URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID12
Нить номер: 6604
[ Назад ]
Исходное сообщение
"squid+dansguardian, прозрачный прокси.. правила Iptables.."
Отправлено gard , 18-Фев-11 12:58 
Привет всем!
Есть компьютер с линуксом на борту, который имеет адрес 172.16.10.2 и раздает пользователям сети Интернет. Есть другой адрес: 172.16.10.1, через который пользователи выходят в корпоративную внутреннюю сеть. Подсеть моих пользователей: 172.16.10.0/24. Клиенты пока что ходят во внутреннюю сеть по маршрутам, которые получают через DHCP, а дефолтный gw у них 172.16.10.2, то есть Интернет. Хочу сделать так, чтобы на клиентах никаких маршрутов не прописывалось, а компьютер с линуксом сам бы роутил их куда им надо. На шлюзе стоит squid+dansguardian, все прозрачно, то есть мне нужно клиентские запросы пробрасывать на 8080 порт. Но если клиенты будут всегда идти на 172.16.10.2, который будет их отправлять 1) в инет, 2) в корпоративную сеть, то сайты с корпоративной сети кэшировать не надо. Я написал правила для iptables:
###Правила сразу пропускающие пакеты во внутрисеть (без кэширования squid) через 172.16.10.1 (ип/маска с роутов)
$IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -p ALL -m iprange --src-range 172.16.10.3-172.16.10.254 -d 10.0.0.0/8 -j ACCEPT
$IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -p ALL -m iprange --src-range 172.16.10.3-172.16.10.254 -d 172.16.0.0/16 -j ACCEPT
$IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -p ALL -m iprange --src-range 172.16.10.3-172.16.10.254 -d 93.88.176.0/20 -j ACCEPT
###Заворачивание на squid всех остальных (от локальных юзеров в инет, но не на этот шлюз) запросов
$IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -m iprange \
--src-range  172.16.10.3-172.16.10.254 ! -d 172.16.10.2 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8080
Верны ли они? То есть если клиент роутится в корпоративную сеть - он сразу проходит цепочку, иначе заворачивается на 8080 порт. Почему спрашиваю, потому что пишут, что в этой цепочке желательно ничего не фильтровать, но вот приходится. =)
Содержание
Сообщения в этом обсуждении
"squid+dansguardian, прозрачный прокси.. правила Iptables.."
Отправлено reader , 18-Фев-11 16:34 
>[оверквотинг удален]
> 172.16.10.3-172.16.10.254 -d 93.88.176.0/20 -j ACCEPT
> ###Заворачивание на squid всех остальных (от локальных юзеров в инет, но не
> на этот шлюз) запросов
> $IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -m iprange \
> --src-range  172.16.10.3-172.16.10.254 ! -d 172.16.10.2 -p tcp -m tcp --dport 80
> -j REDIRECT --to-ports 8080
> Верны ли они? То есть если клиент роутится в корпоративную сеть -
> он сразу проходит цепочку, иначе заворачивается на 8080 порт. Почему спрашиваю,
> потому что пишут, что в этой цепочке желательно ничего не фильтровать,
> но вот приходится. =)

ну если нужно, то кто же против

"squid+dansguardian, прозрачный прокси.. правила Iptables.."
Отправлено gard , 18-Фев-11 17:28 
> ну если нужно, то кто же против

Спасибо =)