Linux Gateway / Server aufbauen

[Elrond der 2te]

Grüß euch,

Ich überlege seit ein paar Tagen mein Gateway (Pentium 166MMX mit M0n0wall) zu modernisieren. Am Anfang hatte ich die Idee, zusätzlich eine ATOM Maschine mit Transparentem Proxy (HAVP, Privoxy + Squid) zu basteln, doch nach einigen Überlegungen erschien mir das ineffizient (Der 945er Chipsatz verbrät zu viel & in Relation mit der Performance ist es das nicht Wert, zudem ich gerne noch ein paar Services einrichten möchte...) Zudem würde ich gern den 166er in Rente schicken... Momentan spekuliere ich auf folgendes:

AMD Athlon X2 4850e
2x2GB Speicher
MSI 780G mATX Board
3 zusätzliche NICs (2x100Mbit 1x Gbit)
2x 320 GB 7k2rpm 2,5" Platten für SWRaid1
mATX Cube Gehäuse + Energieeffizientes MarkenNT

Das Ganze soll unter Debian Lenny laufen, die M0n0wall möchte ich über VMware Server (mit den 2 100Mbit NICs im Bridging -> Wenn ichs richtig verstehe binde ich die NICs damit an die VM, sprich der Host ist darüber nicht ansprechbar) virtualisieren...Für de Proxy (Transparent) stelle ich mir folgende Konstellation vor: Squid mit 1GB Ramdisk Cache -> HAVP HTTP AV Proxy -> Privoxy um den ganzen Müll aus den Websites zu filtern -> 2ten Squid mit 60-80GB Cache um Websites sowie Youtube Videos, Windows Updates, MacOS Updates & Linux Packetquellen zu cachen..
Laut HAVP Forum läuft der HAVP Proxy mit einem Squid Sandwich am besten & schnellsten. Ansonsten will ich noch folgende Sachen laufen lassen:

LDAP Server (Für Linux Memberserver /Clients, MacOS & Windows Clients / evtl. M$ Testmemberserver auf anderem Rechner -> DNS Server notwendig??)
DHCP, SSH, NTP
MLDonkey + LSD (Rapidshare Downloader mit PHP Webinterface)
Apache + PHP (für phpLDAPAdmin & LSD Webinterface)
Webmin
mdadm für Software Raid1
Citadel Groupware/Mailserver in DebianVM
ClamAV (wird mit HAVP mitinstalliert, möchte per nächtlichem cronjob die Caches + das Downloadverzeichnis clean halten)
FTP (SCP), SAMBA + SWAT, netatalk, avahi (Bonjour für MacOS) um den Proxy Cache sowie den Downloadordner freizugeben..
u.a

Wie ist eure Meinung dazu? Weist meine Überlegung einen Denkfehler auf? Was kann man noch verbessern?
Wie kann man am besten eine laufende Linuxinstallation über nacht per Cronjob als Bootfähiges Image auf z.b ein SMB Share Sichern sodass man im Schadensfall (z.B RAID zerschossen) per BootCD das Image wieder einspielen kann? Gibt es unter Linux eine Möglichkeit sich über diverse Ereignise Status-Emails schicken zu lassen z.B mdadm Status, ClamAV Scanberichte etc?? Ist jetzt zwar ein bisschen viel Text geworden, aber ich bedanke mich im Voraus für eure Tipps

Gruß

 

[Boy2006]

Willst du es Privat oder Geschäftlich nutzen ?

 

[BBR]

was willst du den genau?

Eine Gateway/Firewall oder soll als auf einen Kiste?
Willst du M0n0wall weiternutzen oder warum soll das in VMware?

Man wird, finde ich, nicht so ganz schlau draus was du machen willst.

Was hat M0n0wall (firewall) mit den anderen Diensten zutun? Die gehören auf eine ganz andere Kiste.

Ich würde an deiner Stelle 2 Maschine machen. Eine mit M0n0wall oder halt selber bauen und eine andere mit den Serverdiensten. Dort dann die einzelen Dienste trennen, in dem man sie ein einzlene VMs packt (VM1 für DNS/DHCP VM2 für Ldap etc...).

ClamAV (wird mit HAVP mitinstalliert, möchte per nächtlichem cronjob die Caches + das Downloadverzeichnis clean halten)

was soll man draunter verstehen? Du scheibst ja schon von einem Squid / HAVP / Squid Sandwich dort wird doch eh alles schon gescannt.

 

[Elrond der 2te]

Das Ding sol bei mir zu Hause seinen Dienst verrichten, darum auch der Bastelkasten.. Meine P166MMX M0n0wall werde ich als Reservergerät behalten, falls mal was mit dem Kasten ist.. Es mag sich alles ein wenig Enterprisemässig anhören, aber ich möchte mich mit Linux beschäftigen bzw. so einges ausprobieren.

Edit: Würde es also doch mehr Sinn machen ein extra Firewallbox (M0n0wall) zu betreiben.. Ich dachte mir schon das es eine Schnapsidee ist, ich wollte es ja so haben das über die 2 100Mbit Nics nur die M0n0wall VM ansprechbar ist (ale wäre es eine dezitierte Maschine)

 

[BBR]

ich würde nie eine Firewall als VM laufen lassen, da ich da schon Sicherheitsrisiken sehe (OK, für zuhause vlt übertrieben, aber man kann ja nicht vorsichtig genug sein )

 

[Elrond der 2te]

Zitat von Elrond der 2te
ClamAV (wird mit HAVP mitinstalliert, möchte per nächtlichem cronjob die Caches + das Downloadverzeichnis clean halten)
was soll man draunter verstehen? Du scheibst ja schon von einem Squid / HAVP / Squid Sandwich dort wird doch eh alles schon gescannt.

Ich dachte mir halt das wenn doch mal etwas in den Cache durchschlüpft (weil ClamAV noch keine Signaturen dafür hat..) das eben der ClamAV irgendwann (so ca. 3 Uhr in der Früh wenn keiner mehr Surft) den Cache scannt bzw. das Downloadverzeichnis von MLDonkey/LSD. Ich denke das Risiko den Firewallrouter zu virtualisieren, ist für zu Hause nicht so schlimm, das Problem ist halt ein kompromitierter Host... Lt. VMWare Manual leiten auf Bridge konfigirierte NICs den Traffic direkt in die VM (ohne Zugriff auf den Host), also denke ich das es nicht so das Problem darstellt...
Wenn ich es richtig verstehe routet mir iptables von z.B eth1 den gesamten Traffic an eth0 (HTTP durch den Proxysandwich), welches dann den Standardgateway darstellt und von eth1 aus zur M0n0wall..
Über die Proxy Server möchte ich Viren + Werbungsfreies Internet sowie Youtube Videos (ich möchte den Cache Freigeben damit man die Videos direkt vom Cache auf den Rechner ziehen kann), Windows Updates, MacOS Updates & Debian Packetquellen cachen.. Was gibt es noch zu bedenken??

 

[BBR]

wofür verschiedene Interface? Es gibt bei iptabes in Funktion "--dport 80 -j REDIRECT --to 3128" damit leitest du alles von 80 auf 3128 (squid) um.

So hast du dann denTransparenter proxy. Dann machst du dein Sandwich.

Also Firewall Port 80 --> Squid Port 3128 --> HAVP Port 8080 --> Squid Port 8100 --> Internet

 

[Elrond der 2te]

Dachte ichs mir doch das ich einen Denkfehler drin hab.... Ich definiere die Routing Regel mit iptables auf den Listening Port vom ersten Squid & dann per Parent Proxy funktion -> HAVP-> Privoxy -> Squid2. Nur wie gehts dann weiter? Standard Gateway ist dann statt der M0n0wall das Debian Hostsystem? Was passiert dann mit dem Traffic von anderen Ports??

 

[BBR]

der andere Traffic wird einfach nur weitergeleitet (forward).

 

[Elrond der 2te]

So ganz checke ich es leider immer noch nicht... Theroetisch brauche ich mindestens 3 iptables Rules: Eine um Squid1 zu sagen wo der Gateway (M0n0wall Port80) ist, Eine um nicht HTTP Traffic einfach durchzuschleusen (Von Der M0n0wall zum Client) und eine um vom Squid2 Port zurück auf Port 80 zum Client (Standard Gateway Eintrag am Client Debian Host?), ist das Richtig so?? Das ist halt nur die eine Richtung, vom Netz zu Client, umgekehrt route ich dann mit iptables direkt vom Client zur M0n0wall?

Bsp: Internet---->M0n0wall--->Port80 zu Squid, Rest FORWARD--->Squid1, HAVP,
Privoxy, Squid2 Sandwich---> Squid Port zurück auf Port80---->Client

Internet<----M0n0wall<---Gesammter Traffic per FORWARD zur M0n0wall<---
Client

Ansonsten Grübel ich gerade, wie ich am besten per cronjob das laufende System sichern kann.. Momentan denke ich an ein Software Raid1 per mdadm mit LVM Partionen für das Linux System & eine normale Datenpartition für Cache, VMware & Downloads Sichern würde ich das Laufende System per LVM Snapshot auf die Datenpartition, dieses dann ReadOnly mounten und mit FSArchiver auf ein SMBShare Sichern und das Snapshot wieder löschen.... Sollte denke ich so funzen, müsste natürlich alles getestet werden..