URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID12
Нить номер: 7136
[ Назад ]

Исходное сообщение
"Направить Squid через другой Squid"
Отправлено Tiarasu , 17-Сен-14 17:13

День добрый. Ситуация следующая.
Есть отдельно стоящий компьютер, ip 10.10.0.3/24, gateway 10.10.0.2. Больше на нем ничего не настроено, ни dns, ни proxy, только эти параметры.
Этим интерфейсом он смотрит на сервер с установленным Squid. У Squid две сетевые карты - одна ip 10.10.0.2/24, вторая 192.168.1.222/22, смотрит в локальную сеть с интернетом и вторым Squid в ней.
Вот squid.conf
dns_nameservers 192.168.0.122 192.168.0.10
dns_v4_first on
shutdown_lifetime 10 seconds
coredump_dir /usr/local/squid
visible_hostname serv.altest.net
tcp_outgoing_address 192.168.1.222
cache_peer 192.168.0.162 parent 3128 0 proxy-only no-query default
never_direct allow all
#ICAP SECTION
icap_enable on
icap_service_failure_limit 500
icap_service_revival_delay 30
icap_service Zgate_ICAP_Proxy reqmod_precache bypass=0 icap://192.168.0.231:1344/reqmod
icap_service Zgate_ICAP_Logger respmod_precache routing=1 icap://192.168.0.231:1344/respmod
icap_send_client_ip on
icap_send_client_username on
adaptation_service_set class_proxy Zgate_ICAP_Proxy
adaptation_service_set class_logger Zgate_ICAP_Logger
adaptation_access class_proxy allow all
adaptation_access class_logger allow all#HTTPS SECTION
http_port 3128 ssl-bump cert=/usr/local/etc/squid/root.cer key=/usr/local/etc/squid/root.key generate-host-certificates=on
ssl_bump client-first all
always_direct allow all
sslproxy_cert_error allow all
#CACHE SETTINGS
acl QUERY urlpath_regex cgi-bin \\?
no_cache deny !QUERY
cache_dir ufs /usr/local/squid/cache 3000 16 256
maximum_object_size 320 MB
quick_abort_min 5 MB
#ACCESS CONTROL LISTS!
acl localnet src 192.168.0.0/22
acl localnet src 10.10.0.0/24
acl CONNECT method CONNECT
acl BlockSite dstdomain .woman.ru
acl BlockSite dstdomain .odnoklassniki.ru
http_access allow manager localhost
http_access deny to_localhost
http_access deny all BlockSite
http_access allow localnet
http_reply_access allow all
debug_options 93,5
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320
Если я не ошибаюсь, опции cache_peer и never_direct должны перенаправлять на второй squid (192.168.0.162). Для проверки на втором Squid заблокировал сайт rbc.ru. К сожалению, клиентский хост на rbc пускает, следовательно, он идет не через второй Squid, а напрямую. Подскажите пожалуйста, что я делаю не так.

Содержание

Направить Squid через другой Squid,PavelR, 12:17 , 18-Сен-14
- Направить Squid через другой Squid,Tiarasu, 12:32 , 18-Сен-14
- Направить Squid через другой Squid,Tiarasu, 17:08 , 18-Сен-14
  - Направить Squid через другой Squid,Andrey Mitrofanov, 18:01 , 18-Сен-14
    - Направить Squid через другой Squid,Tiarasu, 09:13 , 19-Сен-14
Направить Squid через другой Squid,tonys, 11:29 , 19-Сен-14
- Направить Squid через другой Squid,Tiarasu, 12:09 , 19-Сен-14

Сообщения в этом обсуждении

"Направить Squid через другой Squid"
Отправлено PavelR , 18-Сен-14 12:17

> Подскажите пожалуйста, что я делаю не так.
В логи не смотрите.

"Направить Squid через другой Squid"
Отправлено Tiarasu , 18-Сен-14 12:32

>> Подскажите пожалуйста, что я делаю не так.
> В логи не смотрите.
Лог родительского прокси чист.
К дочернему логу добавил в раздел http_port опцию intercept.
Лог родительского по прежнему чист, лог дочернего выдает:
1411026960.368      3 192.168.1.222 TCP_MISS/403 5226 GET http://www.google.ru/url? - HIER_NONE/- text/html
1411026960.372     12 192.168.0.231 TCP_MISS/403 5298 GET http://www.google.ru/url? - HIER_DIRECT/192.168.1.222 text/html
1411026960.463      3 192.168.1.222 TCP_MISS/403 4467 GET http://www.squid-cache.org/Artwork/SN.png - HIER_NONE/- text/html
1411026960.468     12 192.168.0.231 TCP_MISS/403 4539 GET http://www.squid-cache.org/Artwork/SN.png - HIER_DIRECT/192.168.1.222 text/html
1411026961.210      0 192.168.0.231 NONE/409 3846 CONNECT mail.google.com:443 - HIER_NONE/- text/html
1411026962.270      0 10.10.0.3 NONE/409 3825 CONNECT jim43.mail.ru:443 - HIER_NONE/- text/html
1411026971.922      0 10.10.0.3 NONE/409 3831 CONNECT mail.google.com:443 - HIER_NONE/- text/html
но при это пишет, что доступ на страничку запрещен. В какую сторону копать?

"Направить Squid через другой Squid"
Отправлено Tiarasu , 18-Сен-14 17:08

>> Подскажите пожалуйста, что я делаю не так.
> В логи не смотрите.
Последовал совету, посмотрел в логи. Сейчас в cache.log торчит ошибка:
SECURITY ALERT: Host header forgery detected on local=10.10.0.2:3128 remote=10.10.0.3:2368 FD 11 flags=33 (intercepted port does not match 443)
И не гуглится. Может быть, кто-то встречался с чем-то подобным?

"Направить Squid через другой Squid"
Отправлено Andrey Mitrofanov , 18-Сен-14 18:01

> SECURITY ALERT: Host header forgery detected on local=10.10.0.2:3128 remote=10.10.0.3:2368
> FD 11 flags=33 (intercepted port does not match 443)
Может, все порты на ssl-bump-прозрачный порт завернул, может, непрозрачно настроенным броузером на прозрачный порт пошёл, может ещё чего, кто ж его знает.

"Направить Squid через другой Squid"
Отправлено Tiarasu , 19-Сен-14 09:13

>> SECURITY ALERT: Host header forgery detected on local=10.10.0.2:3128 remote=10.10.0.3:2368
>> FD 11 flags=33 (intercepted port does not match 443)
> Может, все порты на ssl-bump-прозрачный порт завернул, может, непрозрачно настроенным
> броузером на прозрачный порт пошёл, может ещё чего, кто ж его
> знает.
Ок.
Поправил squid.conf дабы не бампить SSl
http_port 127.0.0.1:3129
http_port 127.0.0.1:3128 intercept
Все просто и прозрачно.
Все равно не пускает. На https ругается в cache.loc так

2014/09/19 09:06:24.647 kid1| SECURITY ALERT: Host header forgery detected on local=192.168.1.222:3128 remote=10.10.0.3:2545 FD 12 flags=33 (intercepted port does not match 443)
2014/09/19 09:06:24.647 kid1| SECURITY ALERT: By user agent: Mozilla/5.0 (Windows NT 5.1; rv:32.0) Gecko/20100101 Firefox/32.0
2014/09/19 09:06:24.647 kid1| SECURITY ALERT: on URL: mail.ru:443
2014/09/19 09:06:24.647 kid1| abandoning local=192.168.1.222:3128 remote=10.10.0.3:2545 FD 12 flags=33

на http ругается в access.log так

1411103452.183   4504 10.10.0.3 TCP_MISS/503 3977 GET http://www.opennet.me/ - HIER_DIRECT/192.168.1.222 text/html
1411103452.369      1 10.10.0.3 TCP_MISS/503 4058 GET http://www.squid-cache.org/Artwork/SN.png - HIER_DIRECT/192.168.1.222 text/html
1411103452.523      1 10.10.0.3 TCP_MISS/503 3978 GET http://www.opennet.me/favicon.ico - HIER_DIRECT/192.168.1.222 text/html
1411103452.535      1 10.10.0.3 TCP_MISS/503 4010 GET http://www.opennet.me/favicon.ico - HIER_DIRECT/192.168.1.222 text/html

Причем, ругается в разные логи. Упоминания mail.ru нет в access.log, упоминаний об opennet нет в cache.log
Браузер настроен прозрачно (Mozilla, использовать системные прокси), в качестве шлюза указан адрес squid'a.

"Направить Squid через другой Squid"
Отправлено tonys , 19-Сен-14 11:29

> tcp_outgoing_address 192.168.1.222
С этого интерфейса Squid отправляет запросы
> cache_peer 192.168.0.162 parent 3128 0 proxy-only no-query default
Как у вас пакеты из х.х.1.х попадают в х.х.0.х?

"Направить Squid через другой Squid"
Отправлено Tiarasu , 19-Сен-14 12:09

>> tcp_outgoing_address 192.168.1.222
> С этого интерфейса Squid отправляет запросы
>> cache_peer 192.168.0.162 parent 3128 0 proxy-only no-query default
> Как у вас пакеты из х.х.1.х попадают в х.х.0.х?
там маска 22.