Comment implémenter le proxy de style OpenDNS du trafic Web

Question

J'ai une exigence que je crois peut être impossible et je voulais confirmer cela avec des experts dans cette communauté.

Un client souhaite que nous configurions un serveur DNS pour pointer tous les domaines non-inclus dans la liste blanche vers une adresse IP d'un serveur sur Internet. Ce serveur doit transférer/rediriger tout le trafic non-http vers une adresse IP associée à l'enregistrement DNS réel aussi précisément que possible. Cependant, pour tout le trafic du port 80, il doit intercepter le trafic et le transmettre à un proxy Web. Cela pourrait en théorie être possible si nous avions un grand bloc d'adresses IP publiques qui pourraient intelligemment router en fonction de l'adresse IP de l'expéditeur vers la bonne destination, mais l'effort d'ingénierie requis pour garder la requête DNS et les requêtes subséquentes à ce même domaine synchronisées. serait immense. Sans oublier que nous serions limités du point de vue de la concurrence. Ceci est probablement similaire à la façon dont OpenDNS fait son DNS + Proxying, mais ils semblent seulement le faire pour google.com. Cela doit fonctionner pour un ensemble arbitraire de domaines (potentiellement tous).

L'approche ci-dessus est-elle faisable? Si ce n'est pas le cas, y a-t-il d'autres façons d'aborder ce problème sans avoir besoin de matériel de passerelle spécialisé?

Idéalement, le système minimisera l'utilisation de la bande passante & la latence pour le trafic non-http sans nécessiter autre chose que la configuration du DNS ou du pare-feu. Je me rends compte que nous pouvons transférer tout le trafic http au niveau du pare-feu, mais le client veut éviter les requêtes http sur les CDN ou les sites lourds, ainsi que minimiser l'effort de déploiement sur des configurations réseau disparates.

Answer 1

OpenDNS fonctionne par listes noires au lieu de la liste blanche

Lorsqu'un hôte est mis à l'index, OpenDNS résoudra le nom dans leur adresse IP, ce qui empêche le client d'accéder à l'adresse IP réelle.

Dans votre cas, on dirait que vous avez besoin proxy transparent où vous pouvez acheminer tout le trafic HTTP à votre serveur proxy:

Voir:

• http://www.howtoforge.com/dansguardian-content-filtering-with-transparent-proxy-on-ubuntu-9.10-karmic

Answer 2

Cela pourrait ne pas être exactement ce que vous cherchez mais jetez un coup d'oeil à mon article "How To Setup A Transparent Content Filtering Proxy" dans lequel j'utilise les capacités de liste noire d'OpenDNS.

Answer 3

Vous pouvez le faire en utilisant deux pièces:

1. résolveur DNS configurés avec *. pointant vers IP A.B.C.D (caractère générique)
2. Le proxy inverse NGINX écoute sur A.B.C.D cette requête proxy au domaine présent dans l'en-tête Host.