Привет всем!
Есть компьютер с линуксом на борту, который имеет адрес 172.16.10.2 и раздает пользователям сети Интернет. Есть другой адрес: 172.16.10.1, через который пользователи выходят в корпоративную внутреннюю сеть. Подсеть моих пользователей: 172.16.10.0/24. Клиенты пока что ходят во внутреннюю сеть по маршрутам, которые получают через DHCP, а дефолтный gw у них 172.16.10.2, то есть Интернет. Хочу сделать так, чтобы на клиентах никаких маршрутов не прописывалось, а компьютер с линуксом сам бы роутил их куда им надо. На шлюзе стоит squid+dansguardian, все прозрачно, то есть мне нужно клиентские запросы пробрасывать на 8080 порт. Но если клиенты будут всегда идти на 172.16.10.2, который будет их отправлять 1) в инет, 2) в корпоративную сеть, то сайты с корпоративной сети кэшировать не надо. Я написал правила для iptables:###Правила сразу пропускающие пакеты во внутрисеть (без кэширования squid) через 172.16.10.1 (ип/маска с роутов)
$IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -p ALL -m iprange --src-range 172.16.10.3-172.16.10.254 -d 10.0.0.0/8 -j ACCEPT
$IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -p ALL -m iprange --src-range 172.16.10.3-172.16.10.254 -d 172.16.0.0/16 -j ACCEPT
$IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -p ALL -m iprange --src-range 172.16.10.3-172.16.10.254 -d 93.88.176.0/20 -j ACCEPT
###Заворачивание на squid всех остальных (от локальных юзеров в инет, но не на этот шлюз) запросов
$IPTABLES -t nat -A PREROUTING -i $LAN_IFACE -m iprange \
--src-range 172.16.10.3-172.16.10.254 ! -d 172.16.10.2 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8080
Верны ли они? То есть если клиент роутится в корпоративную сеть - он сразу проходит цепочку, иначе заворачивается на 8080 порт. Почему спрашиваю, потому что пишут, что в этой цепочке желательно ничего не фильтровать, но вот приходится. =)
|
Вариант для распечатки
