secure user-authenticatie

[IceOnFire]

Ik ben op zoek naar een simpele en makkelijk te onderhouden open source oplossing voor het volgende;

Via een draadloos netwerkje wordt internettoegang aangeboden aan een aantal verschillende gebruikers (ergens tussen de 20 en 30). In de huidige situatie wordt gebruik gemaakt van een Windows server waar dmv Wingate verschillende gebruikers op inloggen en van het eea gebruik maken, an sich werkt dit naar behoren.

Ik zou nu graag het eea vervangen door een open source oplossing die functioneel gelijkwaardig is. Alleen HTTP proxy met authenticatie zou in principe voor een groot deel voldoen, maar als transaparant routeren van al het verkeer (natuurlijk eveneens met authenticatie) tot de mogelijkheden behoort heeft dat de voorkeur.

Wat ik tot nu toe aan mogelijkheden heb gevonden buiten een aantal kant en klare commerciele linuxoplossingen is een willekeurige linux-distri in combinatie met squid. Voor zover ik uit de documentatie begrijp is het opzetten met authenticatie makkelijk genoeg, maar het lijkt er op dat gebruikersnaam en wachwoord op deze manier in cleartext over het draadloos netwerk gaan, wat ik uitdrukkelijk niet wil. Ook is als ik het goed begrijp alleen (al dan niet transparant) routeren/proxyen van HTTP verkeer mogelijk, het liefst heb ik een oplossing die ook POP en SMTP verkeer kan verwerken. In dat laatste geval blijft het belangrijk dat ook dan zonder geldige gebruikersnaam en wachtwoord geen verkeer mogelijk is.

Heeft iemand misschien ervaring met een niet-commercieel open source project al dan niet op basis van squid die iets dergelijks voor elkaar krijgt?

[lordgandalf]

mischien heb je iets aan no-auth cat das een opensource implementatie waarmee user eerst moeten authen voordat ze maar iets kunnen uitvoeren.
weet alleen niet of het ook met vpn of iets in die zin overweg kan.

http://nocat.net/

[ Voor 8% gewijzigd door lordgandalf op 31-01-2005 16:55 ]

[CyBeR]

Geen ervaring met Linux op dit gebied, maar HP heeft een set (helaas) dure dingen die precies doen wat je wilt: klik. Hoewel 't waarschijnlijk overkill is, is 't best een mooi systeem.

[Gerco]

Misschien overkill voor wat je wilt bereiken, maar je zou een secure VPN tunnel kunnen opzetten tussen je wireless clients en de proxy server. Op die manier is het verkeer beveiligd en zijn al je services gewoon beschikbaar zonder proxy gezeur.

Ik neem tenminste aan dat het uiteindelijke doel van deze oefening is dat als iemand je wep/wpa kraakt, ze nog niet op internet kunnen via jouw netwerk?

Je clients (WinXP?) kunnen dan gewoon "inbellen" op het VPN door de standaard windows vpn afhandeling te gebruiken. Heb je authenticatie en encryptie voor al je verkeer en nog makkelijk ook

[ Voor 20% gewijzigd door Gerco op 31-01-2005 17:05 ]

[pierre-oord]

Ik zou via iptables(kan dat?) op MAC adres controleren. Geen gedoe met wachtwoorden intypen die verlopen, maar gewoon een netwerk wat alleen toegangkelijk is voor de opgegeven mac adressen.

Dit kun je geloof ik zelf doen in de wireless apparatuur, als het een beetje een goed merk is. Je bent bang dat mensen data afluisteren: Dat voorkom je hiermee dan alsnog niet.

De beste optie lijkt me dan om bij jouw thuis een VPN server op te zetten. Je krijgt via DHCP op het wireless netwerk een IP adres, intern, toegewezen. Daarna kan een gebruiker via VPN naar je server een connectie opzetten. In dit virtuele netwerk (lijkt op een inbelverbining een beetje, ook met user+pass) kun je dan een gateway instellen op je server, zodat ze op internet kunnen. Gebruikers kunnen dan gewoon alles doen zoals ze gewend zijn. En VPN is ook nog eens veilig gecodeerd.

edit:
Gerco was me voor