WinProxy 1.4

Uživatelská Příručka

poslední úprava 10.4. 1997

WinProxy Software 
© 1996 Martin Viktora
       Martin Rubas
       Tomáš Hnetila
Autentifikace uživatelů a správa cache využívá algoritmus MD5; 
Odvozeno z : RSA Data Security, Inc. MD5 Message-Digest Algorithm. 
Upozornění :
V dokumentu použité názvy produktů, firem apod. mohou být ochrannými známkami nebo registrovanými ochrannými známkami příslušných vlastníků.


Obsah  
1.Předmluva
2.Co je WinProxy a jak pracuje ?
3.Základní Informace
   3.1 Systémové požadavky
   3.2 Instalace
4.Konfigurace
   4.1 Proxy Server
   4.2 Cache
   4.3 Gateway
   4.3.1 Telnet gateway
   4.3.2 Ftp gateway
   4.3.3 RealAudio gateway (proxy)
   4.3.4 News
   4.4 Mail
   4.4.1 Mail Gateway
   4.4.2 Mail Server
   4.5 SOCKS server a DNS
   4.6 Telefonické připojení
   4.7 Správa uživatelů, kontrola přístupu
   4.8 Bezpečnost
5. Konfigurace TCP/IP
   5.1 Nastavení IP adres
   5.2 Nastavení DNS
A Sítě s více segmenty
B Příklad nastavení Mail Serveru
C Informace pro ISP

1.Předmluva

    Tento dokument je určen uživatelům programu WinProxy. Popisuje k čemu WinProxy slouží, jak pracuje, jak provést správnou konfiguraci a další informace. Jeho obsah se bude postupně měnit, tak jak budeme schopni doplňovat nové, aktuální infomace. Poslední verze bude dostupná na Webu. Prosíme čtenáře, aby nás upozornili na případné nejasnosti, nepřesnosti či nedostatečné informace. Vítány jsou též návrhy na doplnění dalších informací vztahující se k problematice, či popisy konfigurace software jež zde nebylo uvedeno.
Obálka Naše adresa : winproxy@winproxy.cz 

Autoři 

2. Co to vlastně je a jak pracuje WinProxy ?

    Proxy server (odpovídající český výraz - zástupný server) je program určený pro zpřístupnění Internetových služeb z lokální sítě chráněné Firewallem.
    Firewall je obecně počítač, který je umístěn na rozhraní mezi lokální sítí a Internetem. Jeho úkolem je chránit lokální (privátní) síť a data na počítačích této sítě proti útoku z relativně nebezpečného Internetu. Tato ochrana je prováděna různými způsoby, nejčastěji se na počítači realizující firewall zakáže směrování paketů. To znamená, že je nemožné dostat se na úrovni IP vrstvy do lokální sítě a právě útoky vedené z této vrstvy patří k velmi nebezpečným. Nevýhodou tohoto řešení je, že počítače na lokální síti chráněné firewallem ztratí možnost přímého přístupu na Internet.
    V současné době se nejvíce ujaly následující řešení překlenující tento problém :
   Proxy server 
   Gateway 
   SOCKS server
    Obvykle se jedná o nějaký program, který je spuštěn na počítači s přímou konektivitou do Internetu (nebo jiné požadované sítě). Počítače pak přistupují z lokání sítě do Internetu nepřímo, prostřednictvím tohoto počítače (firewallu).
Následující obrázek ilustruje nejčastější situaci :
 
    Jestliže se chce počítač A spojit s počítačem B, musí se nejprve spojit s počítačem C. Po navázání spojení zašle počítač A počítači C žádost o spojení s počítačem B. Počítač C naváže spojení s počítačem B a nyní může začít výměna dat mezi počítači A a B. Formát žádosti o spojení přicházející na počítač C může být různý a je určen výše uvedenými přístupy. Také úloha počítače C při výměně dat mezi počítači A a B je různá, závislá od použitého přístupu. V jednodušších případech počítač C do procházejících dat vůbec nezasahuje, ve složitějších případech může provádět transformaci protokolů.

    Počítač C může také provést ověření žádosti o spojení a podle určitých kritérií rozhodnout, zda bude požadavek vyřízen nebo zamítnut. To umožňuje řídit přístup uživatelů lokální sítě k vybraným službám.

   Aby nebylo možné použít opačného přístupu, tj. aby počítače v Internetu nemohly přistoupit přes počítač C na lokální síť, umožňuje WinProxy definovat tzv. bezpečná síťová rozhraní nebo rozsah IP addres, ze kterých je povoleno využívat služeb WinProxy. Spojení na počítač C je pak možné jedině z lokální sítě.

   Uvedený model přináší kromě zvýšení bezpečnosti další zajímavé možnosti :
  Nutnost pouze jedné IP adresy 
Počítače v lokální síti mohou mít libovolně zvolené IP adresy. Skutečná Internetová adresa je vyžadována pouze jedna a to pro počítač C. Nejčastější situace jsou : 
Lokální síť s několika počítači, k jednomu je připojen modem pro připojení do Internetu. 
Lokální síť s několika počítači, jeden má dvě např. ethernet rozhraní, jedním je připojen do lokální sítě, druhým na veřejný segment. 
  Ukládání procházejících dat do sdílené cache 
Počítač C může procházející data ukládat do vlastní cache. Při opětovných žádostech o jejich zaslání již nejsou data získána z původních míst, ale jsou vzata z cache. Tento přístup snižuje zatížení linky a urychluje odezvu. Samozřejmě do cache jsou ukládána data pouze veřejná, v cache se tedy neobjeví informace privátního charakteru. 

3. Základní informace

3.1 Systémové požadavky

Operační systém : 

    Windows 95 nebo Windows NT s nainstalovanou podporou TCP/IP (viz. Konfigurace TCP/IP).

Hardware : 

    minimální HW konfigurace pro daný operační systém , cca. 1 MB na HDD + diskový prostor pro cache.

     S rostoucím počtem uživatelů a velikostí cache rostou požadavky na paměť, procesor a disk, a také rychlost připojení.

     Doporučujeme následující (minimálně):

 3.2 Instalace, popis souborů

    Instalace se provede spuštěním programu SETUP.EXE, který se nachází na instalační disketě, nebo spuštěním archivního souboru staženého z Internetu.

    Pokud pracujete pod Windows NT, máte možnost WinProxy nainstalovat s možností spouštění jako služby (application with service support). K tomu však musíte mít administrátorská privilegia.

    Na závěr budete dotázáni, zda chcete vytvořit skupinku ve Správci programů. Skupinka bude mít jméno WinProxy. Pokud jste instalovali s podporou služby pod Windows NT, pak bude vytvořena skupinka typu Common, jinak bude typu Personal.

    Po instalaci je WinProxy schopen okamžitého použití.

    V cílovém adresáři (kam jste WinProxy nainstalovali) najdete tyto soubory:
winproxy.exe  - vlastní aplikace 
proxy.pac  - autokonfigurační soubor 
config.htm  - nápověda pro konfiguraci 
readme.txt  - základní informace 

4. Konfigurace

   Jestliže nemáte na počítačích fungující protokol TCP/IP, čtěte nejprve kapitolu 5. Konfigurace TCP/IP.
   Konfigurace se provádí prostřednictvím formulářů web rozhraní. Toto rozhraní je přístupné přes URL : http://host:3129/admin kde host je počítač, kde běží WinProxy. Ke konfiguraci je vhodné použít prohlížeč, který dovede zobrazit rámce (frames). Konfigurační hodnoty jsou uspořádány do několika skupin, každé skupině přísluší jeden formulář. Na web rozhraní je také umístěna on-line nápověda s informacemi, jak pracovat s konfiguračními formuláři.

    V předchozí kapitole byly naznačeny základní principy práce WinProxy. Ta tedy pracuje jako :
   proxy server pro protokoly http, https, ftp a gopher
   umožňuje ukládat data těchto protokolů do sdílené cache (kromě https)
   gateway pro služby Telnet, FTP, SMTP, NEWS, POP3 a RealAudio
   Mail Server
   SOCKS server v4, v5 a DNS forwarder
   umožňuje vyvolat telefonické připojení sítě
   správa uživatelů a skupin + omezení přístupu
   FireWall - zabezpečuje lokální síť
    Každý z bodů představuje určitý subsystém WinProxy. Vlastnosti těchto subsystémů se nastavují prostřednictvím formulářů. V následujících kapitolách jsou popsány způsoby jejich nastavení.

    Důležité :  V následujícím textu je často zapotřebí odkázat se na počítač, kde běží WinProxy. Pro pohodlnost budeme tento počítač nazývat ProxyHost. ProxyHost tedy představuje DNS jméno nebo IP adresu počítače (v lokální síti), na kterém provozujete WinProxy.

    Dále předpokládáme, že počítač ProxyHost má přístup do lokální sítě a zároveň do Internetu. Spojení do Internetu může být realizováno libovolným způsobem : komutovaná linka, ISDN, další síťová karta, ...
 

4.1 Proxy server

   Nastavení WinProxy

    WinProxy očekává požadavky na portu 3128. Toto implicitní nastavení lze změnit na stránce Network.
        Dále je nutné správně nakonfigurovat browser. V současné době je k dispozici větší počet prohlížečů, ale ne každý podporuje proxy server. Pokud tyto prohlížeče podporují proxy, pak je jejich konfigurace navzájem podobná. Pro názornost uvedeme příklad konfigurace nejrozšířenějších browserů :

  Nastavení klientů

   Netscape Navigator 
  1. menu Options -> Network Configuration -> záložka Proxies
  2. zvolíme  Manual Proxy Configuration
  3. stiskneme tlačítko View
  4. do políček HTTP Proxy, FTP Proxy, GOPHER Proxy a Security Proxy uveďte počítač ProxyHost a port nastavíme na 3128.
   Druhou možností je použít autokonfigurační soubor. Tento soubor se po instalaci nachází ve stejném adresáři jako WinProxy. V tomto souboru je zapotřebí nastavit proxy na počítač ProxyHost. V Navigatoru zvolíte Automatic Proxy Configuration a do políčka Configuration Location (URL) zadáte : ProxyHost:3129/autoconfig.

  NCSA Mosaic 
  1. menu Options -> Preferences -> záložka Proxy
  2. do políček proxy serveru pro HTTP, FTP, GOPHER uvedete počítač ProxyHost a port 3128 oddělené dvojtečkou.
   MS Internet Explorer 2.0 Česká verze 
  1. Start -> Nastavení -> Ovládací panely -> Internet
  2. záložka Upřesnění -> zvolíme  Použít zprostředkující server
  3. Do políčka zprostředkující server uveďte ProxyHost:3128
   MS Internet Explorer 3.0 Česká verze 
  1. menu Zobrazit -> záložka Možnosti -> tlačítko Připojení
  2. zvolíme  připojovat se přes proxy server
  3. stiskneme tlačítko Nastavení
  4. Do políčeka HTTP uvedete počítač ProxyHost a port nastavíte na 3128.
  5. Zaškrtněte volbu pro všechny protokoly používat týž proxy server.
    Kaskádování 
    Jestliže například váš poskytovatel Internetu provozuje vlastní proxy server s velkou cache, potom můžete na stránce Advanced nastavit jeho adresu a port. Požadavky pak budou postupovány tomuto serveru. 

4.2 Cache

    Data procházející přes proxy server je možné ukládat do sdílené cache. Při opakovaných požadavcích jsou data vzata z cache.

  Nastavení parametrů

    Pravidla (parametry) pro ukládání dat do cache lze nastavit na stránce Cache. Hlavních parametrem je maximální velikost cache (políčko Max. Size). Je to maximální velikost, na kterou je možno cache naplnit. Po dosažení této velikosti jsou z ní umazávány objekty nejstaršího data. Dalším parametrem je maximální velikost objektů, které ještě budou ukládány do cache. Tato velikost se dá nastavit pro objekty u každého protokolu (HTTP, FTP, GOPHER) zvlášť. Rozumným nastavením těchto hodnot se můžeme vyhnout situacím, kdy při stažení a uložení 2 MB souboru do cache bude smazáno 330 menších souborů (při průměrné velikosti objektů6 kB). Cache Directory určuje umístění adresáře pro cache.
    Celý proces ukládání dat do cache lze vypnout pomocí volby (Enable Caching). Zda se má pokračovat s přenosem a ukládáním dat pokud bylo spojení s klientským browserem přerušeno, určuje volba (Continue loading aborted objects). Nastavit lze také, zda se mají do cache ukládat neúplné objekty v případě, že spojení bylo předčasně zrušeno (Keep aborted Objects).

  Životnost objektů

    Životnost objektů (angl. Time-To-Live, zkr. TTL) označuje dobu platnosti uložených dat v cache. Pokud tato doba vyprší, WinProxy při požadavku na tato data přistoupí k jejich obnovení.
    Nastavení TTL se provádí na stránce Time-To-Live. TTL se nastavuje pro jednotlivé protokoly (HTTP, FTP, GOPHER) nebo detailně pro jednotlivé URL.
    Formát zápisu je ttl@url , kde ttl je požadovaná doba platnosti pro url. Url se musí uvést ve formátu :scheme://host/path. V url je možné použít znak "*", který zastupuje libovolný řetězec. Například:
12@*www*    nastavuje dobu platnosti na 12 dní pro všechny objekty, jejichž url obsahuje řetězec www.
2@ftp://*.zip    nastavuje dobu platnosti na 2 dni pro všechny objekty stažené přes ftp a končící příponou .zip

4.3 Gateway

   4.3.1 Telnet gateway

    Telnet je protokol umožňující připojení k libovolnému počítači v Internetu a pracovat s ním vzdáleně v terminálovém režimu (samozřejmě za předpokladu, že máte na tomto počítači zřízen uživatelský účet).
    Použití telnetu přes WinProxy je následující : Spustíte program Telnet a připojíte se nejprve na počítač, kde běží WinProxy. Pak budete vyzváni k zadání jména počítače, ke kterému se chcete skutečně připojit. Volitelně je možné zadat číslo portu. Pokud chcete tuto možnost využívat, musíte mít zaškrtnutou volbu Telnet Gateway na stránce Network. Je také možné zadat číslo portu, na kterém Telnet gateway poběží. Implicitní hodnota je 23.

  4.3.2 Ftp gateway

    FTP (File Transfer Protocol) je protokol určený k přenosu souborů. Ftp gateway umožňuje ftp klientům přístup na ftp servery v Internetu. Gateway je typu user@host. Jestliže se chcete např. připojit na počítač ftp.bestsite.com jako uživatel anonymous, připojte se nejdříve na počítač s WinProxy jako username zadejte anonymous@ftp.bestsite.com.
Můžete také použít oblíbený program WS_FTP, který automaticky podporuje tento typ gatewaye. V tomto programu je zapotřebí nastavit Firewall Type na USER with no logon, Host Name na ProxyHost a port na 21.

Pokud chcete Ftp gateway využívat, zaškrtněte volbu Ftp Gateway na stránce Network. 

4.3.3 RealAudio gateway (proxy)

    RealAudio gateway umožňuje přijem zvuku z Internetu ve formátu RealAudio. Podporováno je jak TCP tak UDP. Pokud chcete tuto volbu používat, aktivujte volbu RealAudio na stránce Network. Číslo portu je implicitně nastaveno na 1090. Nastavení přehrávače RealAudia (RealAudio Player) je následující : menu View -> Preferences -> Proxy, zaškrtnout Use Proxy a do políčka host udevedete počítač ProxyHost a do políčka port hodnotu 1090.

4.3.3 News News

    News gateway vám umožní přijímat a odesílat příspěvky do USENET News. Konfigurace je následující : V na stránce Network zadáte do políčka News server jméno nebo IP adresu počítače, ze kterého chcete News odebírat. Ve čtečce news nastavíte jméno news serveru počítač ProxyHost. Např. v Netscape Navigator-u je to políčko News (NNTP) server na stejné stránce jako pro Mail server.

4.4 Mail

   WinProxy může zpracovávat elektronickou poštu třemi různými způsoby. Před jejich vlastním popisem uvedeme základní pohled na problematiku elektronické pošty.

   K přenosu pošty na Internetu slouží protokol SMTP (Simple Mail Transfer Protocol). Pomocí tohoto protokolu si spolu počítače vyměňují elektronickou poštu. Pošta může projít přes více počítačů než se dostane k adresátovi. SMTP vyžaduje, aby pošta byla doručena příjemci v určitém čase. Pokud tedy není cílový počítač dostupný do určitého časového okamžiku (většinou 3 dni ), pošta je vrácena odesílateli.
   Z uvedeného vyplývají dva hlavní důvody, proč SMTP není vhodné pro příjem pošty na jednotlivé počítače (pracovní stanice) nebo pro komutovaná (dial-up) připojení :    Z těchto důvodů většinou končí cesta pošty Internetem pomocí protokolu SMTP na větších, neustále pracujících počítačích, umístěných např. u poskytovatelů Internetu. Přenos pošty na počítače jednotlivých uživatelů se pak děje nejčastěji prostřednictvím protokolu POP3. Uživatelé se tak mohou v libovolném čase připojit k poštovnímu serveru u poskytovatele a stáhnout si poštu na svůj počítač.

    Závěrem lze říci, že pro dial-up připojení se nejčastěji používá model, kdy uživatelé (poštovní programy) odesílají poštu do Internetu pomocí SMTP (to jde bez problémů) a přijímají poštu pomocí POP3.  Stejný model využívá i WinProxy.

4.4.1 Mail Gateway

    Mail Gateway je nejjednošší způsob. V konfiguraci poštovních klientů uvedete počítač ProxyHost jako SMTP a POP3 server. WinProxy pak při příchodu požadavku provede přesměrování na příslušný server nastavený v konfiguraci WinProxy.

Nastavení WinProxy : 
Na stránce Mail nastavte volbu SMTP/POP3 Gateway a stiskněte tlačítko Save. Dále klikněte na odkaz Settings. Do políčka Remote SMTP Server a Remote POP3 Server uveďte váš SMTP a POP3 Internet server.
Nastavení klientů : 
Klientů pracující s SMTP/POP3 poštou je více, např. Pegasus mail for Windows, Netscape Navigator, MS Explorer 3.0 - Internet Mail,  MS Exchange, Eudora. Pro jejich nastavení si prostudujte dokumentaci dostupnou k těmto programům. Ve všech případech platí, že jako SMTP a POP3 server uvedete počítač ProxyHost, POP3 Username (Account) a Password nastavíte na uživatelské jméno a heslo příslušné pro uvedený POP3 server.

Pokud někteří uživatelé odebírají poštu z jiných počítačů, mohou tento server specifikovat v položce POP3 username v konfiguraci poštovního programu. Jméno serveru se připojí na konec jména, od uživatelského jména se oddělí znakem "#". Tvar zápisu tedy je : username#popserver.domain.cz .
Pozn:    Jestliže používáte program Eudora je zapotřebí políčko POP Account zadat ve formátu : username#popserver.domain.cz@ProxyHost

4.4.2 Mail Server

    V tomto případě bude WinProxy pracovat jako SMTP/POP3 server. SMTP server je speciálně optimalizován do podmínek dial-up připojení. Uživatelé využívají WinProxy pro vyzvedávání a odesílání pošty do Internetu nebo do lokální sítě. Pokud na WinProxy přijde pošta určená do Internetu, WinProxy ji uchová a odešle až v době připojení.
    V době připojení je tedy pošta určená pro Internet odeslána na zadaný Internet SMTP server a potom je proveden příjem Internetové pošty pro nastavené uživatele. Čas, kdy bude provedeno odesílání a příjem pošty jem ožné nastavit. Příjem/odeslání pošty je také možné zahájit přes web rozhraní.

    Použití WinProxy jako Mail Serveru přináší několik zajímavých výhod:     WinProxy tedy stahává poštu ze vzdálených mailboxů (POP3 serverů) v Internetu a ukládá ji do lokálních mailboxů. Z těchto mailboxů si pak uživatelé poštu přenáší na svůj počítač. Podobně je to s odesíláním pošty. Uživatelé odesílají poštu na WinProxy a ta ji dále předává poštovnímu serveru v Internetu.

Nastavení WinProxy 
    Na stránce Mail nastavte volbu Mail Server a stiskněte tlačítko Save. Dále klikněte na odkaz Settings. Do políčka Remote SMTP server uveďte SMTP server, na který bude odesílána pošta do Internetu. Pokud chcete, aby příjem a odeslání pošty probíhalo ve vámi zvoleném čase, nastavte tento čas v políčku Send/Receive Mail. Pokud zvolíte every, pošta bude zpracovávána po uplynutí uvedeného intervalu. Interval se udává ve tvaru hh:mm, kde hh značí hodiny a mm minuty. Pokud zvolíte at, pošta bude zpracovávána v uvedených časech. Časy se uvádějí opět ve formátu hh:mm, jednotlivé časy se oddělují mezerou. Jestliže chcete, aby WinProxy mohl vytvořit dial-up spojení při zpracování pošty, povolte volbu Allow to Dial. Informace o uživatelských mail boxech se nachází v seznamu Account List. Do seznamu jsou přidávány hodnoty pomocí příslušných tlačítek. Remote POP3 account udává vzdálený mailbox ze kterého bude přenesena pošta do lokálního mailboxu. Údaj je ve tvaru username@popserver.domain.cz. Samotný znak @ slouží k definici pouze lokálního mailboxu. Políčko Password udává příslušné heslo. Políčko E-mail obsahuje Internetovou e-mail adresu. Pokud je tento údaj shodný s údajem v políčku Remote POP3 Account, můžete toto pole nechat prázdné. Tento údaj slouží k rozpoznání pošty pro lokální uživatele. Pokud někdo na WinProxy odešle poštu, WinProxy projde všechny e-mail záznamy a pokud se adresát nachází v seznamu, bude mu pošta ihned předána do mailboxu. Poslední položka, Move to Local Account určuje uživatele WinProxy, kterému bude pošta předána. Uživatelé se definují na stránce Users. Zvolíte-li skupinu uživatelů, bude pošta předána všem uživatelům ve skupině. Speciální volba je {RULE}. Tuto možnost nejčastěji využijete v případě, že budete přijímat poštu pro celou doménu. Pošta přijatá z tohoto mailboxu bude předána jednotlivým uživatelům podle hlavičky To: Třídící pravidla se definují na stránce Sorting Rules. Dopisy, které nebylo možné zařadit, jsou ukládány podle pravidla obsahujícího samostatný znak @, nebo podle Report Problems To (s chybovým hlášením).

    Bezchybnost nastavení údajů v Account Listu je vhodné ověřit vyvoláním zpracování pošty přes web rozhraní na stránce Manual. Povolením volby Enable Logging budou zaznamenávány informace o příjmu / odeslání pošty z Internetu.

Nastavení klientů : 
Klientů pracující s SMTP/POP3 poštou je více, např. Pegasus mail for Windows, Netscape Navigator, MS Explorer 3.0 - Internet Mail,  MS Exchange, Eudora. Pro jejich nastavení si prostudujte dokumentaci dostupnou k těmto programům. Jako SMTP a POP3 sever uvedete počítač ProxyHost. POP3 Username (Account) a Password uveďte to, které máte přiděleno na WinProxy.

Příloha B uvádí příklad nastavení Mail Serveru.

4.5 SOCKS Server a DNS

   Na stránce Network můžete zaškrtnout volbu SOCKS server pro jednotlivé verze SOCKS protokolu. V současné době jsou to verze 4 a 5. Číslo portu, na kterém SOCKS server standardně pracuje, je 1080. Při použití verze 4 pravděpodobně budete potřebovat nastavit DNS. Pokud v políčku DNS server uvedete jméno DNS serveru, WinProxy bude směrovat DNS dotazy na tento server, WinProxy se tedy bude chovat jako DNS server.

4.6 Telefonické připojení

    WinProxy umožňuje vyvolat telefonické připojení k poskytovateli Internetu. Spojení může být vytvořeno dvěma způsoby:      Poznámka : V případě automatického spojení se může stát, že chcete stáhnout nějaký dokument z lokální sítě a omylem zadáte chybné jméno počítače. To ovšem WinProxy netuší a po neúspěšném pokusu o převedení chybného DNS jména na IP adresu začne vytvářet telefonické spojení. To může někdy vyvolat dojem, že WinProxy vytváří spojení samovolně bez důvodu. 

    Konfigurace telefonického připojení se provádí na stránce Dial. Předpokladem je správné nastavení a funkčnost připojení bez WinProxy. V combo boxu Connection Name vyberete jméno požadovaného připojení. V políčku Username a Password vyplníte jméno vaše jméno a heslo, které normálně používáte zadané dané jméno připojení. Pokud chcete, aby se spojení vytvářelo automaticky při požadavku, pak zaškrtněte check box Demand Dial. V políčku Hang up After se dále může nastavit čas, po kterém bude spojení ukončeno, jestliže po lince nebudou přenášena žádná data. WinProxy zavěšuje spojení jen v případě, že on sám spojení vytvořil.

   Poznámka : Jestliže poskytovatel připojení nepodporuje PAP nebo CHAP, potom máte následující možnosti : 

4.7 Správa uživatelů, kontrola přístupu

    WinProxy umožňuje vytvářet uživatele a skupiny uživatelů. Uživatelé a skupiny slouží pro vymezení oblastí, kam budou mít uživatelé přístup přes WWW a pro zpracování pošty, pokud používáte Mail Server.

    Uživatelé, skupiny a členství uživatelů ve skupinách se vytváří na stránce Accounts. WinProxy automaticky vytváří skupinu Admins. Na členy této skupiny se nevztahují žádná omezení. Tuto skupinu nelze zrušit.

     Access List 
Kontrola přístupu uživatelů k jednotlivým URL se provádí podle Access Listu na stránce Access.
URL jsou uváděny ve formátu scheme://host/path. V URL je možné použít znak "*", který zastupuje libovolný řetězec. Při přístupu na tyto URL je vyžadována autentifikace uživatele. Aby mohl uživatel na tyto adresy přistoupit, musí být uveden v seznamu uživatelů, nebo členem skupiny, kteří mají povolen přístup k této URL. Stisknutím tlačítka Edit získáte seznam uživatelů / skupin, kteří mají povolen přístup pro vybranou URL. Skupiny jsou uvedeny v seznamu první a jsou uzavřeny v hranatých závorkách. Po přidání nové URL nemá k této URL nikdo přístup.

     Stanovení přístupu podle Access Listu 
Algoritmus, který stanovuje, zda bude požadavek na danou URL přijmut nebo zamítnut, je následující : při příchodu požadavku je prohledán Access List na URL, které vyhovují URL požadavku. Pokud žádná URL z Access Listu nesouhlasí s URL požadavku, je požadavek přijmut. V opačné případě se WinProxy pokusí zjistit z požadavku autentifikační informace - jméno a heslo uživatele. Pokud nejsou v požadavku uvedeny, je uživatel vyzván k jejich poskytnutí. V případě, že tyto informace jsou k dispozici, následuje ověření jména a hesla uživatele. Pokud jsou v pořádku a uživatel se nachází v Access Listu pro danou URL nebo je členem skupiny uvedené v Acceess Listu, požadavek je příjmut. V ostatních případech je zamítnut.

    Omezení přístupu na web rozhraní 
Omezit přístup uživatelů je také možné na web rozhraní. Je zde však jedna výjimka, a to jméno počítače (v URL je to host) je vždy převedeno na "WinProxy". Potom například omezení přístupu na web rozhraní WinProxy je možné přidáním této řádky do Access Listu : http://WinProxy/admin/* 
Pokud hodláte provést omezení přístupu na web rozhraní, nezapomeňte stanovit alespoň jednoho uživatele, který na toto rozhraní bude mít přístup, nebo který je ve skupině Admins. V případě že toto opomenete, nebude již nikdo na web rozhraní schopen přistoupit.

   Poznámky      Příklady nastavení 

1.    Potřebujeme následující : aby uživatelé, kteří jsou ve skupině [users], směli pouze do těchto domén : domain.cz, work.cz a uživatel boss směl všude. Access List a přístup uživatele / skupiny nastavíme následovně :

Access List  uživatel / skupina 
*  boss 
*.domain.cz*  [users] 
*.work.cz*  [users] 

2.    Potřebujeme, aby nikdo nesměl do domény bad.cz :

Access List  uživatel / skupina 
*.bad.cz*   

4.8 Bezpečnost

    Zabezpečení lokálních sítí proti útoku z Internetu v současné době nabývá stále více na aktuálnosti a trendem v této oblasti bude ústup od přímé konektivity. S WinProxy můžete snadno vybudovat jednoduchý Firewall, což je počítač chránící lokální síť před napadením a umožňující ostatním počítačům chráněné sítě přistupovat do Internetu. Aby WinProxy fungoval jako firewall, musí být splněny následující podmínky :     Dále, pokud chcete zabránit, aby někdo z Internetu přes WinProxy přistoupil do vaší sítě, pak máte dvě možnosti: Nutno dodat, že v nejběžnější situaci, tj. lokální síť + jeden počítač s modemem, není důvod k obavám a zmíněné opatření jsou více méně nadbytečná.

5. Konfigurace TCP/IP

    Pro správnou funkci WinProxy je nutné správně nastavit TCP/IP na počítačích, ze kterých budete služeb WinProxy využívat a na počítači, na kterém WinProxy poběží.

     Na počítači, kde poběží WinProxy, musí být nainstalován operační systém Windows NT nebo Windows 95. Na počítačích, jež budou WinProxy používat, může být libovolný operační systém podporující TCP/IP (Windows, Unix, Macintosh, VMS, ...).

     Pokud ještě nemáte TCP/IP nainstalované, máte následující možnosti :
  1. Přenecháte instalaci osobě pověřené správou vaší sítě
  2. Provedete instalaci sami podle následujícího návodu
     Budeme uvažovat následující model :

     Síť s pěti počítači; počítače mají následující jména v síti Microsoft: Tom, Petr, Dusan a Martin. K počítači Martin je připojen modem pro připojení do Internetu a na tomto počítači tedy spustíme WinProxy. Na počítačích jsou nainstalovány následující operační systémy : Windows 95, Windows NT a Windows 3.1.

5.1 Nastavení IP adres

     Aby mohly počítače spolu komunikovat prostřednictvím TCP/IP, musí mít přiděleny tzv. IP adresy. IP adresa je 32 bitové číslo, pro přehlednost se uvádí po jednotlivých bytech ve formátu a.b.c.d . IP adresa musí být jedinečná, tj. nemůže být použita ve stejné síti vícekrát.
     Dokument RFC 1597 doporučuje volit při budování privátních síťí adresy z privátního adresového prostoru. Pro tento adresní prostor vyhradila organizace IANA tři bloky IP adres. Tyto bloky obsahují 1 adresu ve třídě A, 16 po sobě následujících adres ve třídě B a 255 po sobě následujících adres ve třídě C.

    Jsou to následující adresy:      U těchto adres je zaručeno, že v Internetu nejsou používány žádným jiným počítačem. Důvody pro použití těchto adres a další návrhy jak postupovat při návrhu TCP/IP sítí najdete ve výše zmíněném dokumentu.
     Pro náš účel (síť do 255 počítačů) postačí adresy třídy C; použijeme tedy 192.168.1.1 až 192.168.1.4. Přiřazení IP adres počítačům provedeme podle následující tabulky :

Jméno počítače  Operační systém  IP adresa 
Martin  Windows 95  192.168.1.1 
Tom  Windows 95  192.168.1.2 
Petr  Windows NT  192.168.1.3 
Dusan  Windows 3.1  192.168.1.4 

     Následuje nastavení pro jednotlivé operační systémy :
Windows 95 
  1. Menu Start -> Nastavení -> Ovládací Panely -> Ikona Síť 
  2. Zvolte protokol TCP/IP. Pokud tento protokol ještě není v seznamu, zvolte tlačítko Přidat, z nabídnutého seznamu vyberte protokol, opět tlačítko Přidat, a ze seznamu vyberte výrobce Microsoft a síťový protokol TCP/IP.
  3. Tlačítko Vlastnosti, vyberte záložku Adresa IP, zaškrtněte Zadat adresu IP ručně 
  4. Do políčka adresa IP zadejte adresu počítače, viz. Tabulka, do políčka maska podsítě zadejte hodnotu 255.255.255.0 . Instalaci ukončíte odklepáním tlačítek OK. Nastavení se projeví až po restartu počítače.
Windows NT (3.51) 
  1. Program Manager -> skupinka Main -> aplikace Control Panel -> ikonka Network
  2. V seznamu Installed Network Software vybereme TCP/IP protocol a stiskneme tlačítko Configure. Pokud TCP/IP protokol není v seznamu uveden, postupujte podle bodu 4.
  3. Do políčka IP address zadejte hodnotu podle tabulky, do políčka Subnet Mask zadejte hodnotu 255.255.255.0 . Instalaci ukončíte odklepáním tlačítek OK. Nastavení se projeví až po restartu počítače.
  4. Tlačítko Add Software, z kombo boxu Network Software vybereme TCP/IP Protocol and related components, tlačítko Continue , ještě jednou Continue a vložte instalační medium. Po nahrání potřebných souborů klikněte na tlačítko OK v dialogu Network Settings. Objeví se vám dialog TCP/IP Configuration, ve kterém vyplníte hodnoty podle bodu 3.
Windows 3.1 
Protokoly TCP/IP nejsou součástí tohoto operačního systému. Jednou z nejpoužívanějších implementací je oblíbený sharewareový program Trumpet Winsock.
Windows for Workgroups 3.11 
Podpora protokolů TCP/IP není sice standartní součástí distribuce. Je ji ale možné získat na ULR:
http://www.microsoft.com/kb/softlib/mslfiles/TCP32B.EXE 
Microsoft TCP/IP-32 version 3.11b for Windows for Workgroups is a 32-bit TCP/IP network protocol for Windows for Workgroups only. (690031 bytes).
Konfigurace je podobná jako ve Windows NT 3.51. Detailnějsí popis bude doplněn později.

Další možností je použít výše zmiňovaný Trumpet Winsock.

     Nyní můžete používat TCP/IP ve vaší síti. Adresovat počítače však můžete jen pomocí IP adres. Na všech místech výše v dokumentu, kde je uvedeno „zadejte adresu počítače, kde běží WinProxy" uvedete IP adresu počítače Martin tj. 192.168.1.1 . Jestliže se chcete na počítače odkazovat pomocí jmen, pak proveďte nastavení podle následující kapitoly.

5.2 Nastavení DNS

     Předchozí část pojednávala o použití a přiřazení IP adres počítačům na lokální síti. Protože se IP adresy obtížně pamatují a lidem je bližší dávat počítačům jména, je možné také v sítích TCP/IP přiřazovat počítačům jména. Jedná se o tzv. DNS jména, jež mohou být odlišná od jmen použitých v síti Microsoft (to jsou jména které vidíte např. pod ikonou Okolní počítače). Každé IP adrese je tak přiřazeno jméno popřípadě aliasy. Musí také existovat způsob, jak převádět tato jména na IP adresy, neboť ty jsou nutné pro vlastní vlastní komunikaci. Převod je prováděn buď prostřednictvím DNS serveru nebo pomocí statických tabulek umístěných na každém počítači v lokální síti. My budeme uvažovat druhý způsob, neboť pro síť o čtyřech počítačích je dostatečný. Počítačům také přiřadíme DNS jména shodující se s jmény v síti Microsoft.

     Soubor obsahující tabulku se jmény musí mít název hosts a musí být umístěn v následujících adresářích :
Windows 95     \Windows 
Windows NT     \WINNT35\SYSTEM32\DRIVERS\ETC 
Windows 3.1     \ETC 
WfW 3.11     \Windows 
     Soubor hosts je textový soubor a jednotlivé záznamy jsou ve formátu : 
IP_adresa DNS_jméno [aliasy]
     Pro editaci / vytvoření souboru nebo můžete použít libovolný editor. Soubor však musí být uložen jako textový a nesmí mít příponu. Například jestliže v NOTEPADu neuvedete příponu, bude implicitně připojeno .txt . Potom musíte tedy soubor ručně přejmenovat.

     Náš soubor bude tedy vypadat takto : 
# soubor hosts
# tento soubor obsahuje mapování DNS jmen na IP adresy
#
127.0.0.1       localhost       
192.168.1.1     martin     winproxy
192.168.1.2     tom     
192.168.1.3     petr    
192.168.1.4     dusan   
# konec souboru hosts
   Soubor je zapotřebí nakopírovat na všechny počítače do patřičných adresářů.
     Nyní můžete adresovat počítače v síti TCP/IP pomocí jejich DNS jmen. Na všech místech výše v dokumentu, kde je uvedeno „zadejte adresu počítače, kde běží WinProxy" můžete uvést místo jeho IP adresy DNS jméno, v našem případě martin nebo winproxy.



   A. Sítě s více segmenty 

    Tento dodatek se věnuje použití WinProxy v sítích s více segmenty, v souvislosti s telefonickým připojením sítě. Pro lepší názornost budeme uvažovat 2 sítě, podle následujícího obrázku : 

 

   První síť má adresu 192.168.1.0, druhá 192.168.2.0. Sítě jsou propojené routerem, jehož IP adresy jsou 192.168.1.1 a 192.168.2.1. Počítač 192.168.1.3 se používá na připojení do Internetu. Problémem, který se objevuje u takovéto konfigurace je, že počítače obou sítí mají obvykle ve směrovací tabulce nastaven defaultní směr na příslušné rozhraní routeru. V okamžiku, kdy se připojí počítač 192.168.1.3 do Internetu, je na tomto počítači změněn defaultní směr na Internet gateway (její IP adresu uvádíte při konfiguraci telefonního adapteru). V tomto okamžiku přestane počítač 192.168.1.3 "vidět" počítače na síti 192.168.2.0. Je to způsobeno právě tím, že pro přístup do druhé sítě byl použit defaultní směr, který je nyní jiný. V důsledku to znamená, že počítače ze sítě 192.168.2.0 nemohou komunikovat s počítačem 192.168.1.3.

    Pomoc v takovéto situaci je jednoduchá. Spočívá v nahrazení defaultního směru normálním v routovací tabulce. Konkrétně bychom na počítači 192.168.1.3 vydali z příkazové řádky příkaz : 
c:\>route ADD 192.168.2.0 MASK 255.255.255.0 192.168.1.1
příkaz říká : pokud se objeví paket určený pro síť 192.168.2.0 se síťovou maskou 255.255.255.0, pošli tento paket prostřednictvím routeru s adresou 192.168.1.1. Pod Windows NT je ještě k dispozici přepínač -p, který způsobí trvalé nastavení tohoto směru. Pod Windows 95 je možné tento příkaz umístit do souboru AUTOEXEC.BAT.

   Po tomto příkazu bude počítač 192.168.1.3 "vidět" počítače na síti 192.168.2.0 nezávisle na nastavení defaultního směru.



    B. Příklad nastavení Mail Serveru 

 I. Jednoduchý příklad. 

    Budeme uvažovat 4 uživatele. Každému z nich bylo na WinProxy zřízeno konto na stránce Users; jména jsou následující : boss, petr, tom, martin. Dále byla vytvořena skupina uživatelů [prodej], se členy boss a petr. Poštu budeme chtít zpracovávat podle následující tabulky :

POP3 účet  E-mail Adresa  Kdo dostane poštu 
novak@mbox.prov.cz  novak@mbox.prov.cz  boss 
petr@bob.uni.cz  petr@bob.uni.cz  petr 
tom@mbox.uni.cz  tom@computers.cz  tom 
hruby@pop.serv.cz  hruby@mbox.serv.cz  martin 
martin@popserv.x-media.cz  martin@x-media.cz  martin 
sales@mbox.prov.cz  sales@mbox.prov.cz  boss, petr 

    V tomto případě by jsme přidali jednotlivé záznamy do Account Listu, který by pak vypadal takto : 
  Account List 
 

    Bezchybnost nastavení údajů v Account Listu je vhodné ověřit vyvoláním zpracování pošty přes web rozhraní na stránce Manual.

II.Komplexní příklad s použitím třídících pravidel. 

    Budeme uvažovat firmu se 6 uživateli. Každý z nich má na WinProxy zřízeno konto; jména jsou následující : boss, petr, tom, martin, robert, jana. Dále jsou vytvořeny skupiny uživatelů [prodej], se členy boss a petr , skupina [developers] se členy martin, tom a jana a skupina [users], jejímiž členy jsou všichni uživatelé. Firma si zařídila u svého ISP vlastní doménu za účelem příjmu pošty. Doména má jméno firma.cz a pošta pro tuto doménu se ukládá na počítači mbox.prov.cz do mailboxu firma.Každý uživatel má v této doméně zřízenu e-mail adresu. Dále byla zřízena e-mail adresa pro informace o prodeji sales@firma.cz a poštu chodící na tuto adresu budou dostávat uživatelé ve skupině [prodej]. Uživatelé martin a tom navíc odebírají poštu z dalších počítačů. Dále uživatel tom je přihlášen do elektronické konference s adresou conf-l@prov.cz a chceme, aby poštu z této konference dostávali i uživatelé martin a jana. Firma chce také provozovat vlastní (interní) diskusní skupinu a přiřadila ji e-mail adresu info-l@firma.cz.

  Account List by v tomto případě vypadal takto : 
  Account List   

A Rule List takto : 

  Rule List 

    Všimněte si e-mail adresy v 1. řádce Account Listu. Adresa je uvedena jen jako @firma.cz. Zápis říká, že všichni uživatelé z domény firma.cz jsou lokální.

    Bezchybnost nastavení údajů v Account Listu je vhodné ověřit vyvoláním zpracování pošty přes web rozhraní na stránce Manual.

Poznámky : 
    C. Informace pro ISP 

Ukládání pošty pro celou doménu do jednoho mailboxu (UNIX, sendmail) 
Do souboru /etc/sendmail.cf je protřeba přidat do sady přepisovacích pravidel S0 případně do S98 následují řádku:  
R$*<@firma.cz.>$*                       $#local $: firma
Přidání hlavičky X-Enevelope-To do mailu (UNIX, sendmail) 

Potřebné úpravy konfiguračního souboru sendmail.cf:

1. do sady přepisovacích pravidel S0 případně do S98 je nutné pro každého
    zákazníka přidat řádku: 
R$*<@firma.cz.>$*       $# xlocal $@ firma $: $1<@firma.cz.>$2

$# xlocal ... jméno našeho maileru
$@ firma .... obvykle jméno počítače, v našem případě jméno lokálního mailboxu
$: $1<@firma.cz.>$2 ..... adresa příjemce, která bude v X-Envelope-To:

2. do definic maileru:
Mxlocal,        P=/usr/local/etc/bin/xlocal, F=lsDFMA, S=10/30, R=21,
                T=DNS/RFC822/SMTP,
                A=xlocal $u procmail $h

$u ... adresa, která bude v X-Envelope-To:   $1<@firma.cz.>$2
$h ... jméno mailboxu
A=xlocal $u procmail $h ... příkazový řádek, jako lokální mailer použít procmail

  Použité flagy maileru:
l  lokální mailer
s  vyhoď z adres nepotřebné informace (uvozovky, závorky, ...)
D  doplní hlavičku Date: (pokud neexistuje)
F  doplní hlavičku From: (pokud neexistuje)
M  doplní hlavičku Message-Id: (pokud neexistuje)
A  ARPA kompatibilní mailer
Zde je zdrojový kód "fake" maileru xlocal.
Překlad : 
cc -o xlocal xlocal.c