Dotaz: proxy SQUID + veřejná IP

[JimiK]

Zdravím, nezkoušeli jste prosím, jak přes squid "propustit" veřejnou IP? Nasadil jsem squid, abych ušetřil nějaký ten traffic a zároveň nastavil logování, kvůli jednomu debilnímu zákonu :(

Mám k dispozici několik veřejných IP adres. Jednu jsem přidělil přímo na router a za další NATuji rozsah za routerem. V tomto rozsahu jsou pak uživatelé, kteří chtějí mít veřejnou IP. Pomocí SNAT a DNAT jim ji "přiřadím". Spustím squida, pravidlem všechen provoz na portu 80 šoupnu na squida. Vše funguje, jen uživatelé mají veřejnou routeru, toto ošetřím

tcp_outgoing_address 193.179.204.240

Nyní mají všichni veřejnou, za kterou NATuji. Vše funguje.

Když chci ale nastavit jinou veřejnou IP uživateli

acl zidane src 10.152.45.3                                                     
tcp_outgoing_address 193.179.204.242 zidane                                    
tcp_outgoing_address 193.179.204.240

tak to nefunguje :( S chybou, že nemůže vytvořit tcp socket.

Nevíte prosím, jak uživateli přidělit veřejnou IP i na portu 80, který jde přes squida?

Odpovědi

[JimiK]

jestli vám není něco jasné, rád odpovím na jakýkoliv dotaz

[Filip Jirsák]

Do tcp_outgoing_address můžete nastavit pouze IP adresu, která patří počítači, na kterém běží Squid. Slouží to pro případ, že má počítač více IP adres, pak se tímto způsobem dá určit, která se bude používat pro odchozí spojení. Asi jediná rozumná možnost, jak tohle udělat, by byla přidělit počítači se Squidem hodně IP adres z nějaké vnitřní sítě, ty používat pro požadavky jednotlivých klientů (pokud tedy tcp_outgoing_address funguje spolu s acl), a ty pak na routeru SNATovat na ty veřejné IP adresy. Což je ale trochu divoké řešení.

Můžete ale použít konfigurační volbu forwarded_for on, Squid pak bude přidávat do HTTP požadavků hlavičku X-Forwarded-For: 192.1.2.3 (s IP adresou klienta). Pokud nějaký server potřebuje znát "parvou identitu" klienta, může si jí zjistit z této hlavičky.

[JimiK]

našel jsem nějaké hlášení bug, ale nechce se mi věřit, že to do verze 2.5 neopravili. Jak jinak řešíte veřejné ip přes squida?

[Filip Jirsák]

Věřit tomu klidně můžete, protože jak je i v té chybě psáno, je to požadavek na změnu chování, ne oprava chyby. tcp_outgoing_address slouží pro výběr IP adresy (resp. rozhraní) odchozích požadavků v případě, že je k dispozici více IP adres. Nebylo to zamýšleno k tomu, aby se IP adresa měnila pro každý požadavek.

Jak jinak řešíte veřejné ip přes squida?

Zeptám se jinak. Co chcete na veřejné IP přes Squid řešit? It just works Squid normálně komunikuje s webovými servery se svou IP adresou, pokud mu to řeknete, původní IP adresu předává v hlavičce X-Forwarded-For. Co chcete víc?

[Joe]

Chtěl bych se jen přidat k dané problematice. Řeším taky problém s nastavením SQUIDu a to takový. Mám na firmě povolené pouze ze svojí IP adresy přístup do informačního systému. Spustil jsem si tam Squid a přistupuji k němu po veřejné IP. Chci tímto způsobem rozšířit přístup do tohoto systému třeba z domova atd. Problém který řeším je ten, že ve chvíli kdy si zkontroluji s jakou IP mě vidí třeba server na http://www.showmyip.com, tak se mi objeví adresa z domova. Jde to nastavit tak aby se mi objevila adresa pracovní?
Je sice pravda že do systému se dostanu, ale proč nejsem schovaný za IP adresu Squidu?

Díky za reakce

[alanos]

Nasadil jsem squid, abych ušetřil nějaký ten traffic a zároveň nastavil logování, kvůli jednomu debilnímu zákonu :(

Mohu se zeptat kvůli kterému zákonu ? Nějak jsem to asi prošvih...

[Joe]

Využil jsem jen vlákna založeného v minulosti.
O žádný zákon mi nejde, jde mi ještě jednou o následující problém :
Chtěl bych se jen přidat k dané problematice. Řeším taky problém s nastavením SQUIDu a to takový. Mám na firmě povolené pouze ze svojí IP adresy přístup do informačního systému. Spustil jsem si tam Squid a přistupuji k němu po veřejné IP. Chci tímto způsobem rozšířit přístup do tohoto systému třeba z domova atd. Problém který řeším je ten, že ve chvíli kdy si zkontroluji s jakou IP mě vidí třeba server na http://www.showmyip.com, tak se mi objeví adresa z domova. Jde to nastavit tak aby se mi objevila adresa pracovní? Je sice pravda že do systému se dostanu, ale proč nejsem schovaný za IP adresu Squidu?

[Filip Jirsák]

Squid volitelně přidává do HTTP komunikace hlavičku X-Forwarded-For, kde je uvedena IP adresa původního počítače. Vámi použitý server zřejmě tuto hlavičku využívá a zobrazí IP adresu z ní, pokud je přítomna. Podívejte se na volbu forwarded_for.

Jinak váš dotaz nemá mnoho společného s původním dotazem a bylo by bývalo lepší založit nový dotaz.

[Joe]

Díky za radu, vše je již OK.
Příště založím nový dotaz.