Dotaz: presmerovani lokalniho portu prez iptables

[zuzzan]

zdravim, potreboval bych pichnout s timto. Na routeru je squid na portu 3128. V lokalni siti je wifi router, ktery neumi presmerovat porty, muze jen nastavit VirtualServer v jeho subnetu, coz je nevyhovujici. Potreboval bych nakopnout, jak nastavit na hlavnim routeru presmerovani prichozi 80-ky z wan tohoto wifi routeru na lokalni port squida a zase pak opacne. Diky za namety.

Odpovědi

[Filip Jirsák]

Chcete přesměrovat příchozí požadavky z internetu na port 80 toho wifi routeru na Squid? To je ta volba VirtualServer. Pokud chcete udělat transparentní proxy server pro vnitřní síť (přesměrovat požadavky na port 80 z vnitřní sítě na Squid), zvolte raději variantu netransparentního proxy serveru – bude s tím méně problémů.

[zuzzan]

Netransparentni proxy ve vnitrni siti mam, ovsem pro tenhle router by to melo byt transparentni. Bude umisten v navstevni mistnosti a neni zadouci nastavovat porty v zakaznikove notebooku. Musi to jet "nativne". V podstate chci presmerovat veskery provoz z tohoto routeru na port squidu, aby se ani nedostal do nasi vnitrni site.

[Filip Jirsák]

Přes transparentní proxy rozumně nepřevedete HTTPS, což bude čím dál větší problém – a když návštěvníkovi nabídnete přístup na web, přes který se ale nepřihlásí na GMail, spíš ho tím naštvete.

Proxy server se dá nakonfigurovat i vzdáleně, stačí k tomu jeden DNS záznam a jeden soubor vystavený na webovém serveru – Web Proxy Autodiscovery Protocol. Pokud by měl návštěvník napevno nastaveno, že se proxy server nemá používat, je za prvé dost pravděpodobné, že to bude někdo znalejší a napadne ho přepnout na automatickou konfiguraci, nebo za druhé mu můžete při pokusu o přímý přístup na web zobrazit informační stránku s popisem konfigurace.

Pokud se nemá návštěvník dostat do vnitřní sítě a nemůžete to nakonfigurovat na firewallu v tom wifi routeru, budete muset ten wifi router s routerem propojit zvláštní linkou (ne přes switch s dalšími počítači ve vaší síti). Na routeru pak povolte průchod pro DNS, na Squid a váš webserver, udělejte tam přesměrování z cílového portu na web server s informační stránkou, a ostatní zakažte.

Nějak takhle (nezkoušel jsem to, je to jen pro inspiraci):

iptables -A FORWARD -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -p tcp --dport 53 -j ACCEPT
iptables -A FORWARD -p tcp --dport 3128 -d $IP_Squidu -j ACCEPT
iptables -A FORWARD -p tcp --dport 80 -d $IP_Web_serveru -j ACCEPT
iptables -P FORWARD REJECT
iptables -t nat -A PREROUTING -p tcp --dport 80 -s $wifi_sit -D !$IP_Web_serveru -j DNAT --to-destination $IP_Web_serveru

Při konfiguraci web serveru a přesměrování je potřeba dát pozor na to, aby nekolidovala informační stránka o konfiguraci proxy (která se zobrazí při přímém přístupu na web) a soubor pro WPAD.