Проблема!!!
Стоит Линукс RH 6.2(смотрит в инет), Squid не прозрачный прокси,
Как прописать в ipchains разрешение для того чтоб юзеры ходили через прокси, или нужен редиректор?
Спасибо.
http://squid.opennet.ru смотри
>http://squid.opennet.ru смотриСмотрел, ненашел ни че:(((
http://www.bog.pp.ru/work/squid.html#transparent
хреново искал
>http://www.bog.pp.ru/work/squid.html#transparent
>хреново искал
Спасибо конечно, но это в случае прозрачного прокси, а у меня, как и сказано было выше прокси не прозрачен, и пока я его таковым делать не собираюсь.:))
в таком случае просто корректно задавай вопрос :)
а то чего-то непонятное спрашиваешь, если ты ничего файерволом не закрывал или у тебя вообще не запущен файервол, то сквид будет нормально работать, главное указать сквиду куда и с какого адреса ходить, если сквид отстреливает твоих пользователей, то это никакого отношения к ipchains не имеет... как видишь на информации, представленной тобой, можно только догадки строить...
Ы? :)
>Проблема!!!
>Стоит Линукс RH 6.2(смотрит в инет),
>Squid не прозрачный прокси,
>Как прописать в ipchains разрешение для
>того чтоб юзеры ходили через
>прокси, или нужен редиректор?
>Спасибо.В ipchains по умолчанию прописано разрешение для всего, в т.ч. и "чтоб юзеры ходили через прокси".
В чем Проблема!!!-то?
ты правила показать можешь ? я телепат только по воскресеньям, а сегодня черверг Ж)
а в access.log сквидовом чего ?
>ты правила показать можешь ? я
>телепат только по воскресеньям, а
>сегодня черверг Ж)
>а в access.log сквидовом чего ?
>Ладно, вопрос по моему был коректный, повторяю я в ipchains
ipchains -P input DENY
ipchains -P output DENY
ipchains -P forward DENY.......
теперь дошло дело до сквида
пишу
ipchains -A input eth0 -s any/0 -d a.b.c.d 3128 -j acceptи как говорится ни фига. Че не правильно?
Т.е в идеале чуваки должны ходить через прокси и туда куда firewall разрешает, а все остальное им запрещено.
Теперь понятно:)))
>
>ipchains -P input DENY
>ipchains -P output DENY
>ipchains -P forward DENY
>
>.......
>
>теперь дошло дело до сквида
>
>пишу
>ipchains -A input eth0 -s any/0
>-d a.b.c.d 3128 -j accept
Это только дает возможность пользователям с любого адреса (кстати, лучше только свой диапазон, не так ли?) попросить чего-нибудь у squid'а (он, я так понимаю, слушает на 3128). Но squid-то захочет по этому запросу что-нибудь из Инета забрать. А ему
output deny...
Нужно сделать, как минимум,
ipchains -A output -s [свой адрес] -d 0.0.0.0 80 -j ACCEPT (кроме 80 -- что еще нужно от прокси)
Но и это не все. Нужно еще и ответ из Инета получить:
ipchains -A input -s 0.0.0.0 80 -d [свой адрес] -j ACCEPT
и вернуть что-нибудь клиенту
ipchains -A output -s a.b.c.d 3128 any/0 -j accept
и т.д., и т.п...........>
>
>и как говорится ни фига. Че
>не правильно?
>Т.е в идеале чуваки должны ходить
>через прокси и туда куда
>firewall разрешает, а все остальное
>им запрещено.
>Теперь понятно:)))
Для начала советую вписать не просто DENY, а DENY -l и смотреть логи -- многое будет понятно
>>Проблема!!!
>>Стоит Линукс RH 6.2(смотрит в инет),
>>Squid не прозрачный прокси,
>>Как прописать в ipchains разрешение для
>>того чтоб юзеры ходили через
>>прокси, или нужен редиректор?
>>Спасибо.
>
>В ipchains по умолчанию прописано разрешение
>для всего, в т.ч. и
>"чтоб юзеры ходили через прокси".
>
>В чем Проблема!!!-то?
В том что им прописываю запрещение для всего, а для сквида разрешение, но как?
неее, проблема в том, что надо было хотя бы прочитать для начала вот это http://www.linux.org.ru:8101/books/HOWTO/Ipchains-HOWTO.html :)
хинт: каким макаром сквид клиенту пакеты вернет ?
Если сквид слушает 3128 порт и все политики по умолчанию DENY, то можно обойтись вот чем:
ipchains -A input -s a.b.c.d/x -p tcp --dport 3128 -j ACCEPT
ipchains -A input -y -j DENY
ipchains -A input -j ACCEPTПервая строка разрешает ходить твоей сетке на 3128 порт (сквид), вторая запрещает хождение всех пакетов с флагом TCP SYN на все остальные порты, третья разрешает хождение всем везде. Поскольку правила рассматриваются в строгом порядке, ты обеспечишь таким образом хождение всего куда тебе надо. :) И ответ от WWW серверов придут, и запросы на них уйдут...если ты политикой по умолчанию в цепочке output поставишь ACCEPT. В этом у тебя и грабли, ИМХО.
Будь здоров! :)
Где можно найти логи IPCHAINS?
>Где можно найти логи IPCHAINS?
/var/log/kernel.log, если в /etc/syslog.conf прописано...
kern.* /var/log/kernel.log
...Подробнее читай Ipchains HOWTO.