Dotaz: prepinani mezi dvema proxy

[Pinky]

Dobrý den, jsem v síti(ch) kde mám přístup ke dvěma proxy, někdy ale jen k jedné, jde mi o to že si v prohlížečích nastavím IPproxy:port a pokud budu potřebovat přistupovat přez druhou jen provedu NAT v iptables (chtěl jsem provést) ale, když použiju
iptables -t nat -A PREROUTING -p tcp -d IPproxy1 --dport 3128 -j DNAT --to IPproxy2:3128
mi provede přčesměrování jenvěcí které odněku přišli
iptables -t nat -A OUTPUT -p tcp -d IPproxy1 --dport 3128 -j DNAT --to IPproxy2:3128
mi ohlasi invalid argument ,ale stejně když ho přepošlu do -j LOG tak tamtudy neprojde ani paket takže otázka zní jak měnit adresáta paketu vytvořeného na mám počítači. iptables mám jako moduly předem dík.

Odpovědi

[Zdeněk Burda]

potrebujes to jen kvuli web browseru nebo i kvuli jinym programum? pokud jen web, tak je jednodussi a lepsi pouzit rozsireni do mozilly s nazvem Switchproxy.

k tomu natu: NAT se dela v PREROUTINGu nebo POSTROUTINGu, takze ten OUTPUT tam bude spatne... (pokud placam nesmysly, tak me opravte, dik

[Pinky]

Lžeš :) v man iptables se piše že pro -t nat lze -j DNAT použít pro PREROUTING a OUTPUT o tom OUTPUT jsem se kdesi dozvěděl že tam jdou pakety pochazejici pouze z tohoto pocitace viz. stavíme firewall II na root.cz, psal jsem tam prohlížeč_e_ a ano jde o web, jde taky o to že jedna cesta vede do CZFree ktere nechci zatěžovat s webem ktery mam dostupny z jine sitě ale tam muže jen ten web a to ještě tak z pola.

[Zdeněk Burda]

to slovo "Lzes" me teda pekne urazi

[Pinky]

Posilam omluvu, a pripadne nahrazuji: namáš pravdu. dík za snahu.

[jm]

SFTW OSPF

[Zdeněk Štěpánek]

Zdravim

OSPF bych do tohohle netahal. Odkdy se pres OSPF siri proxina do prohlizece?

Ja bych nastavil v prohlizeci proxy na 127.0.0.1:3128 a pak to delal tim DNATem v preroutingu, podle me to musi jit. Oproti nejakymu podivnymu pluginu si to muzes pekne skriptovat.

asi takhle:

iptables -t nat -A PREROUTING -p tcp -d 127.0.0.1 --dport 3128 -j DNAT --to IPproxy1/2:3128

Zdenek

[Pinky]

Ja se obavám že to přez iptables vůbec nepůjde, protže cokoliv co vytvořím na lokálním stroji nejde přez PREROUTING, ověřil jsem to tak že jsem posilal věci z -t nat PREROUTING/OUTPUT/POSTROUTING do -j LOG a paket se oběvil jen u POSTROUTING! musel bych nějak přesvědčit prohlížeč aby na rozhraní 127.0.0.1 posílal pakety pro treba proxy1, pak to snad pude prez PREROUTING, jinak ten PREROUTING funguje kdyz to prijde odneku z venku, takže nešlo by to udělat třeba nějak tak že na 127...:3128 budu mit něco co posloucha a přeposila pakety (něco jako sshtunel bez sifrovani) tohle ale asi neni na iptables ale na vytvoreni vlastni proxy?
Stale mne neco rika ze jsem v iptables neco prehledl hlavne v tom OUTPUT , prez to by mneli jit veci vytvorene na lokalu!

[Martin Čížek]

DD, dát to do OUTPUTu je správné řešení. Do PREROUTINGU se to ani nedostane.

Teď proč ten příkaz nemá kýžený efekt:

1. Nemáte zcela korektní ten tcp match (viz níže). Některé verze obslužné utility iptables to skousnou, jiné ne.

2. Máte staré jádro nebo starou obslužnou utilitu iptables. Nicméně muselo/a by být hodně staré/á, neb toto fungovalo i na RH 7.2.

Ad. 1 - správná verze:

iptables -t nat -A OUTPUT -d IPproxy1 -p tcp -m tcp --dport 3128 -j DNAT --to-destination IPproxy2:3128

A nezapomeňte zkontrolovat, zda v chainu OUTPUT tabulky nat nemáte nějaký -j ACCEPT nebo -j RETURN před tímto pravidlem.

[Zdeněk Burda]

root@vodik:~# iptables --version
iptables v1.2.8
root@vodik:~# iptables -t nat -A OUTPUT -d 10.100.1.254 \
-p tcp -m tcp --dport 3128 -j DNAT --to-destination 10.100.0.1:3128
iptables: Invalid argument

[Martin Čížek]

To je divné. Používají Vaše iptables správné matchovací a targetové moduly ze správné verze? (obvykle /lib/iptables/... nebo s nějakým prefixem...) Lze ověřit pomocí ltrace. Taky by stálo za to se podívat pomocí strace, zda chybu vrací již user-space utilita nebo zda je to až výsledek nepovedené operace nad socketem, který komunikuje s jadernými iptables.

Starší RedHat

[root@cmc root]# iptables --version
iptables v1.2.8
[root@cmc root]# uname -a
Linux cmc 2.4.24-1.ll.rh73.ccrma #1 Tue Jan 6 15:22:16 PST 2004 i586 unknown
[root@cmc root]# iptables -t nat -A OUTPUT -d 10.100.1.254 \
 -p tcp -m tcp --dport 3128 -j DNAT --to-destination 10.100.0.1:3128
[root@cmc root]# # (nic=ok)

Debian testing

acer:~# iptables --version
iptables v1.2.9
acer:~# uname -a
Linux acer 2.6.8cmc #1 Sun Sep 12 01:42:55 CEST 2004 i686 GNU/Linux
acer:~# iptables -t nat -A OUTPUT -d 10.100.1.254 \
 -p tcp -m tcp --dport 3128 -j DNAT --to-destination 10.100.0.1:3128
acer:~# # (nic=ok)

[Pinky]

s
gentoo
iptables v1.2.11
se to taky tvari ze to funguje, jenze prez -t nat OUTPUT nejde to co by mnelo, log se plni je z POSTROUTING, skusim si pohrat s kernelem.

[Martin Čížek]

Teď jsem to zkoušel u sebe na svojí proxy:
iptables -t nat -A OUTPUT -d 123.123.123.123 -p tcp -m tcp --dport 3128 -j DNAT --to 192.168.4.1:3128
a funguje to naprosto OK.

PS: K tomu logu -- nezapomeňte, že v tabulce nat se pravidlo matchne jen jednou za koneksi (pro jazykové puristy "spojení"), match způsobuje pouze packet vytvářející spojení, ostatní ze spojení již ne.

[Zdeněk Burda]

mozna, ze v jadre je potreba povolit CONFIG_IP_NF_NAT_LOCAL. Nemam ted moznost zkusit prekompilovat jadro(nei cas se tim zabyvat), ale podle dokumentace to bude zrejme tim.

[Martin Čížek]

Jj, asi to tím opravdu bude -- na všech mých strojích má tato volba hodnotu "y".

[Pinky]

je to určitě tím, byla to jedna ze 3 voleb které jsem v kernelu u iptables neměl zaplé teď už jsou jen dvě finální verze:
iptables -t nat -A OUTPUT -p tcp -m tcp -d 127.0.0.1 --dport 3128 -j DNAT --to proxyN
kde N je číslo proxy, pro zvědavce funguje to i bez -m tcp a mam iptables v 1.2.11, ještě to má tu výhodu že při troše hraní si můžu přepínat proxy pro http/ftp a další zvlášť (jen se nastaví pro každou jiný port ...)