Что поставить на сервер?

[Tolpa]

Серверами на Ubuntu пока не занимался.
В сети есть контроллер домена на Windows Server` 2008, 1С сервер с удалённым доступом по RDP на Win`2008.
Интернет получаю от двух провайдеров. Оба работают нестабильно и регулярно "падают".
Нужно установить прокси сервер на Ubuntu.
Требования:
1. корректная работа с DC.
2. NAT (в том числе и для 1С по RDP).
3. ограничение доступа к ресурсам интернета - возможность блокировать сайты, аудио и видео потоки, торренты... и разблокировать их.
4. статистика по ресурсам, которые посещает конкретный пользователь.
5. контроль работы сетевых интерфейсов и информирование админа при пропадании интернета на них.

Посоветуйте что ставить, в какую сторону смотреть и чего почитать...
Спасибо заранее!

[PrivetTeplo]

2. Как вариант, VPN или файрволл+dhcp работающий.
3. Как вариант, прокси Privoxy (рекламку может блокировать) и сами можете блокировать конкретные запросы или менять содержимое страницы. Иногда делают в связки с Squid.
4. Журнал какой-либо использовать, затрудняюсь подсказать решение.
5. Самописный скриптик с уведомлением...по смс через модем? Просто если интернета нет - то и уведомление не пройдёт.

[Tolpa]

2. Как вариант, VPN или файрволл+dhcp работающий.
3. Как вариант, прокси Privoxy (рекламку может блокировать) и сами можете блокировать конкретные запросы или менять содержимое страницы. Иногда делают в связки с Squid.
4. Журнал какой-либо использовать, затрудняюсь подсказать решение.
5. Самописный скриптик с уведомлением...по смс через модем? Просто если интернета нет - то и уведомление не пройдёт.

2. какое отношение к реализаци NAT имеют "VPN или файрволл+dhcp работающий"?
3. спасиюо - посмотрю!
5. уведомление нужно по локальной сети или по второму работающему интерфейсу, чтоб знать что интерфейс упал. если инет упал на обоих интерфейсах это и так будет ясно (

[KPbIC]

4. Анализатор логов (если стоит Squid) - Sams, Sarg.
5.

Код: [Выделить]

ifconfig eth1|sed -n 4p|awk '{print $1}' ответом будет UP или DOWN. eth1 заменить на свой интерфейс

[Tolpa]

KPbIC,
то что вы написали надо в терминале ручками вбивать каждый раз?
процесс не автоматизировать?

[insiki]

Lightsquid - парсер логов Squid. Как в crontab зададите, так и будет обновлять логи.
Страница будет доступна через браузер.

[KPbIC]

KPbIC,
то что вы написали надо в терминале ручками вбивать каждый раз?
процесс не автоматизировать?

Можно автоматизировать. Написать простенький bash-скрипт, который будет проверять состояние интерфейса, задать интервал по желанию, и в случае DOWN отправлять сообщение прямо пользователю (админу) на комп или СМС на телефон.

[Tolpa]

KPbIC, большое спасибо - буду курить написание скриптов...
Пользователь решил продолжить мысль 02 Апреля 2014, 14:20:29:...а Squid можно настроить на работу с одним локальным и двумя интернет-интерфейсами?
найти в инете не могу (((

[KPbIC]

Сквиду можно указать ip-адрес интерфейса, который должен слушать клиентские подключения, но обычно достаточно указать только порт. А по поводу интернета от 2 провайдеров есть хорошая статья на хабре http://habrahabr.ru/post/30076/
А как вообще представлен интернет от 2 провайдеров? Оба подключения проводные или есть какой-нибудь 3G модем?

[Tolpa]

KPbIC,
одно подключение - оптоволокно, другое - по воздуху (радио)
но в сервак приходят фактически две витых пары
никаких подключений или аутентификаций по обоим подключениям не требуется

[Yuriy_Y]

Внесу и своих 7 копеек по пунктам:

1. корректная работа с DC.

Это что?

2. NAT (в том числе и для 1С по RDP).

Прозрачный прокси на squid3. Проксируется только веб трафик, остальное как раз НАТится.

3. ограничение доступа к ресурсам интернета - возможность блокировать сайты, аудио и видео потоки, торренты... и разблокировать их.

Настройка ACL в squid. ДОбавляешь себя, любимого, к примеру, в категорию vip. Для этой категории не делаешь никаких запретов. Остальным всё режется. С торрентами сложнее. Потому как диапазон портов непредсказуем. Только если закрывать все порты наружу средствами iptables, кроме необходимых. Тогда надо знать на каких портах работают нужные проги (банк-клиенты, налоговые проги и т.д.)

4. статистика по ресурсам, которые посещает конкретный пользователь.

Sarg для Squid.

5. контроль работы сетевых интерфейсов и информирование админа при пропадании интернета на них.

Zabbix - очень мощная система мониторинга всего. Даже кофеварку можно подключить, если у нее есть ИПшеник в сети и ты напишешь для нее плагин.

По поводу двух провайдеров - курить хабр и гуглю на предмет балансировки нагрузки от двух провайдеров. Надеюсь, пнул в нужном направлении? 

[insiki]

При прозрачном проксировании сразу становится вопрос - что делать с HTTPS, ибо правила Squid на него не действуют.

[Tolpa]

Yuriy_Y,
да спасибо! вроде ясно в какую сторону копать... )
(по DC - http://ru.wikipedia.org/wiki/%CA%EE%ED%F2%F0%EE%EB%EB%E5%F0_%E4%EE%EC%E5%ED%E0)

insiki,
у меня пока не возникало необходимости контролировать HTTPS О-о
в каких случаях оно вам необходимо?

[insiki]

Tolpa,
Продвинутые юзвери по https через найденные в интернете прокси ломятся в обход  и творят, что хотят - качают музыку, видео, лазают по сайтам запрещенным.
Конечно вариант эти прокси вычислять, но это до того момента, пока новый не найдет (а найдет он его очень быстро), блэклисты не помогают.

[Tolpa]

insiki,
и как Вы фильтруете подобный трафик?
у меня были похожие "моменты" - по решению руководства закрыл Одноклассников и пр.
как вы говорите, "продвинутые" пользователи нашли обходные сервера.
я их вычислил повторно... и что б не играть в догоняшки - согласовал с руководством и родил приказ в духе "...админнистратору время от времени проверять трафик..., в случае обнаружения... подавать данные генеральному директору... пользователей штрафовать в размере 1-3000 рэ"
пользователям я скинул письмо, что канал у нас узкий, в мою обязанность входит обеспечение жизнедеятельности офиса, а не выискивание новых обходных серверов. и если интернет работает плохо - я получаю по шапке. а работает он плохо тогда, когда вы качаете фильмы, музыку и играете в игры в социальных сетях. т.е. я получаю по шапке из-за вас, граждане. мне это не надо. так что солью руководству любого и со спокойным сердцем - не обижайтесь!

у меня проблемы закончились

пс: безопасность - это ВСЕГДА комплекс организационно-технических мер! )

Пользователь решил продолжить мысль 03 Апреля 2014, 10:17:46:добавлю, потом ряд руководителей подходило и просило лично им открыть доступ - кому на Одноклассники, кому во ВКонтакте... якобы есть партнёры, которые только там общаются и не признают эл.почту, аськи и скайпы
представляете какой эффект был для обычных пользователей? )