Добрый день,

Стояла связка freebsd7 + nat + ipfw + squid3.0 transparent для небольшой офисной сети, все прекрасно работало.

Возникла необходимость заменить ipfw на pf. Последним до этого не пользовался и нарисовалась проблемка. Пакеты ходят минуя прокси, в логах сквида ничего нет.
Если сменить адрес сквида на 192.168.1.1 и прописать прокси в браузере то все ок. Скорее всего дело в нате pf.

Привожу список действий    

1.Пересобрал ядро с опциями:

device          pf
device          pflog
device          pfsync

2.Пересобрал squid с опцией --enable-pf-transparent. Выставил нужные права на /dev/pf
  

3.Прописал в /etc/rc.conf

pf_enable="YES"
pf_rules="/etc/pf.conf"
pf_program="/sbin/pfctl"
pf_flags=""
pflog_enable="YES"
pflog_logfile="/var/log/pf.log"
pflog_program="/sbin/pflogd"
pflog_flags=""
pfsync_enable="NO"
pfsync_syncdev=""
pfsync_ifconfig=""

Создал файл /etc/pf.conf следующего вида

int_if="fxp0"
ext_if="rl0"
localnet="192.168.1.0/24"

tcp_ports="{22,80,443,25,110,465,995,5190}"
udp_ports="{53}"

set skip on lo0
set skip on $int_if

set loginterface $int_if

scrub in all

nat on $ext_if from $localnet to any -> ($ext_if)
rdr on $int_if proto tcp from $localnet to any port www -> 127.0.0.1 port 3128

antispoof quick for $ext_if
block all

pass out on $ext_if proto tcp to any port $tcp_ports keep state
pass out on $ext_if proto udp to any port $udp_ports keep state

pass inet proto icmp all

В конфигурационном файле SQUID ничего не менялось:

http_port 127.0.0.1:3128 transparent

acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8
acl localnet src 192.168.1.0/24

acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https

• freebsd7 + pf + squid,Fagor, 11:16 , 24-Июн-09
  • freebsd7 + pf + squid,panda, 13:59 , 24-Июн-09
    • freebsd7 + pf + squid,macgish, 14:06 , 24-Июн-09

>[оверквотинг удален]
>acl to_localhost dst 127.0.0.0/8
>acl localnet src 192.168.1.0/24
>
>acl SSL_ports port 443
>acl Safe_ports port 80        
> # http
>acl Safe_ports port 21        
> # ftp
>acl Safe_ports port 443        
># https

rdr on $int_if proto tcp from $localnet to any port www -> 127.0.0.1 port 3128
                                                    ^^^^
www такого нет порта в /etc/service если вы сами его там не прописали,
там есть http
rdr on $int_if proto tcp from $localnet to any port http -> 127.0.0.1 port 3128
                                                    ^^^^

>www такого нет порта в /etc/service если вы сами его там не
>прописали,
>там есть http
>rdr on $int_if proto tcp from $localnet to any port http -> 127.0.0.1 port 3128

Пробовал разные варианты

rdr on $int_if proto tcp from $localnet to any port http -> 127.0.0.1 port 3128
rdr on $int_if proto tcp from $localnet to any port 80 -> 127.0.0.1 port 3128

В логах сквида ничего не меняется. Пакеты на него не редиректятся.

>[оверквотинг удален]
>>прописали,
>>там есть http
>>rdr on $int_if proto tcp from $localnet to any port http -> 127.0.0.1 port 3128
>
>Пробовал разные варианты
>
>rdr on $int_if proto tcp from $localnet to any port http -> 127.0.0.1 port 3128
>rdr on $int_if proto tcp from $localnet to any port 80 -> 127.0.0.1 port 3128
>
>В логах сквида ничего не меняется. Пакеты на него не редиректятся.

set skip on $int_if
Мне кажеться эта опция действует на все правила и не редиректы тоже. Попробуйте просто поставить разрешающие правила на интерфейс.