The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"squid+dansguardian, прозрачный прокси.. правила Iptables.."
Вариант для распечатки  
Пред. тема | След. тема 
Форум Настройка Squid и других прокси серверов (Прозрачный proxy)
Изначальное сообщение [ Отслеживать ]

"squid+dansguardian, прозрачный прокси.. правила Iptables.."  +/
Сообщение от gard (ok) on 18-Фев-11, 12:58 
Привет всем!
Есть компьютер с линуксом на борту, который имеет адрес 172.16.10.2 и раздает пользователям сети Интернет. Есть другой адрес: 172.16.10.1, через который пользователи выходят в корпоративную внутреннюю сеть. Подсеть моих пользователей: 172.16.10.0/24. Клиенты пока что ходят во внутреннюю сеть по маршрутам, которые получают через DHCP, а дефолтный gw у них 172.16.10.2, то есть Интернет. Хочу сделать так, чтобы на клиентах никаких маршрутов не прописывалось, а компьютер с линуксом сам бы роутил их куда им надо. На шлюзе стоит squid+dansguardian, все прозрачно, то есть мне нужно клиентские запросы пробрасывать на 8080 порт. Но если клиенты будут всегда идти на 172.16.10.2, который будет их отправлять 1) в инет, 2) в корпоративную сеть, то сайты с корпоративной сети кэшировать не надо. Я написал правила для iptables:
###Правила сразу пропускающие пакеты во внутрисеть (без кэширования squid) через 172.16.10.1 (ип/маска с роутов)
$IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -p ALL -m iprange --src-range 172.16.10.3-172.16.10.254 -d 10.0.0.0/8 -j ACCEPT
$IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -p ALL -m iprange --src-range 172.16.10.3-172.16.10.254 -d 172.16.0.0/16 -j ACCEPT
$IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -p ALL -m iprange --src-range 172.16.10.3-172.16.10.254 -d 93.88.176.0/20 -j ACCEPT
###Заворачивание на squid всех остальных (от локальных юзеров в инет, но не на этот шлюз) запросов
$IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -m iprange \
--src-range  172.16.10.3-172.16.10.254 ! -d 172.16.10.2 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8080
Верны ли они? То есть если клиент роутится в корпоративную сеть - он сразу проходит цепочку, иначе заворачивается на 8080 порт. Почему спрашиваю, потому что пишут, что в этой цепочке желательно ничего не фильтровать, но вот приходится. =)
Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "squid+dansguardian, прозрачный прокси.. правила Iptables.."  +/
Сообщение от reader (ok) on 18-Фев-11, 16:34 
>[оверквотинг удален]
> 172.16.10.3-172.16.10.254 -d 93.88.176.0/20 -j ACCEPT
> ###Заворачивание на squid всех остальных (от локальных юзеров в инет, но не
> на этот шлюз) запросов
> $IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -m iprange \
> --src-range  172.16.10.3-172.16.10.254 ! -d 172.16.10.2 -p tcp -m tcp --dport 80
> -j REDIRECT --to-ports 8080
> Верны ли они? То есть если клиент роутится в корпоративную сеть -
> он сразу проходит цепочку, иначе заворачивается на 8080 порт. Почему спрашиваю,
> потому что пишут, что в этой цепочке желательно ничего не фильтровать,
> но вот приходится. =)

ну если нужно, то кто же против

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "squid+dansguardian, прозрачный прокси.. правила Iptables.."  +/
Сообщение от gard (??) on 18-Фев-11, 17:28 
> ну если нужно, то кто же против

Спасибо =)

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2020 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру