Proxy im Firmennetzwerk

[G0k4r]

Hallo Leute,

was Proxys angeht, bin ich leider relativ unerfahren und hätte da eine Frage an die Experten.

Was ich bisher weiß ist grob wie man händisch seinen Proxy einstellt / ändert, und dass Proxys gerne verwendet werden, um beispielsweise Sperren von Internetseiten zu umgehen (youtube, social-media etc.). Oft lese ich auch, dass man mit Hilfe eines Proxys anonym im Netz surfen kann und mindestens genau so oft, dass das Schwachsinn ist. Aber das soll hier NICHT Thema sein

Um zum Thema zu kommen steige ich mit einem konkreten Beispiel ein. Wir nehmen an, ich greife auf das Internet über einen Firmenrechner zu. Als Proxy-Option gewählt ist simpel „Die Proxy-Einstellungen für dieses Netzwerk automatisch erkennen“.

Frage 1:
Bei Anwahl der Option „Kein Proxy“ können keine Internetseiten mehr geladen werden. Heißt für mich, kein Internetzugriff ohne Proxy. Deshalb wollte ich gerne wissen welcher Proxy bei der automatischen Erkennung dann eigentlich eingesetzt wird. Ich habe die Proxy-Option also wieder auf die automatische Erkennung gesetzt. Dann habe ich versucht per Windows-Kommandozeile (cmd) mit dem Windows-Tool „netsh“ mittels dem Befehl „netsh winhttp show proxy“ den Proxy auszulesen. Leider kommt als Ergebnis nur: „Direktzugriff <kein Proxyserver>“.
Was ich daran jetzt nicht verstehe, wenn lt. netsh kein Proxyserver zum Einsatz kommt, wieso laden die Internetseiten dann nicht wenn ich die Option „Kein Proxy“ auswähle?

Frage 2 (unabhängig von Frage 1):
Ich wollte eine „Automatische Proxy-Konfigurations-URL“ eintragen, die es ermöglichen soll z.B. auf gesperrten youtube-Content zuzugreifen. Funktioniert Zuhause im Heimnetzwerk auch wie gewünscht. Im Firmennetz allerdings laden nach dem Eintragen der Adresse einfach überhaupt gar keine Internetseiten mehr. Firmennetzwerk ist natürlich nicht gleich Heimnetzwerk, ok. Aber was könnte der Grund hierfür sein? In der aktuell gegebenen Situation ist es ja nun unmöglich überhaupt einen Proxy zu verwenden..

Ich hoffe ich könnte mich einigermaßen deutlich ausdrücken und jemand kann mir ein paar Hinweise geben. Dankeschön

Beste Grüße,
G0k4r

 

[BlubbsDE]

Frage den Systemadmin Deines Unternehmens. Was Du da machst ist sicherlich nicht gewollt und nicht geduldet, seitens Deines Arbeitgebers.

So oder so wirst Du an gesperrten Content nicht dran kommen, wenn der Admin seinen Job halbwegs ordentlich gemacht hat.

 

[Fr4g3r]

Im Heimnetz trägst du vermutlich einen Internetproxy ein.
Im Firmennetz brauchst du anscheinend den Proxy um überhaupt ins Internet zu kommen.
Trägst du dort nun den Internetproxy ein, dann kann das ja nicht gehen weil du diesen Proxy ohne den Firmenproxy gar nicht erreichts.
Sollte das mit dem Arbeitgeber und dessen IT nicht abgestimmt sein, dann lass das Rumprobieren bitte bleiben.

 

[G0k4r]

Bei solchen Dingen reagieren alle wohl gleich sehr empfindlich.
Mir geht's hier mehr um ein beispielhaftes Szenario. Irgendwie muss man ein Problem ja anderen verständlich darstellen.

@Fr4g3r: Danke für die Info. Klingt logisch, hatte ich auch überlegt, aber bin mir auf Grund mangelnder Erfahrung da unsicher gewesen.
Hast du auch zur ersten Frage eine Vermutung? Weshalb per netsh kein Proxy-Server ausgelesen werden kann.. scheint ja schon ein Proxy zu arbeiten um einen Internetzugriff überhaupt zu ermöglichen. Oder weiß der Rechner vom Proxy direkt erst mal gar nichts? Verstehe den Ablauf nicht..

 

[Fr4g3r]

Naja, das Verfahren was hier genutzt wird ist normal WPAD,
Um dem System mitzuteilen welchen Proxy es nun nutzen soll gibt es mehrere Möglichkeiten.
Das kann unter anderem eine DHCP-Option sein, oder auch per DNS ist das möglich.
Normalerweise findet diese Abfrage erst nach dem starten des Browsers start wenn man das erste mal Versucht eine Website aufzurufen.
​Das ist gut möglich das man den Proxy mit netsh so nicht sehen kann, habe ich ehrlich gesagt noch nie getestet.

 

[G0k4r]

Ist vmtl. etwas zu kompliziert um es in ein paar Sätzen zu erklären..
Ich hätte mich nur für das grobe Gerüst / den groben Aufbau eines solchartigen Proxy-Servers interessiet.. daher mein Anliegen.

Vielen Dank auf jeden Fall für deine Hinweise

 

[3rdStar]

wäre das in meinem Netz, ich stände sofort mit der Abmahnung hinter dir.

 

[Fr4g3r]

Vom Groben Aufbau her kannst du dir das so vorstellen, dass der Proxy-Server mit einem Bein direkt am Internetanschluss hängt und mit dem anderen Netz im Firmennetz.
Jeder Anfrage die jetzt ins Internet soll muss zwingend über den Proxy-Server.
Auf diesem Server kann man dann beschränken einrichten und steuern, wer überhaupt ins Internet darf.
Da dein Rechner per se diesen Proxy natürlich nicht kennt, muss er dem Rechner mitgeteilt werden.
Das kann statisch oder dynamisch passieren, in deinem Unternehmen funktioniert das wohl dynamisch über wpad.
Man könnte auch einen transparenten Proxy einbinden, dann würdest du auf deinem System davon gar nichts sehen.

 

[BlubbsDE]

http://de.wikipedia.org/wiki/Proxy_(Rechnernetz)

Kurze Antwort. Was Du da in den Proxy Einstellungen des Browser vornimmst, das ist nur ein kleiner Teil der Proxy Wahrheit. Und man kann einen Proxy auch so einrichten, ohne das Du (Client) es merkst.

 

[Cat Toaster]

Ein firmeninterner Proxy-Server dient ja nicht nur der Gängelung der Mitarbeiter sondern scannt Traffic vor der Auslieferung an den Client auf Viren/Trojaner und speichert Downloads/Content zwischen damit es ggf. nicht erneut aus dem Netz geladen werden muss.

Ein Contentfilter im Proxy kann zusätzlich unerwünschte Inhalte wie Filesharing/Werbung/Pornografie etc. blockieren.

Das Gateway (bzw. der Router) wird so konfiguriert das nur der Proxy eine Verbindung über Port 80/443 ins Internet aufbauen kann. Von daher kannst Du da als Nutzer nicht viel machen, ist auch nicht der Sinn der Sache.

Der Proxy liefert natürlich auch Daten wer was abruft, welcher Traffic entsteht, was der Cache bringt.

Das hat mit "Internet-Proxies" erstmal wenig bis gar nichts zu tun, in denen man irgendwelchen Webdiensten vorgaukelt man käme aus einem anderen Land.

 

[aigolf82]

hhmm... so wie ich das mit deinem netsh winhttp show proxy sehe zeigt er da eigentlich an "DirectAccess (kein Proxyserver)". Ich gehe davon aus das er damit die Technologie DirectAccess meint, und nicht das du einen direkten Zugriff aufs Internet hast

 

[G0k4r]

Danke für die Tipps / Links bis hierher.

Ganz vereinfacht sieht's dann grafisch so aus?

Das (Proxy-Server) hat mit "Internet-Proxies" erstmal wenig bis gar nichts zu tun, in denen man irgendwelchen Webdiensten vorgaukelt man käme aus einem anderen Land.

@Cat Toaste: Das war eine gute Information für einen Laien wie mich.

Nehmen wir mal Abstand vom sensiblen Thema Firmennetzwerk. Kann mir jemand kurz erklären wie der Ablauf bei einem solchen Internet-Proxy ist? Der Rechner verbindet sich über das Internet per Proxy-Adresse mit den Ziel-Server und schickt seine Anfragen an diesen. Und dieser liefert die angeforderten Daten zurück? Stimmt das; im Groben?

 

[Samurai76]

Nein, der Client ruft die Seite auf, aber der Proxy nimmt sie entgegen, wandelt sie um und verschickt es als seine Anfrage. Die Antwort aus dem I-Net wird dann vom Proxy angenommen und an Dich weitergeleitet. Du kommunizierst nur mit dem Proxy, und das Internet auch nur. Für die aufgerufenen Webserver sieht die Anfrage aus, wie als wenn sie direkt vom Proxy kommt. Ich bin mir grad nicht sicher, wie die Kommunikation bei SSL Verbindungen aussieht, bin aber der Meinung, dass das dann immer 2 Verbindungen sind und der Proxy die Daten auch entschlüsselt.

 

[easy.2ci]

hhmm... so wie ich das mit deinem netsh winhttp show proxy sehe zeigt er da eigentlich an "DirectAccess (kein Proxyserver)". Ich gehe davon aus das er damit die Technologie DirectAccess meint, und nicht das du einen direkten Zugriff aufs Internet hast

Nein. netsh winhttp show proxy gibt den Proxy aus, der fürs System konfiguriert ist. In diesem Fall keiner.
Die Proxy Settings die er im Browser sieht sind User spezifisch.

Den proxy siehst du mittels netstat -n wenn du den Browser geöffnet hast. Dann müssen mittels netstat die Verbindungen sichtbar werden.

 

[nicknackman1]

Guten Tag,

wenn ich Chef in der Firma wäre, würdest Du für deine Fummelei an dem Client eine Abmahnung erhalten und der Admin genau so, weil er zulässt, dass sich cmd für einen normalen Benutzer überhaupt ausführen lässt.
Gleiches gilt für die Einstellungen im Browser. Die hätte ich per GroupPolicy auskommentiert.


Gruß

nicknackman1

 

[G0k4r]

Nein, der Client ruft die Seite auf, aber der Proxy nimmt sie entgegen, wandelt sie um und verschickt es als seine Anfrage. Die Antwort aus dem I-Net wird dann vom Proxy angenommen und an Dich weitergeleitet. Du kommunizierst nur mit dem Proxy, und das Internet auch nur. Für die aufgerufenen Webserver sieht die Anfrage aus, wie als wenn sie direkt vom Proxy kommt. Ich bin mir grad nicht sicher, wie die Kommunikation bei SSL Verbindungen aussieht, bin aber der Meinung, dass das dann immer 2 Verbindungen sind und der Proxy die Daten auch entschlüsselt.

Ok, klingt einleuchtend.
Und wie spiegelt sich das ganze dann in den IP-Adressen wieder? Der Webserver bekommt mit der Anfrage dann die IP des I-Net-Proxy-Servers mitgeteilt, die Client-IP bleibt außen vor?

 

[easy.2ci]

bin aber der Meinung, dass das dann immer 2 Verbindungen sind und der Proxy die Daten auch entschlüsselt.

Der Proxy kann die Daten nicht sntschlüsseln, TLS ist eine Ende zu Ende Verschlüsselung. Einzig mit geklauten Zertifikaten kann sich der proxy als Zielsystem ausgeben und an die Daten kommen.

 

[BlubbsDE]

die Client-IP bleibt außen vor?

die bleibt doch immer außen vor. Wenn man zB einen Router nutzt.

 

[G0k4r]

die bleibt doch immer außen vor. Wenn man zB einen Router nutzt.

Dann habe ich mich jetzt falsch ausgedrückt. Ich meinte statt Client-IP die IP, die z.B. angezeigt wird beim Aufruf einer Seite wie http://myip.is/ - sry

 

[BlubbsDE]

Dort sieht man seine sogenannte WAN IP. Und auch die sieht man da, wenn ein Proxy genutzt wird. Oder besser, kann man sehen. Alles eine Frage, wie die Netzwerkinfrastruktur aussieht.

Wie Du ja schon hier mehrfach gelesen hast. Ein Proxy schaltet sich nach dem Internet dahinter.

Internet--->Proxy--->Clienten