Ce produit agit comme un proxy http et est capable de filtrer très très finement. Tu peux bien sur l'interfacer avec un anti virus tel que F-Secure avec son plugin pour WebSweeper. Mais tu peux également filtrer le code offensif (activeX, ..), définir des catégories de sites par différents mécanismes et filtrer les accès à ces sites. Tu peux interdire le téléchargement de certains fichiers (divx, mp3, etc). etc, etc. C'est un produit très riche.
Maintenant, venons en à l'architecture éventuelle. Vu que tu disposes d'une batterie de machine, une possibilitée est de mettre une machine sous Gnu/Linux en frontal, derrière ton firewall qui agira comme passerelle sera reliée à un switch sur lequel sera connecté plusieurs machines WebSweeper. Ces mêmes machines seront reliées sur une 2ème interface à une autre machine coté entreprise qui fera du partage de charge et du health check via des mécanismes comme le round robin et vrrp. Cette machine disposera d'un squid et c'est celle ci que les clients indiqueront en proxy.
Un petit schéma expliquera peut être mieux :
(faut décaler les branches du dessus et du dessous d'environ 3 cm vers la droite, les espaces que j'y ai mis se font bouffer qd je clique sur vérifier :"( )
X : firewall
Y : passerelle
Z : proxy WebSweeper
T : squid avec proxy chaining (cascade de proxy) / health check / partage de charge
S : switch entreprise où sont connecté les clients
Une requête http aura donc le cheminement suivant :
-proxy(squid) sur T.
-T choisit une des machines Z parmi celles dispo (health check) et en faisant attention à la répartition (load balancing) et squid envoie la requête au Z choisi.
-Z se charge de vérifier que la requête est valide et si oui, envoie directement la requête au serveur distant (je suppose que tu nat en sortie du firewall).
-La réponse revient, le Z kivabien récupère le résultat, l'analyse, passe l'antivirus si nécessaire, etc et renvoie à T, qui renvoie au client.
Bon, c'est un peu l'architecture de fou, mais si tu peux te permettre quelques milliers d'euros dans websweeper, tu devrais pouvoir faire un truc sympa.
# Re: Passerelle Antivirus
Posté par AlphA . En réponse au journal Passerelle Antivirus. Évalué à 7.
je ne sais pas si tu as un budget restreint ou pas.
J'aurai éventuellement une solution à proposer mais c'est cher et faut du win2k. Avec la possibilitée de réutiliser tes celerons.
Sur un projet, j'ai déployé WebSweeper de ClearSwift/Baltimore, tu trouveras une présentation détaillée ici : http://mimesweeper.baltimore.com/products/msw/websweeper/default.as(...)
Ce produit agit comme un proxy http et est capable de filtrer très très finement. Tu peux bien sur l'interfacer avec un anti virus tel que F-Secure avec son plugin pour WebSweeper. Mais tu peux également filtrer le code offensif (activeX, ..), définir des catégories de sites par différents mécanismes et filtrer les accès à ces sites. Tu peux interdire le téléchargement de certains fichiers (divx, mp3, etc). etc, etc. C'est un produit très riche.
Maintenant, venons en à l'architecture éventuelle. Vu que tu disposes d'une batterie de machine, une possibilitée est de mettre une machine sous Gnu/Linux en frontal, derrière ton firewall qui agira comme passerelle sera reliée à un switch sur lequel sera connecté plusieurs machines WebSweeper. Ces mêmes machines seront reliées sur une 2ème interface à une autre machine coté entreprise qui fera du partage de charge et du health check via des mécanismes comme le round robin et vrrp. Cette machine disposera d'un squid et c'est celle ci que les clients indiqueront en proxy.
Un petit schéma expliquera peut être mieux :
(faut décaler les branches du dessus et du dessous d'environ 3 cm vers la droite, les espaces que j'y ai mis se font bouffer qd je clique sur vérifier :"( )
- /-----Z---\
---X------------Y---------Z-----T-----S
- \___Z----/
X : firewall
Y : passerelle
Z : proxy WebSweeper
T : squid avec proxy chaining (cascade de proxy) / health check / partage de charge
S : switch entreprise où sont connecté les clients
Une requête http aura donc le cheminement suivant :
-proxy(squid) sur T.
-T choisit une des machines Z parmi celles dispo (health check) et en faisant attention à la répartition (load balancing) et squid envoie la requête au Z choisi.
-Z se charge de vérifier que la requête est valide et si oui, envoie directement la requête au serveur distant (je suppose que tu nat en sortie du firewall).
-La réponse revient, le Z kivabien récupère le résultat, l'analyse, passe l'antivirus si nécessaire, etc et renvoie à T, qui renvoie au client.
Bon, c'est un peu l'architecture de fou, mais si tu peux te permettre quelques milliers d'euros dans websweeper, tu devrais pouvoir faire un truc sympa.
--
AlphA