форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Архивированная нить - только для чтения!  Пред. тема | След. тема
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение		[Проследить за развитием треда]

"Iptables и transparent Squid"
Сообщение от Tangar (ok) on 24-Окт-04, 17:57  (MSK)
Роутер под Linux. На нём стоит Squid, iptables'ами всё что на 80 порт заворачиваем на 3128 на squid. Клиенты блокируются а FORWARD и PREROUTING (чтобы из только кэша не сосали) Всё работает, но есть одно НО: Клиент может приконектиться напрямую к роутеру на порт 3128 - и замечательно работать. В этом случае трафик откуда идёт? От локальной машины, которую мы везде пускаем. Заблокировать 3128? Тадывообще небудет ничего работать? Заблокировать 3128 для всех кроме этого роутера? Неа... Когда клиента перебрасываем на с 80 на 3128 мы на сквиде видем ип клиента, а не сервера. Чо делать? Блочить в сквиде? Некатит, т.к. он зараза уж больно долго делает reconfigure. Чо делать? Уже прилично трафа спёрли гады. Чо делать?
	Рекомендовать в FAQ | Cообщить модератору | Наверх

Индекс форумов | Темы | Пред. тема | След. тема

Сообщения по теме

1. "Iptables и transparent Squid"
Сообщение от Tangar (ok) on 24-Окт-04, 18:06  (MSK)
Вот конфига iptables, всё на примере одного клиента(10.0.0.2) и вырезано что касается закрытия и открытия всяких портов из инета и прочее что к делу не относиться: Chain INPUT (policy ACCEPT) target     prot opt source               destination ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED client_access_input  all  --  10.0.0.0/24          0.0.0.0/0 client_access_input  all  --  0.0.0.0/0            10.0.0.0/24 DROP       all  --  0.0.0.0/0            0.0.0.0/0 Chain FORWARD (policy DROP) target     prot opt source               destination client_access  all  --  10.0.0.0/24          0.0.0.0/0 client_access  all  --  0.0.0.0/0            10.0.0.0/24 Chain client_access (10 references) target     prot opt source               destination ACCEPT     all  --  0.0.0.0/0            10.0.0.2 ACCEPT     all  --  10.0.0.2             0.0.0.0/0 Chain client_access_input (6 references) target     prot opt source               destination RETURN     all  --  10.0.0.2            0.0.0.0/0 DROP       tcp  --  0.0.0.0/0            0.0.0.0/0          tcp dpt:3128 DROP       udp  --  0.0.0.0/0            0.0.0.0/0          udp dpt:3128 Chain PREROUTING (policy ACCEPT) target     prot opt source               destination client_access_nat  all  --  10.0.0.0/24          0.0.0.0/0 client_access_nat  all  --  0.0.0.0/0            10.0.0.0/24 REDIRECT   tcp  --  10.0.0.0/24         !127.0.0.1          tcp dpt:80 redir ports 3128 REDIRECT   udp  --  10.0.0.0/24         !127.0.0.1          udp dpt:80 redir ports 3128 Chain POSTROUTING (policy ACCEPT) target     prot opt source               destination SNAT       all  --  10.0.0.0/24          0.0.0.0/0          to:EXT.IP.EXT.IP Chain OUTPUT (policy ACCEPT) target     prot opt source               destination Chain client_access_nat (8 references) target     prot opt source               destination RETURN     all  --  0.0.0.0/0            10.0.0.2 RETURN     all  --  10.0.0.2             0.0.0.0/0 DROP       all  --  0.0.0.0/0            0.0.0.0/0
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	2. "Iptables и transparent Squid"
	Сообщение от Tangar (ok) on 24-Окт-04, 18:08  (MSK)
	На текущий момент я победил до степени, что ЗАБЛОКИРОВАНЫЕ клиенты не смогут подключиться на 3128, а вот те кому разрешено - очень даже, и на халяву! (напомню что видим то мы ип сервака, а не клиента когда он так конектиться)
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	3. "Iptables и transparent Squid"
	Сообщение от Tangar (ok) on 25-Окт-04, 10:53  (MSK)
	Люди добрые! Если решение этой проблемы элементарно - подскажите плиз! Если нет, то что не у кого никаких идей нету?
		Рекомендовать в FAQ | Cообщить модератору | Наверх

Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.