Administrace komentářů

Pak by mělo fungovat

iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 71.7.163.29:8080

Nebude to fungovat, pokud by cílový server (jehož adresu zadáte v prohlížeči), byl ve vaší síti (tj. měl adresu typu 192.168.1.něco). Podmínkou také je, že klienti (prohlížeč) posílají s HTTP požadavkem hlavičku Host: (v HTTP/1.1 už je povinná a všechny klasické moderní prohlížeče ji posílají) – jinak nebude proxy vědět, kam se má dál dotázat na skutečný obsah. Jinak to, o co se pokoušíte, se nazývá transparentní proxy.

Zároveň potřebujete, aby se klienti mohli dotazovat DNS serverů nebo zprovoznit v síti místní DNS resolver, kterého se budou dotazovat.

Pokud by vám to stále nefungovalo, spusťte si na routeru tcpdump -ni interface 'port 80' (resp. port 8080) postupně na vnitřním a vnějším rozhraní a sledujte, kam až pakety dorazí a kde se ztrácí.

Pakety procházející přes PREROUTING se upraví ještě před routováním, takže na firewallu pak musíte mít povolenou komunikaci a navázání spojení z vnitřního počítače na 71.7.163.29:8080 a v opačném směru existující spojení z 71.7.163.29:8080 na vaše klientské počítače.

Mimochodem, předpokládám že normální routování máte už na routeru rozchozené a že např. s vypnutým firewallem se z klienta na web normálně dostanete.

Pokud máte možnost rozumně nastavit proxy na klientských počítačích a chcete pouze klienyt donutit používat vaší proxy, zvažte nastavení proxy a na routeru zablokujte veškerou odchozí komunikaci na port 80 (a např. 8080 a 3128, případně veškerou odchozí komunikaci) a jako výjimku povolte pouze komunikaci na váš proxy server. Nikam jinam se klienti připojit nebudou moci, ale budou vědět, že jsou připojeni přes proxy server (občas to může předejít nějakým nedorozuměním apod. – transparentní proxy server je přeci jen svého druhu únos spojení).