Hello,

  Tu essaies donc de t'en servir en proxy transparent, avec iptables ?

  Evidemment, les autres ports ne transportent habituellement pas du http, donc squid ne sera pas capable de les relayer. Si tu as besoin de relayer du traffic arbitraire à la place, tu peux utiliser un proxy socks, comme par exemple dante, mais ça ne sera pas transparent.

  Si tu veux une redirection transparente, tu ne pourras pas, de manière générale, insérer une authentification dans un protocole arbitraire. Mais à la place d'avoir un proxy, tu peux autoriser des machines vers l'extérieur en bricolant un script web quelconque qui appelera iptables.

  Mais ceci ne protège pas d'un attaquant local qui spooferait son addresse. Si c'est pour controler l'accès a un LAN dont l'accès physique n'est pas protégé, tu peux soit demander a tes clients de passer par un VPN, soit utiliser un switch qui supporte l'authentification 802.1x.

  Ca serait plus facile de t'aider si tu expliquais en détail pourquoi tu veux le faire.

Si le but est juste de mesurer le volume de traffic, pas besoin de proxy; il suffit d'avoir un outil comme ntop, couplé à un système de comptabilisation comme ulog-acctd ou nflog. De toutes façons, la plupart du traffic p2p (torrent, ed2k, etc) ne passe pas en http.

Pour le reste du traffic, le plus simple est certainement de le router normalement, et de bloquer le port 80 en sortie pour inciter les gens à utiliser le proxy. ça ne résoud pas le problème de comment les authentifier, mais les seules solutions qui résisteraient a une falsification des IP ou des MAC seraient, à ma connaissance, soit un vpn, soit une combinaison de 802.1x pour le réseau cablé et de wpa-eap pour le wifi (les deux sur le meme serveur radius, c'est possible). FreeRadius est un serveur radius ouvert, et il est possible de restreindre l'accès en fonction des horaires.

Tout ceci est bien beau, mais il suffit d'un seul service chiffré a l'extérieur pour faire un trou dans ton filtrage. Par exemple, si tu autorises le traffic https, n'importe qui pourra échapper à ton filtrage en passant par tor.