IPTABLES+SQUID прозрачный прокси (старая песня)

[antiroot]

Мои правила в rc.firewall

Код: [Выделить]

#!/bin/sh 


IF_INT="eth0" 
IF_EXT="eth1" 
IPT="/sbin/iptables" 


$IPT --flush 
$IPT -t nat --flush 
$IPT -t mangle --flush 
$IPT -X 


$IPT -A INPUT -i lo -j ACCEPT 
$IPT -A OUTPUT -o lo -j ACCEPT 


$IPT -P INPUT DROP 
$IPT -P OUTPUT DROP 
$IPT -P FORWARD DROP 

echo 1 > /proc/sys/net/ipv4/ip_forward 


$IPT -A FORWARD -i $IF_INT -o $IF_EXT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT 


$IPT -A FORWARD -i $IF_EXT -o $IF_INT -m state --state ESTABLISHED,RELATED -j ACCEPT 


#SNAT - local user to out internet 
#$IPT -t nat -A PREROUTING -p tcp -m tcp --dport 80 -j ACCEPT 
#$IPT -t nat -A PREROUTING -i $IF_EXT -p tcp -s 192.168.1.0/24 --dport 80 -j DNAT --to-destination 192.168.1.5:3128 
# 
#$IPT -t nat -A PREROUTING -i $IF_EXT ! -d 192.168.1.0/24 -p tcp --dport 80 -j REDIRECT --to-port 3128 
#$IPT -t nat -A PREROUTING -i $IF_INT -p tcp  -m multiport --dport 80,8080 -j REDIRECT --to-port 3128 
#$IPT -t nat -A OUTPUT -p tcp -m multiport --dport 80,8080 -j DNAT --to-destination 192.168.1.5:3128 
#$IPT -t nat -A PREROUTING -i $IF_EXT -p tcp -s 192.168.1.0/24 -m multiport --dport 80,8080 -j DNAT --to 192.168.1.5:3128 
#$IPT -t nat -A POSTROUTING -o $IF_EXT -j MASQUERADE 


$IPT -t nat -A POSTROUTING -p tcp -o $IF_EXT -j SNAT --to-source 11.22.33.44 



$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP 
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 
$IPT -A INPUT -i $IF_INT -p tcp --dport 22 -j ACCEPT 
$IPT -A INPUT -i $IF_INT -p icmp -j ACCEPT

Пробовал завернуть http-трафик на сквид всеми возможными способами, которые только нашел в сети, а в access.log пусто и трафик нейдет. Подскажите, что нужно убрать, добавить или переписать, чтобы хотя бы до сквида достучаться?

P.S.: система Debian 6.0 Squeeze, squid 3.1.14

[Pascal]

А что говорит iptables -L -t nat и sysctl net.ipv4.ip_forward

[antiroot]

iptables -L -t nat

Код: [Выделить]

Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
SNAT       tcp  --  anywhere             anywhere            to:11.22.33.44

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

net.ipv4.ip_forward = 1

На данный момент такие...

[Pascal]

antiroot, а почему все правила редиректа закоментированны?

$IPTABLES -t nat -A PREROUTING -p tcp -i eth1 --dport 80 -j REDIRECT --to-ports 3128

И настроен ли сам сквид на transparent?

[antiroot]

Потому что ни одно из них не работало, по крайней мере z не видел никаких последствий работы в access.log
Сейчас раскоментировал и подправил до такого:

Код: [Выделить]

$IPT -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 -d 192.168.1.5 --dport 80 -j REDIRECT --to-ports 3128

и получил

Код: [Выделить]

iptables -L -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
REDIRECT   tcp  --  localnet/24          srv-proxy           tcp dpt:www redir ports 3128

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
SNAT       tcp  --  anywhere             anywhere            to:11.22.33.44

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Правда в access.log до сих пор ничего
Сквид настроен
http_port 192.168.1.5:3128 intercept

[Pascal]

http_port 192.168.1.5:3128 intercept

Я полагал, что оно выглядит так:
http_port 192.168.1.5:3128 transparent

[antiroot]

Так выглядел до squid 3.1, а что по правилам можете сказать?

[Flyer_SPb]

antiroot, странные какие-то правила!
Дропаются (политикой) все входящие, кроме ssh и icmp.
И, так же политикой, дропаются _вообще_ все исходящие!
Т.е., там и ssh работать не должен.
Только пропуск в инет исходящих пакетов и из инета - ответных.

[antiroot]

Flyer_SPb, я этот конфиг в инете нашел, если не сложно подскажите, что еще прописать дополнительно, чтобы файервол правильно работал? Просто я с iptables сталкиваюсь впервые, пару лет назад делал прозрачное проксирование, но на фряхе и с ipfw и с тех пор как-то сталкиваться с этим не приходилось... В общем цель связки, проксить http-трафик и натить все остальное, помогите, а то я уже неделю над этим сижу, думал сам по манам разобраться, но как-то тяму не хватает...

[Flyer_SPb]

antiroot, очень рекомендую классическую доку: http://www.frozentux.net/documents/iptables-tutorial/
В частности, картинку


Для начала:
надо пропустить нужные пакеты (с учётом того, что они преобразованы в nat PREPOUTING) через filter INPUT и выпустить ответные (удобно с помощью --state ESTABLISHED,RELATED) через filter OUTPUT.

Чтобы понять, что не так с

$IPT -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 -d 192.168.1.5 --dport 80 -j REDIRECT --to-ports 3128

, поразмышляй, откуда и куда пойдут пакеты, и куда их завернуть.

Ещё хинт: для отладки (и не только) удобно пользовать таргет LOG
Также: с ключом -L стОит пользовать ещё -nv, чтобы видеть, на скольких пакетах это правило сработало.

[antiroot]

Flyer_SPb, спасибо большое за помощь,  с редиректом разобрался еще вчера, а со всем остальным сегодня с утра! Ваши советы очень помогли! 

[antiroot]

Выложу получившийся в итоге конфиг, может кому-нибудь в будущем поможет:

Код: [Выделить]

#!/bin/sh
IF_INT="eth0"
IF_EXT="eth1"
IPT="/sbin/iptables"

$IPT --flush
$IPT -t nat --flush
$IPT -t mangle --flush
$IPT -X

$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT

$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP

echo 1 > /proc/sys/net/ipv4/ip_forward

$IPT -t nat -A PREROUTING -i $IF_INT -p tcp -m multiport --dport 80,8080 -j REDIRECT --to-port 3128

$IPT -A FORWARD -i $IF_INT -o $IF_EXT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

$IPT -A FORWARD -i $IF_EXT -o $IF_INT -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPT -t nat -A POSTROUTING -p tcp -o $IF_EXT -j SNAT --to-source 11.22.33.44

$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A INPUT -i $IF_INT -p tcp --dport 3128 -j ACCEPT
$IPT -A INPUT -i $IF_INT -p tcp --dport 22 -j ACCEPT
$IPT -A INPUT -i $IF_INT -p icmp -j ACCEPT

$IPT -A OUTPUT -m state --state  NEW,ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -o $IF_INT -p tcp --dport 3128 -m state --state ESTABLISHED,RELATED -j ACCEPT

Как-то так...

[Flyer_SPb]

$IPT -A OUTPUT -m state --state  NEW,ESTABLISHED,RELATED -j ACCEPT

Уж если так (практически, разрешаются _все_ исходящие), то есть ли смысл указывать state?

$IPT -A OUTPUT -o $IF_INT -p tcp --dport 3128 -m state --state ESTABLISHED,RELATED -j ACCEPT

1. Предыдущее правило пропустит пакеты, предполагаемые для этого правила
2. Это правило вообще не будет работать как задумано (подумай на тему --sport и --dport в ответных пакетах).

icmp снаружи тоже надо бы принимать, хотя бы ответы на пинги (type 0) и type3, т.к. именно с icmp на

$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

можно полагаться не всегда.

[antiroot]

ОК, будет время, допилю все до корректного вида...