Решено: Прозрачный прокси

[valday666]

Помогите настроить пожалуйста iptables. Уже всю документацию перевернул и ничего не получается
В squid.conf пишу

Код: Выделить всё

http_port 192.168.0.115:3128 transparent

Правила

Код:

iptables-save # Generated by iptables-save v1.4.3.2 on Fri Jun 5 10:44:52 2009 *security :INPUT ACCEPT [66765:40790698] :FORWARD ACCEPT [279:40242] :OUTPUT ACCEPT [64397:36538679] COMMIT # Completed on Fri Jun 5 10:44:52 2009 # Generated by iptables-save v1.4.3.2 on Fri Jun 5 10:44:52 2009 *raw :PREROUTING ACCEPT [80895:41787212] :OUTPUT ACCEPT [64421:36544543] COMMIT # Completed on Fri Jun 5 10:44:52 2009 # Generated by iptables-save v1.4.3.2 on Fri Jun 5 10:44:52 2009 *nat :PREROUTING ACCEPT [4718621:1519702606] :POSTROUTING ACCEPT [291425:19383977] :OUTPUT ACCEPT [294884:19813150] -A PREROUTING -s 192.168.0.0/24 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128 -A PREROUTING ! -d 192.168.0.0/24 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128 -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE COMMIT # Completed on Fri Jun 5 10:44:52 2009 # Generated by iptables-save v1.4.3.2 on Fri Jun 5 10:44:52 2009 *mangle :PREROUTING ACCEPT [47652546:38791474085] :INPUT ACCEPT [43258911:37294103595] :FORWARD ACCEPT [31193:9584995] :OUTPUT ACCEPT [39777398:23977571240] :POSTROUTING ACCEPT [39839163:23990840612] COMMIT # Completed on Fri Jun 5 10:44:52 2009 # Generated by iptables-save v1.4.3.2 on Fri Jun 5 10:44:52 2009 *filter :INPUT ACCEPT [43258914:37294103751] :FORWARD ACCEPT [31193:9584995] :OUTPUT ACCEPT [39774435:23977006518] COMMIT # Completed on Fri Jun 5 10:44:52 2009

На тестируемой машине указываю шлюз и ДНС 192.168.0.115
Без указания прокси - ничего не работает
Прослушиваю 80 и 3128 порты на сервере - глухо

Код: Выделить всё

tcpdump -i eth0 -n -nn -ttt 'host 192.168.0.115 and port 3128'

Правила уже по-всякому менял. Ни одно из предложенных на форумах и в инете не работает. Перособирал ядро, включал все что связано с iptables и модулями и в ядро. Не помогает...

[pelmen]

У меня вот так:

iptables -t nat -A PREROUTING -d $LANIP -p tcp --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -d $INTIP -p tcp --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 3128

первые две строчки необходимы, чтобы сайт на шлюзе работал. Да-да-да, у меня на шлюзе сайт

[valday666]

Почему эти правила работают у всех, кроме меня?
tcpdump молчит все время, пока не выставлю в браузере прокси

[skor]

Попробуйте на localhoste "послушать" tcpdump`ом.

[valday666]

Так я и прослушиваю сам сервер...

Может проблема в том, что у меня два адреса на одном интерфейсе?

Код: Выделить всё

cat /etc/conf.d/net
# This blank configuration will automatically use DHCP for any net.*
# scripts in /etc/init.d.  To create a more complete configuration,
# please review /etc/conf.d/net.example and save your configuration
# in /etc/conf.d/net (this file :]!).
dns_domain_lo="CIT"
config_eth0=( "172.16.32.115 netmask 255.255.255.0"
            "192.168.0.115 netmask 255.255.255.0")
routes_eth0=( "default via 172.16.32.1")
dns_servers=( "172.16.63.253" )

[MozG1986]

А ядром пакеты форвардятся-то вообще?

Код: Выделить всё

echo "1" >  /proc/sys/net/ipv4/ip_forward

[skor]

Вполне возможно, скорее всего REDIRECT выбирает "основной" адрес 172.16.32.115.
Попробуйте послушать без указания адреса, просто port 3128.
И в квиде в http_port убрать адрес, оставить только порт.

[valday666]

Код: Выделить всё

cat /proc/sys/net/ipv4/ip_forward
1

просто прослушиваю порт без указания интерфейса - тоже тишина

[strah]

-A PREROUTING -s 192.168.0.0/24 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128

А если так: "iptables -t nat -A PREROUTING -s 192.168.0.0/24 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.115:3128"?

[valday666]

То же самое... Нет запросов

[pelmen]

у клиентов шлюзом пропиши 192.168.0.115

[valday666]

Конечно, это прописано у клиента

[pelmen]

iptables-save выложи
у клиентов сайты открываются?

[valday666]

Код:

iptables-save # Generated by iptables-save v1.4.3.2 on Mon Jun 8 11:37:34 2009 *security :INPUT ACCEPT [424359:219884653] :FORWARD ACCEPT [21389:18004429] :OUTPUT ACCEPT [480746:333855572] COMMIT # Completed on Mon Jun 8 11:37:34 2009 # Generated by iptables-save v1.4.3.2 on Mon Jun 8 11:37:34 2009 *raw :PREROUTING ACCEPT [516427:242851034] :OUTPUT ACCEPT [480781:333862549] COMMIT # Completed on Mon Jun 8 11:37:34 2009 # Generated by iptables-save v1.4.3.2 on Mon Jun 8 11:37:34 2009 *nat :PREROUTING ACCEPT [4788141:1525160667] :POSTROUTING ACCEPT [300333:19995122] :OUTPUT ACCEPT [305070:20580711] -A PREROUTING -s 192.168.0.0/24 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.115:3128 COMMIT # Completed on Mon Jun 8 11:37:34 2009 # Generated by iptables-save v1.4.3.2 on Mon Jun 8 11:37:34 2009 *mangle :PREROUTING ACCEPT [48088078:38992537895] :INPUT ACCEPT [43616504:37473197498] :FORWARD ACCEPT [52303:27549182] :OUTPUT ACCEPT [40193755:24274888882] :POSTROUTING ACCEPT [40279068:24306430404] COMMIT # Completed on Mon Jun 8 11:37:34 2009 # Generated by iptables-save v1.4.3.2 on Mon Jun 8 11:37:34 2009 *filter :INPUT ACCEPT [43616507:37473197654] :FORWARD ACCEPT [52303:27549182] :OUTPUT ACCEPT [40190780:24274323011] COMMIT # Completed on Mon Jun 8 11:37:34 2009

У клиентов не открываются сайты, если не указывать прокси в браузере

[butch]

а днс резолвится с клиентов? =)

[valday666]

нет... а должен?

[pelmen]

сделай как я сказал
iptables -t nat -A PREROUTING -p tcp -s 192.168.0.0/24 -d ! 192.168.0.115 --dport 80 -j REDIRECT --to-ports 3128
после этого проверяй сквид
конфиг сквида так и не показал, кстати

[butch]

нет... а должен? smile.gif

а как вы думаете? =))
доменное имя не резолвится. пакеты в итоге никуда не отсылаются.
сделайте так чтобы имена резолвились =)

[pelmen]

Ну попробуйте зайти на сайт по ip

[valday666]

Что-то у меня сквид совсем отвалился... После перезагрузки сервера не запускается. Точнее запускается и пишет что все в порядке.

Код: Выделить всё

/etc/init.d/squid status
 * status:  started

Только не работает. И при попытке перезапустить пишет

Код: Выделить всё

 /etc/init.d/squid restart
 * Stopping squid ...
squid: No running copy                                                                                                                                                       [ ok ]
 * Starting squid ...

[valday666]

Почистил кэш, сквид заработал. Вроде как по ip заходит. Получается, нужно ДНС настроить...

[valday666]

Можно тогда здесь спросить?
Хотел сделать ДНС форвардинг на сервера 172.16.32.10 и 172.16.63.253 и не получается ничего. Может я что-то упустил?

Код:

cat /etc/bind/named.conf options { directory "/var/bind"; // uncomment the following lines to turn on DNS forwarding, // and change the forwarding ip address(es) : forward first; forwarders { 172.16.32.10; 172.16.63.253; }; listen-on-v6 { none; }; listen-on { 127.0.0.1; }; // to allow only specific hosts to use the DNS server: //allow-query { // 127.0.0.1; //}; // if you have problems and are behind a firewall: query-source address * port 53; pid-file "/var/run/named/named.pid"; }; // Briefly, a zone which has been declared delegation-only will be effectively // limited to containing NS RRs for subdomains, but no actual data beyond its // own apex (for example, its SOA RR and apex NS RRset). This can be used to // filter out "wildcard" or "synthesized" data from NAT boxes or from // authoritative name servers whose undelegated (in-zone) data is of no // interest. // See http://www.isc.org/products/BIND/delegation-only.html for more info //zone "COM" { type delegation-only; }; //zone "NET" { type delegation-only; }; zone "." IN { type hint; file "named.ca"; }; zone "localhost" IN { type master; file "pri/localhost.zone"; allow-update { none; }; notify no; }; zone "127.in-addr.arpa" IN { type master; file "pri/127.zone"; allow-update { none; }; notify no; };

[butch]

может быть просто разрешите маскарад до днс серверов?

не получается ничего. Может я что-то упустил?

ага. упустили описание именно того, что неполучается

listen-on { 127.0.0.1; };

на первый взгляд - повесьте уже на внутренний интерфейс бинд. или как по вашему клиенты локалки доберутся до lo?

[valday666]

butch, спасибо! Поменял на внутренний интерфейс конфиг бинда и разрешил маскарад - все заработало