NCSA авторизация и прозрачный прокси

[sergant1]

День добрый всем появилась тут у меня подработка не большая и надо было там сделать авторизацию на прокси, естественно что я выбрал сквид. Значит все сделал все прекрасно но тут внезапно обнаруживается что у них стоит какая то программка клиент банк и там проксю указать ну никак нельзя, как я понимаю в такой ситуации помог бы прозрачный прокси + prerouting с 80 на 3128, но авторизация не будет работать, есть ли какой нибудь выход с такой ситуации???чтобы и прога в инет ходила и была авторизация. (ось debian lenny)

[Poor Fred]

День добрый всем появилась тут у меня подработка не большая и надо было там сделать авторизацию на прокси, естественно что я выбрал сквид. Значит все сделал все прекрасно но тут внезапно обнаруживается что у них стоит какая то программка клиент банк и там проксю указать ну никак нельзя, как я понимаю в такой ситуации помог бы прозрачный прокси + prerouting с 80 на 3128, но авторизация не будет работать, есть ли какой нибудь выход с такой ситуации???чтобы и прога в инет ходила и была авторизация. (ось debian lenny)

Клиент-банк обычно ходит на другие порты. Разреши одному адресу ходить на определенный порт и НАТь его. И создай тому компу резервирование адреса в DHCP-сервере.
Или наоборот - разреши хождение через NAT только на определенный адрес(а). Это если клиент-банк ходит таки на http-шные порты.

[sergant1]

День добрый всем появилась тут у меня подработка не большая и надо было там сделать авторизацию на прокси, естественно что я выбрал сквид. Значит все сделал все прекрасно но тут внезапно обнаруживается что у них стоит какая то программка клиент банк и там проксю указать ну никак нельзя, как я понимаю в такой ситуации помог бы прозрачный прокси + prerouting с 80 на 3128, но авторизация не будет работать, есть ли какой нибудь выход с такой ситуации???чтобы и прога в инет ходила и была авторизация. (ось debian lenny)

Клиент-банк обычно ходит на другие порты. Разреши одному адресу ходить на определенный порт и НАТь его. И создай тому компу резервирование адреса в DHCP-сервере.
Или наоборот - разреши хождение через NAT только на определенный адрес(а). Это если клиент-банк ходит таки на http-шные порты.

вот это пойдет я думаю??
iptables –A PREROUTING –t nat -d 192.168.1.12 –p tcp –-dport 3389 –j DNAT –to 192.168.1.1:3389"
iptables –A POSTROUTING –t nat -d 192.168.1.1 –p tcp –-dport 3389 –j SNAT –to 192.168.1.12

Принудительное перенаправление на проксю (прозрачный режим) с проверкой того, не является ли назначением сам сервер(ибо там у меня апач)
-A PREROUTING -p tcp -m tcp ! -d внешний_ип -i eth1 --dport 80 -j REDIRECT --to-ports 3128

проброс порта
-A PREROUTING -p tcp -m tcp --dport 19876 -j DNAT --to-destination 172.16.0.7:19876
я думаю это прокатит???

[Poor Fred]

я думаю это прокатит???

Вот это не подскажу, с iptables не очень дружу. Я подкинул принцип.

[sergant1]

то есть по идее должно сработать???извини если надоедаю!

[Indarien]

Да, именно, у самого такая же ситуация, все серфят через сквид, а клиент-банки идут через iptables.

[Poor Fred]

то есть по идее должно сработать???извини если надоедаю!

Ну у меня на Фре именно так и работает. На http-шные порты выхода просто нет, только через Squid+AD, а директорскому компу разрешен выход по udp на определенные два адреса на 87-й порт через NAT.

[sergant1]

Да, именно, у самого такая же ситуация, все серфят через сквид, а клиент-банки идут через iptables.

а не затруднит показать правила??и какие порты слушает примерно хотя вроде говорили 110 (не пойму зачем почтовый) и еще кажется 60

[sergant1]

привет всем если хотите могу поделиться решением, клиент банк был от ВТБ24 и там получалось от клиента на выходе был 192,168,1,12 к примеру на 1025 порту его пробрасываем на их почтовый и все
вот правила
`iptables -t nat -A PREROUTING -s 192.168.1.12 -d 192.168.1.1 -p tcp -m tcp --dport 1025 -j DNAT --to-destination xxx.xxx.xxx.xxx:25`;
`iptables -t nat -A PREROUTING -s 192.168.1.12 -d 192.168.1.1 -p tcp -m tcp --dport 110 -j DNAT --to-destination xxx.xxx.xxx.xxx:110`;
`iptables -t nat -A POSTROUTING -s 192.168.1.12 -j MASQUERADE`;

192,168,1,12 адрес с клиент банком
192,168,1,1 адрес прокси
xxx.xxx.xxx.xxx куда прокидываем
прокси НЕ прозрачный
Всем удачи

[butch]

мдеее
мне кажется стоило бы снат обойтись, чем делать такой портфорвардинг =))

[sergant1]

мдеее
мне кажется стоило бы снат обойтись, чем делать такой портфорвардинг =))

адрес снаружи динамический не постоянный

[butch]

адрес снаружи динамический не постоянный

домен то наверное один и тот же.
делаем возможным резолвинг внешних днс на клиенте
делаем правило, обновляемое ежедневно, к примеру, для которого каждый раз резолвится доменное имя
разрешаем снат (маскарад) до этого хоста.
так как то идеологически верно. в днат кнчно точно так же можно менять каждый раз хост. но как то это глупо выглядит (имею ввиду само применение днат в данном случае)

[Ленивая Бестолочь]

немного оффтоп:

делаем возможным резолвинг внешних днс на клиенте

....и получаем умных юзеров, которые тунелируются в днс.

[butch]

....и получаем умных юзеров, которые тунелируются в днс.

эмм.... типа супернерешабельная проблема? =)