SuSE Linux als Ticket - Server Rat und Tat - Sicherheit/Firewall

Anfänger

15.02.2006, 19:31

Linux als Ticket - Server Rat und Tat

Hallo Ihr...

Ich würde gern Linux als eine Art Ticketserver nutzen. Das heißt, "jemand" klappt sein Notebook auf, bekommt von mir ein Benutzernamen und Passwort (auf einer Art "Visitenkarte"), klemmt sich an nen Switch, öffnet z.B. den IExplore und bekommt eine Anmeldeseite alla : Benutzername und Passwort eingeben...
Nach korrekter Eingabe soll denn der "Linux-Server" anhand der MAC-Adresse diesen Rechner ins Internet lassen, möglichst auch Zeitbegrenzt in Abhängigkeit von den Tickets(30min, 60min, 90min).
Ich erwarte hier natürlich keine Komplettelösung, How To oder ähnliches, da es sich um mein Abschlussprojekt handelt.

Aber vielleicht kann mir der Eine oder Andere Anregungen bzw. Tips bezüglich dieser "Aufgabe" geben.

Z.B so wie in der Art: Um die verbundenen MAC-Adressen heraus zu bekommen die Ausgabe von ARP in eine Datei umleiten und diese dann in eine SQL-Datenbank übertragen ...

Also Sprich: Tips und Anregung zur Lösung

Vielleicht ist ja der ein oder andere Bereit ein bissl nach zu helfen.
Danke für Eure Bemühungen,

Peopls

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »Peopls« (15.02.2006, 19:32)

Zum Seitenanfang

linuxerr

Prof. Dr. Schlaumeier

Beiträge: 8 557

Wohnort: Mecklenburg, zur Entwicklungshilfe in Chemnitz/Sachsen ;-)

2

15.02.2006, 20:20

RE: Linux als Ticket - Server Rat und Tat

das geht zb mit SQUID sehr gut. das ist ein http/https/ftp...-proxy. dort kann man verschiedene arten der authorisierung wählen. wenn der user den explorer startet und die erste seite aufruft erscheint dann ein login fenster und nach erfolgtem login kann der user ungestört surfen. die authorisierung gilt bis zum beenden des browsers. die anmeldetechnik nutzt das selbe protokoll wie der apache für authorisierte seiten. ist also für gängige browser kein problem.
eine verwaltung der mac-adressen oder ip ist damit unnötig. schau mal im link nach, ist ein sehr gutes online-handbuch.

Die Rechtschreibfehler in diesem Beitrag sind nicht urheberrechtlich geschützt.
Jeder der einen findet darf ihn behalten und in eigenen Werken weiterverwenden.

Zum Seitenanfang

Peopls

Anfänger

Beiträge: 20

3

15.02.2006, 20:38

Jo, danke, davon habe ich schon gehört, bzw. gelesen....
Kann mir aber nicht vorstellen das meine Dozenten damit zufrieden sind, da
wir das ja nun selbst "entwickeln" sollen ... ;-)

Zum Seitenanfang

linuxerr

Prof. Dr. Schlaumeier

Beiträge: 8 557

Wohnort: Mecklenburg, zur Entwicklungshilfe in Chemnitz/Sachsen ;-)

4

15.02.2006, 20:47

ach soooo, du sollst das rad noch einmal neu erfinden?

meiner meinung nach ist so eine proxylösung die beste, denn bevor der rechner internetkontakt bekommt, muss ja zumindest die anmeldeseite übertrageb werden, also muss das teil ja sowieso webserver-funktionalität haben. welche tools darfst du denn verwenden??? oder musst du das ganze os neu schreiben. was ist erlaubt?

Die Rechtschreibfehler in diesem Beitrag sind nicht urheberrechtlich geschützt.
Jeder der einen findet darf ihn behalten und in eigenen Werken weiterverwenden.

Zum Seitenanfang

Peopls

Anfänger

Beiträge: 20

5

15.02.2006, 21:33

Naja, was heißt neu erfinden... Ich hab mir so ein paar gedanken gemacht und fand die Idee ganz jut. Hab das dann auch in einer Kurzbeschreibung abgegeben... Tjaja, und sowas nach ein, zwei Tagen hab ich mich dann mal hin gesetzt und den SQUID auch gefunden... *hmpf*

Jo, Webserver und sowas hab ich mir da auch gedacht... Es geht ja nun erstmal um den "Anfang"... Also Wenn ich es erstmal geschafft habe mit zwei, drei rechnen (apäter Notebooks über accespoints) und vorgebenen Benutzer/passwörten eine anständige verbindung hin zu bekommen soll es ja noch weiter ausgebaut werden ... Daueraccounts, Zeitaccounts, Zugangsdaten per SMS anfordern...

Ich denke SQL oder postgres, apache usw sind auf jeden fall dabei...
Eine Einschränkung in sachen tools gibt es da nicht, solange die tolls es mir nicht ermöglichen mal eben das ding in 20 minuten fertig zu stellen. Es sind dafür ca 300 Std. eingeplnt.

Ich denk die Lösung mit/über MAC-Adresse auslesen, diese dann in eine DB übertragen ist doch erstmal ein anfang ?!?

Zum Seitenanfang

bonsai

Prof.Dr. Klugschiss

Beiträge: 1 486

Wohnort: N.de

Beruf: Informatiker

6

16.02.2006, 09:03

Weitere Möglichkeit

Hi,

wenn der Squid nicht reicht und Du alles neu erfinden sollst...dann sorge dafuer,
dass sich die Person per ssh einlogged....mache in der ".profile" eine iptables-Rule, die seine MAC durchlaesst - schau dafuer nach, welche MAC-Adresse er hat ....
netstat - /proc...... ...bzw arp. Und schmeiss' den Typen danach mit exit wieder aus der Shell....

Die erste programmgesteuerte Rechenmaschine (Z1) wurde Mitte der 30er Jahre als "nicht patentwürdig" eingestuft. Warum versaut mir das Ding 50 Jahre später immer noch den Tag?

Zum Seitenanfang

linuxerr

Prof. Dr. Schlaumeier

Beiträge: 8 557

Wohnort: Mecklenburg, zur Entwicklungshilfe in Chemnitz/Sachsen ;-)

7

16.02.2006, 09:51

RE: Weitere Möglichkeit

und wann wird der account wieder geschlossen??? wenn der nächste ans gerät geht hat er auch internetkontakt, da die mac ja frei zugänglich ist. eine freischaltung per mac ist für frei zugängliche rechner sehr ungünstig. woran erkennst du dann, ob der nur kurz pause macht oder liest oder ob er nicht mehr surft?

Die Rechtschreibfehler in diesem Beitrag sind nicht urheberrechtlich geschützt.
Jeder der einen findet darf ihn behalten und in eigenen Werken weiterverwenden.

Zum Seitenanfang

Peopls

Anfänger

Beiträge: 20

8

16.02.2006, 17:51

Naja, deswegen ja die Zeitbegrenzung ;-) von (30,60,90 minuten)...
Wenn ein Ticket verbraucht ist, tschüss....

Es soll sich ja primär, wie oben beschrieben, später denn über nen accespoint/WLAN eingewählt werden ... Ich würd nur erstmal kleine schritte machen und nicht gleich die großen Sprünge...

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »Peopls« (16.02.2006, 17:53)

Zum Seitenanfang

linuxerr

Prof. Dr. Schlaumeier

Beiträge: 8 557

Wohnort: Mecklenburg, zur Entwicklungshilfe in Chemnitz/Sachsen ;-)

9

16.02.2006, 18:25

Zitat

Original von Peopls
Es soll sich ja primär, wie oben beschrieben, später denn über nen accespoint/WLAN eingewählt werden ... Ich würd nur erstmal kleine schritte machen und nicht gleich die großen Sprünge...

trotzdem sollte man sich nicht von anfang an auch gleich konzeptionelle schwächen einbauen.

Die Rechtschreibfehler in diesem Beitrag sind nicht urheberrechtlich geschützt.
Jeder der einen findet darf ihn behalten und in eigenen Werken weiterverwenden.

Zum Seitenanfang

Peopls

Anfänger

Beiträge: 20

10

16.02.2006, 18:39

Öhm, nunja, deswegen ja die MAC... Es ist doch eher unwahrscheinlich das diese eben mal doppelt vergeben wurde...
Und wenn das "Ticket" abgelaufen ist, wird diese MAC mit der Benutzer/PW kombination eh gesperrt, bzw die "temporäre" Tabelle mit den MAC/Banutzerdaten gelöscht... Will er sich später wieder anmelden, holt "er" sich ein neues Ticket, öffnet die Anmeldeseite, gibt die Daten ein... usw.

Ob er liest, pause macht oder so ist doch egal... Brutto 30 min ...
Ich denke da an Internetcafees... Acoount frei für 30 min, auch wenn nur eine minute gesurft wird.
Ich hoffe ich hab mich nicht zu unklar ausgedrückt... Und natürlich ist es auch richtig von Anfang an alles richtig zu machen :-)

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »Peopls« (16.02.2006, 18:43)

Zum Seitenanfang

linuxerr

Prof. Dr. Schlaumeier

Beiträge: 8 557

Wohnort: Mecklenburg, zur Entwicklungshilfe in Chemnitz/Sachsen ;-)

11

16.02.2006, 19:08

wenn ich linux nutze und dabei potentiell mehrere user auf einem rechner arbeiten können und mit der selben mac in das netz gehen, ist diese authorisierung in meinen augen eine konzeptionelle schwäche. wenn nun auch noch mehrere maschinen über einen proxy an deinen authorisierungsrechner kommen, ist mit mac ganz schluss. da hätten nach der anmeldung eines users plötzlich alle zugriff, auch ohne ticket.
die ibemmer haben sich auch mal gesagt "och zwei stellen fürs datum reichen doch" und dann wars mist.

Die Rechtschreibfehler in diesem Beitrag sind nicht urheberrechtlich geschützt.
Jeder der einen findet darf ihn behalten und in eigenen Werken weiterverwenden.

Zum Seitenanfang

Peopls

Anfänger

Beiträge: 20

12

16.02.2006, 19:15

Würde ich das auf mich beziehen würde ich nicht jeden an mein Laptop zum Inet Surfen lassen... !?!
Aber genau aus den Gründen hab ich ja um Tipps gebeten... Kritik an meiner Idee vertrage ich natürlich, würde mich aber auch mal über eine Anregung freuen !

Zum Seitenanfang

bonsai

Prof.Dr. Klugschiss

Beiträge: 1 486

Wohnort: N.de

Beruf: Informatiker

13

16.02.2006, 20:20

Zitat

und wann wird der account wieder geschlossen??? wenn der nächste ans gerät geht hat er auch internetkontakt, da die mac ja frei zugänglich ist. eine freischaltung per mac ist für frei zugängliche rechner sehr ungünstig. woran erkennst du dann, ob der nur kurz pause macht oder liest oder ob er nicht mehr surft?

- Log-Funktion von iptables....
- timeouts fuer die Konnektierungen.
- oder Du laesst die SSH-Konnektierung offen und wenn diese geschlossen wird, wird auch der Rest geschlossen

...naja, ok....squid ist NATUERLICH besser.

Mach' ich eben einen neuen Vorschlag:

Wir tunneln HTTP per SSH - FERTIG!

Die erste programmgesteuerte Rechenmaschine (Z1) wurde Mitte der 30er Jahre als "nicht patentwürdig" eingestuft. Warum versaut mir das Ding 50 Jahre später immer noch den Tag?

Zum Seitenanfang

epikur

... only human being

Beiträge: 589

14

16.02.2006, 21:33

hi Peopls,

hier ein loesungsansatz fuer einen teilaspekt deines projektes.

zuerst eine kurze beschreibung unserer situation:
- benutzer die inHaus mit dem Laptop arbeiten wollen, sollen einen netzzugang erhalten um onlinedienste im internet, die fuer unsere organisation freigeschaltet sind [ueber IP], nutzen zu koennen.
- zugang ueber wlan oder Kabel
- absicherung gegenüber dem internen netzwerk
- authentifikation an vorhandener benutzerdatenbank
- fuer die absicherung ihres laptops sind die benutzer selbst verantwortlich
- moeglichst geringer aufwand fuer die systemadministration
- keine zeitbeschraenkungen
- keine ip/domain/inhaltsfilter [squid/squidGuard]

in punkto benutzerdatenbank und zeitbeschraenkung haben wir zwar andere voraussetzungen ... aber zuerst muss der client ja mal behandelt werden ...

hardware:
- server mit 2 netzwerkkarten [dhcp, iptables, apache]
- wlan-accesspoint

funktion:
- wer internetzugang wuenscht muss sein netzwerk auf dhcp stellen
- mit iptables [NAT] werden port 80 und 443 des segments auf eine php-seite des servers redirectet um die authentifizierung zu erzwingen
- ist diese erfolgreich, wird ein weiteres iptables-script mit dem parameter 'IP des benutzers' ausgeführt und der redirect bzw. NAT fuer diese IP zurueckgesetzt
[dieses script ist wie ein start/stop-script aufgebaut und koennte auch dazu verwendet werden die verbindung fuer diese ip wieder zu beenden d. h. NAT auf die authetifikationsseite]

fuer die verifizierung mac/ip wuerde ich die ausgabe von arp gegen den eintrag in der dhcpd.leases pruefen
z.B.:

Quellcode

}
lease 172.20.200.35 {
  starts 4 2006/02/16 09:14:54;
  ends 4 2006/02/16 21:14:54;
  binding state active;
  next binding state free;
  hardware ethernet 00:0e:49:46:l3:4f;
  uid "\001\000\0165d\325o";
  client-hostname "nosferatu";
}

bei uns wird bei der freischaltung nur ein logfile geschrieben - zu diesem zeitpunkt koennte auch die berechnung einer zeitscheibe beginnen die mittels timestamp/ip/mac/zeitvorgabe [z. B.: 90 minuten] prueft ob die vorgabezeit verstrichen ist und das iptables-script fuer den NAT-prerouting auf diese ip ausfuehrt]

das zeitfenster waere somit nur statisch - nach NN minuten wird getrennt.

ausserhalb der betriebszeiten werden alle connections beendet.
um die 'kleine paranoia' unseres netzadmins zu behandeln laeuft noch ein 'prelude' auf dem server mit.

gruß epikur

wie soll ich wissen, was ich denke?
... bevor ich hoere, was ich sage
... bevor ich lese, was ich schreibe

Zum Seitenanfang

Peopls

Anfänger

Beiträge: 20

15

19.02.2006, 17:11

Vielen Dank epikur, genau so in etwa hab ich mir das vorgestellt, hab mich dann doch ein wenig wüst ausgedrückt... Werde euch bestimmt in kürze mit einigen weiteren fragen bombadieren... thx soweit

Peopls

Zum Seitenanfang

Peopls

Anfänger

Beiträge: 20

16

15.03.2006, 09:52

Könnte mir jemand Tipps geben, wie ich es schaffe eine bestimmte "Startseite" vorzugeben?
Also jemand verbindet sich mit dem Server, und egal welche seite er eingibt er wird zuerst auf eine "Startseite" umgeleitet.
Änlich wie bei freenet. Wenn man sich über freenet einwählt ist es bei der ersten seite völlig egal was eingegeben wird, der erste aufruf wird immer auf die seite von freenet umgeleitet...

THX Peopls

Zum Seitenanfang