Dotaz: Squid - transparentní proxy - nefunguje

[MoPe]

Řeším dlouho problém s nastavením Squidu jako transparentní proxy a již si nevím rady. Článků a návodů jsem přečetl a otestoval mnoho, výsledek je pořád špatný. Mám server Ubuntu, dvě síťovky (Lan a Wan), LAN server 192.168.3.1, kde je Squid v.3x. Pokud v konfiguraci Squid napíšu http_port 192.168.3.1:3128 transparent, tak mi nejde internet v PC Lan. Pokud neuvedu do konfiguráku transparent a pc v Lan nastavím adresu proxy, tak vše funguje.

V iptables (nat) mám uvedeno:

-A PREROUTING -i LAN -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.3.1:3128

-A PREROUTING -i WAN -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128

-A POSTROUTING -s 192.168.3.0/24 -o WAN -j MASQUERADE

V cache.logu je hláška ERROR: No forward-proxy port configured. Nevím, kde je chyba (pořád ji nevidím). Můžete mi poradit?

---

---

Odpovědi

[vidorel]

Předpokládám, že SQUID naslouchá na adrese LAN rozhraní.

Potom by mělo fungovat toto.

iptables -t nat -A PREROUTING -i $LAN -p tcp --destination-port 80 -j REDIRECT --to-ports 3128

Nicméně pro budoucnost je použití proxy na http protokolu téměř zbytečné.

[OldFrog {Ondra Nemecek}]

Nicméně pro budoucnost je použití proxy na http protokolu téměř zbytečné.

To by asi chtělo vysvětlit. IMHO se najdou způsoby použití, kdy to zbytečné není (možná se ale netýkají Squid - nesleduji ho, nevím co dnes umí).

[vandrovnik]

Asi tím myslel, že stejně skoro všechno běhá na https.

[lertimir]

Paket, který směřuje z webového serveru na klienta (WAN) má port 80 jako source port ne destination.

[MoPe]

V nat jsem vše vymazal a napsal doporučený zápis, ale nefachá. Squid má v konfigu uvedenou lan síť - takže by měl na ni naslouchat. Někde mám chybu, ale nevím, kde nebo jak ji mám hledat.

[lertimir]

Simulovat si konfiguraci nebudu, ale standardní rada je: Nejdříve provést diagnostiku co se vlastně děje. Takže spustit tcpdump nebo jiný analyzátor paketů. V iptables spustit nějaké logování paketů a spustit logování v proxy. Pak budeš mít stopu každého paketu a můžeš uvažovat co je blbě. Ale podle mne potřebuješ alepoň 4 pravidla.

• Paket z vnitřní sítě poslat do proxy
• paket z proxy do vnější sítě prohnat maškarádou a poslat ven
• Paket z vnejší sítě poslat přes maškarádu do proxy
• A paket z proxy do vnitřní sítě posalt na místo a také musíš udělat překlad, aby si systém nemyslel, že příchází od proxy, nýbrž z přímého směru (ale to asi dělá samotná proxy v transparent modu).

[MoPe]

Vyřešeno, diagnostika pomohla, problém byl jinde. Doplnil jsem do sysctl.conf řádek net.ipv4.ip_forward = 1 a po restartu OK.