verbergen http corporate proxy

[Cuball]

Op mijn werk wordt er gebruik gemaakt van een corporate proxy om te kunnen surfen naar buiten toe. Ik zou graag een setup maken waarbij ik een Linux client heb die ik kan gebruiken net alsof deze rechtstreeks naar het internet kan zonder gebruik te hoeven maken van de HTTP corporate proxy. Hiervoor heb ik verschillende redenen, maar veelal is het probleem dat ik software wil uit testen waarbij het niet altijd evident is om een proxy instellingen mee te geven.

Hoe zou ik dit best doen? Daarbij komt nog dat de corporate proxy via NTLM werkt (dit vervelend probleem los ik op door gebruik te maken van CNTLM)

Wat heb ik al geprobeerd (via virtuele machines):
1 client PC met 1 netwerk interface (ingesteld op internal)
1 gateway PC met 2 netwerk interfaces (1 ingesteld op internal met static IP en 1 eentje ingesteld op NAT welke dan in het netwerk zit van mijn host)

-op deze gateway PC heb ik dnsmasq gebruikt om IP en Default gateway ( via DHCP options aan de client PC te geven.)

Nu zoek ik nog een stukje software waarbij op de gateway PC binnenkomende traffic (bv. enkel HTTP en HTTPS) via iptables oid kan opvangen en door de CNTLM proxy kan sturen.

Het is wat moeilijk uitgelegd, maar ik vind niet de juiste termen om op te zoeken...

[wording]

Heb je al contact gezocht met de netwerkbeheerders?

[ Voor 6% gewijzigd door wording op 14-06-2016 12:50 ]

[gertvdijk]

Je bedoelt dat je een corporate proxy hebt die je handmatig op clients moet instellen om er gebruik van te maken? Niet-transparant dus.

Dan zou je zelf een eigen transparante proxy kunnen draaien die dan weer naar die corporate proxy gaat. Dan bedoel ik dus zelf een Squid of iets draaien op die Linux host en door middel van IPtables het HTTP verkeer uitgaand translaten naar je lokale proxy waardoor hij transparant wordt.

[Cuball]

ja maar hadden weinig tot geen tijd.. Ik weet wel dat ze het niet toelaten om zonder proxy te internet content op te halen. Op zich geen probleem voor mij, niet dat ik de proxy wil omzeilen..

[Cuball]

gertvdijk schreef op dinsdag 14 juni 2016 @ 12:51:
Je bedoelt dat je een corporate proxy hebt die je handmatig op clients moet instellen om er gebruik van te maken? Niet-transparant dus.

Dan zou je zelf een eigen transparante proxy kunnen draaien die dan weer naar die corporate proxy gaat. Dan bedoel ik dus zelf een Squid of iets draaien op die Linux host en door middel van IPtables het HTTP verkeer uitgaand translaten naar je lokale proxy waardoor hij transparant wordt.

Inderdaad, alle clients krijgen proxy instellingen via policies doorgestuurd naar de browser. Met Squid kan ik een transparante proxy maken? Ik zal er me dan even in moeten verdiepen,

[gertvdijk]

Cuball schreef op dinsdag 14 juni 2016 @ 12:56:
Inderdaad, alle clients krijgen proxy instellingen via policies doorgestuurd naar de browser. Met Squid kan ik een transparante proxy maken? Ik zal er me dan even in moeten verdiepen,

Squid is een voorbeeld. Kan ook met andere proxy servers. Het gedeelte voor de koppeling naar je corporate kant heb ik geen idee van. Dat klinkt voor een proxy server wel als een beetje corner case. Zoek dus eentje die dat kan doen als 'client' zijnde.

Het transparante gedeelte doet Squid niet zelf. Dat moet je in je netwerk zelf fixen. Dus dat bijvoorbeeld in je iptables een destination NAT wordt gedaan voor het verkeer naar buiten op poort 80. Waarbij je het dan NAT naar localhost-of-squid-ip:squidport.

[ Voor 13% gewijzigd door gertvdijk op 14-06-2016 13:07 ]

[Gadgeteer]

Ik blijf het wel vreemd vinden. Je hebt een change nodig om je werk te doen maar de beheerders hebben geen tijd?

[Pikkemans]

Zolang je in een netwerk hangt waar je niet naar buiten mag door bijvoorbeeld een firewall rule of NAT rule dan lijkt me het niet mogelijk om een HTTP verbinding naar buiten op te zetten. Het zal toch een taak worden voor je netwerkbeheerders om jou toegang te verlenen door jou bijvoorbeeld in een ander netwerk te hangen die wel naar buiten mag.

[Cuball]

Pikkemans schreef op dinsdag 14 juni 2016 @ 13:31:
Zolang je in een netwerk hangt waar je niet naar buiten mag door bijvoorbeeld een firewall rule of NAT rule dan lijkt me het niet mogelijk om een HTTP verbinding naar buiten op te zetten. Het zal toch een taak worden voor je netwerkbeheerders om jou toegang te verlenen door jou bijvoorbeeld in een ander netwerk te hangen die wel naar buiten mag.

Dat klopt, maar ik kan wel naar buiten door de proxy te gebruiken, nu wil ik net dit transparant maken binnen een virtuele machine. Naar buiten toe zonder gebruik te maken van een proxy zal nooit worden toegelaten, toch zeker niet voor een client pc.

[Pikkemans]

Misschien kun je een Pfsense Vmware machine maken en die achter de proxy hangen en vervolgens op je host de pfsense als gateway gebruiken.

[Cuball]

Ik ga eens aan de slag gaan met Squid, lijkt mogelijk om een parent proxy in te stellen. Ik heb er dit gevonden:

code:

cache_peer proxy.some-isp.com parent 8080 0 no-query no-digest
never_direct allow all

[Verwijderd]

en als je een VPN verbinding opzet?

[Cuball]

ondertussen heb ik het werkend gekregen voor http verkeer met Squid, maar heb er eigenlijk niet aan gedacht dat dit met SSL waarschijnlijk niet mogelijk is om als transparante proxy te werken..

[DJSmiley]

Tja... die proxy zal een reden hebben. Vraag of ze voor jouw die proxy kunnen disablen, of een aparte lijn voor testdoeleinden.

Die proxy zit er niet voor niets, en het omzeilen van dat ding is niet de bedoeling hier. Maw: Laat de systeembeheerder het oplossen als het noodzakelijk is.