proxy transparent com squid-2.6.STABLE13

marcelomfz

Seguinte galera segui uns passos na net para configurar o proxy transparente com squid-2.6.STABLE13 mas não funcionou adicionei a linha http_port 3128 transparent , e removi as seguintes linhas
#httpd_accel_port 80
#httpd_accel_host virtual
#httpd_accel_with_proxy on
#httpd_accel_uses_host_header on
mas não funcionou oq pedeiria ta faltando pelo q li seria só isto.
Eu compilei ele para controle de banda ta funcionando bem tem restrições por horarios mas só não ta funcionando transparente. faleu

JPaulo

Você fez a NAT?
_________________
João Paulo Guimarães

marcelomfz · Enviada: Qui Mai 31, 2007 11:32 am Assunto:

sim tenho um script de firewall q tem a NAT

jasonn · Enviada: Qui Mai 31, 2007 4:33 pm Assunto:

Passe aqui a linha. Você precisa fazer a liberação da internet e no mesmo script tambem fazer o redirecionamento da porta 80 para 3128. Ae o proxy transparente vai funcionar.
_________________
Cristiano Furtado dos Santos
Gerente de Projetos de SL
Embaixador do Projeto Fedora Brasil.
Pagina Pessoal: http://jasonnfedora.eti.br

grupoander · Enviada: Qui Mai 31, 2007 4:33 pm Assunto: Também estou com mesmo problema!

O meu só navega se eu configurar o internet explorer com o proxy da rede.

E se eu tirar o proxy do internet explorer ele não navega.

O resto está rodando perfeito, os redirecionamento para as maquinas internas.. tudo ok.

Só esse detalhe..

Se Alguem puder nós ajudar, agradeço!!

jasonn · Enviada: Qui Mai 31, 2007 4:52 pm Assunto:

Então não esta transparente. O proxy transparente so funciona quando vc executa essa linha no seu script:

# TODO O TRAFEGO INTERNO MASCARADO EXTERNAMENTE.

iptables -A POSTROUTING -t nat -o $EXTERNAL_INTERFACE -j MASQUERADE

# PROXY TRANSPARENTE
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128

Com isso você roda o squid e ele vai fazer a parte dele.
Lembrando de utilizar a linha

http_port 192.168.0.1:3128 transparent
_________________
Cristiano Furtado dos Santos
Gerente de Projetos de SL
Embaixador do Projeto Fedora Brasil.
Pagina Pessoal: http://jasonnfedora.eti.br

lenrek · Enviada: Qui Mai 31, 2007 5:23 pm Assunto:

Gostei bastante dessa mudança do squid em relação ao proxy transparent. Show de bola.

Falow Wink

_________________
"A mente que se abre a uma nova idéia jamais volta ao seu tamanho original." (Albert Einstein)

jasonn · Enviada: Qui Mai 31, 2007 5:33 pm Assunto:

Nem me diga.
_________________
Cristiano Furtado dos Santos
Gerente de Projetos de SL
Embaixador do Projeto Fedora Brasil.
Pagina Pessoal: http://jasonnfedora.eti.br

grupoander · Enviada: Sex Jun 01, 2007 2:52 pm Assunto: Da uma olhada no meu iptables!

Se eu não configurar o internet explorer e naão roda como transparente!

#! /bin/sh
# description: Inicializacao do $IPTABLES
#
# chkconfig: 2345 80 30
# processname: $IPTABLES
# pidfile: /var/run/$IPTABLES.pid
#
# Grupoander - FIREWALL
. /etc/rc.d/init.d/functions
. /etc/sysconfig/network

if [ ${NETWORKING} = "no" ]
then
exit 0
fi

### V A R I A V E I S ###
export IPLAN="192.168.3.0/24"
export INTLAN="eth0"
export IPEXT="200.200.200.200/32"
export INTEXT="eth1"
export ALLIP="0/0"
export IPTABLES=`which iptables`

case "$1" in
start)
echo -n "Iniciando o serviço de FIREWALL:"

###Carregando Modulos Adicionais
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ipt_multiport

###Ativamos o redirecionamento de pacotes (requerido para NAT)
echo "1" >/proc/sys/net/ipv4/ip_forward
echo "4096" > /proc/sys/net/ipv4/ip_conntrack_max
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
for i in /proc/sys/net/ipv4/conf/*; do
echo 0 > $i/accept_redirects
echo 0 > $i/accept_source_route
echo 1 > $i/log_martians
echo 1 > $i/rp_filter;
done

############# TABELA NAT #################INICIO

###PREROUTING
$IPTABLES -t nat -P PREROUTING ACCEPT
# PcAnywhere para o SISDIA - redirecionamento
# $IPTABLES -t nat -A PREROUTING -p tcp -s <IP DO REMOTO> -d $IPEXT --dport 5060 -j DNAT --to-destination <MICRO LOCAL>
# $IPTABLES -t nat -A PREROUTING -p udp -s <IP DO REMOTO> -d $IPEXT --dport 5060 -j DNAT --to-destination <MICRO LOCAL>
# VNC - Redirecionamento
$IPTABLES -t nat -A PREROUTING -p tcp -s 0/0 -d $IPEXT --dport 5800 -j DNAT --to 192.168.3.200:5800
$IPTABLES -t nat -A PREROUTING -p tcp -s 0/0 -d $IPEXT --dport 5900 -j DNAT --to 192.168.3.200:5900

# Conectividade Social - Esta linha libera o acesso direto ao site sem redirecionar para o PROXY
$IPTABLES -t nat -A PREROUTING -s $IPLAN -d 200.201.174.0/24 -p tcp --dport 80 -j ACCEPT
# Redirecionamento das conexões da Rede Local pela porta 80 para o Proxy, porta 3128.
# Deve ser sempres a ULTIMA LINHA DE PREROUTING
$IPTABLES -t nat -A PREROUTING -p tcp -i $INTLAN --dport 80 -j REDIRECT --to-port 3128

###POSTROUTING
$IPTABLES -t nat -P POSTROUTING ACCEPT
#MASCARAMENTO ABERTO - Usar a linha abaixo nas Filiais ou Matrizes que utilizarão Internet IP FIXO,
#para ativar o mascaramento dos computadores da rede.
$IPTABLES -t nat -A POSTROUTING -o $INTEXT -j MASQUERADE

#MASCARAMENTO ABERTO - Usar a linha abaixo nas Filiais ou Matrizes que utilizarão Internet VELOX IP DINAMICO,
#para ativar o mascaramento dos computadores da rede.
# $IPTABLES -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

###OUTPUT
$IPTABLES -t nat -P OUTPUT ACCEPT

############# TABELA NAT #################FINAL

############# TABELA FILTER #################INICIO

###INPUT
$IPTABLES -t filter -P INPUT DROP
$IPTABLES -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -t filter -A INPUT --protocol tcp --tcp-flags ALL SYN,ACK -j DROP
$IPTABLES -t filter -A INPUT -i lo -j ACCEPT
$IPTABLES -t filter -A INPUT -i $INTLAN -j ACCEPT

# Logs
$IPTABLES -t filter -A INPUT -p tcp --dport 113 -j LOG --log-prefix "FIREWALL: identd "
$IPTABLES -t filter -A INPUT -p udp --dport 111 -j LOG --log-prefix "FIREWALL: rpc"

###FORWARD
$IPTABLES -t filter -P FORWARD DROP

### BLOQUEIOS ANTI-DIVERSAO
# Libera acesso ao Hotmail quando o micro é adicionado ao Nivel_MSN do Proxy - 1 linha
$IPTABLES -t filter -A FORWARD -s $IPLAN -d loginnet.passport.com -p tcp --dport 443 -j ACCEPT
$IPTABLES -t filter -A FORWARD -s $IPLAN -p tcp --dport 1863 -j REJECT
$IPTABLES -t filter -A FORWARD -s $IPLAN -d loginnet.passport.com -j REJECT
# $IPTABLES -t filter -A FORWARD -s $IPLAN -d webmessenger.msn.com -j REJECT
$IPTABLES -t filter -A FORWARD -s $IPLAN -o $INTEXT -p tcp --dport 1863:1864 -j DROP
$IPTABLES -t filter -A FORWARD -s $IPLAN -o $INTEXT -p tcp --dport 6891:6901 -j DROP
$IPTABLES -t filter -A FORWARD -s $IPLAN -o $INTEXT -p tcp --dport 5190 -j DROP
## Audio Galaxy
$IPTABLES -t filter -A FORWARD -s $IPLAN -d 64.245.58.0/23 -j REJECT
## GNUtella
$IPTABLES -t filter -A FORWARD -s $IPLAN -p tcp --dport 6346 -j REJECT
## eDonkey
$IPTABLES -t filter -A FORWARD -s $IPLAN -p tcp --dport 4661:4662 -j REJECT
$IPTABLES -t filter -A FORWARD -s $IPLAN -p udp --dport 4665 -j REJECT
## Redes de Kazaa e Morpheus
$IPTABLES -t filter -A FORWARD -s $IPLAN -p tcp --dport 1214 -j REJECT
$IPTABLES -t filter -A FORWARD -s $IPLAN -d 213.248.112.0/24 -j REJECT
$IPTABLES -t filter -A FORWARD -s $IPLAN -d 206.142.53.0/24 -j REJECT
## Red Napigator
$IPTABLES -t filter -A FORWARD -s $IPLAN -d 209.25.178.0/24 -j REJECT
## Red Napster
$IPTABLES -t filter -A FORWARD -s $IPLAN -d 64.124.41.0/24 -j REJECT
## Redes WinMX
$IPTABLES -t filter -A FORWARD -s $IPLAN -d 64.124.41.0/24 -j REJECT
## Red IMesh
$IPTABLES -t filter -A FORWARD -s $IPLAN -d 216.35.208.0/24 -j REJECT
## AIM e ICQ
$IPTABLES -t filter -A FORWARD -s $IPLAN -p tcp --dport 9898 -j REJECT
$IPTABLES -t filter -A FORWARD -s $IPLAN -p tcp --dport 5190:5193 -j REJECT
# $IPTABLES -t filter -A FORWARD -s $IPLAN -d login.oscar.aol.com -j REJECT
# $IPTABLES -t filter -A FORWARD -s $IPLAN -d login.icq.com -j REJECT
# $IPTABLES -t filter -A FORWARD -s $IPLAN -d go.icq.com -j REJECT
## Jabber
$IPTABLES -t filter -A FORWARD -s $IPLAN -p tcp --dport 5222:5223 -j REJECT
## Yahoo Messenger
$IPTABLES -t filter -A FORWARD -s $IPLAN -p tcp --dport 5000:5010 -j REJECT
# $IPTABLES -t filter -A FORWARD -s $IPLAN -d cs.yahoo.com -j REJECT
# $IPTABLES -t filter -A FORWARD -s $IPLAN -d scsa.yahoo.com -j REJECT
# Configuracao necessária
$IPTABLES -t filter -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
# As próximas 4 linhas - Bloqueiam qualquer tentativa de nova conexão de fora para esta máquina
$IPTABLES -t filter -A FORWARD -p tcp -m limit --limit 20/s -j ACCEPT
$IPTABLES -t filter -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 20/s -j ACCEPT
$IPTABLES -t filter -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 5/s -j ACCEPT
$IPTABLES -t filter -A FORWARD -j REJECT

###OUTPUT
$IPTABLES -t filter -P OUTPUT ACCEPT

############# TABELA FILTER #################FINAL
echo "........[OK]"
;;

stop)

echo -n "Parando o serviço de FIREWALL:"
$IPTABLES -F -t filter
$IPTABLES -X -t filter
$IPTABLES -Z -t filter
$IPTABLES -F -t nat
$IPTABLES -X -t nat
$IPTABLES -Z -t nat
$IPTABLES -F -t mangle
$IPTABLES -X -t mangle
$IPTABLES -Z -t mangle
$IPTABLES -t filter -P INPUT ACCEPT
$IPTABLES -t filter -P FORWARD ACCEPT
$IPTABLES -t filter -P OUTPUT ACCEPT
$IPTABLES -t nat -P PREROUTING ACCEPT
$IPTABLES -t nat -P POSTROUTING ACCEPT
$IPTABLES -t nat -P OUTPUT ACCEPT
$IPTABLES -t mangle -P PREROUTING ACCEPT
$IPTABLES -t mangle -P INPUT ACCEPT
$IPTABLES -t mangle -P FORWARD ACCEPT
$IPTABLES -t mangle -P OUTPUT ACCEPT
$IPTABLES -t mangle -P POSTROUTING ACCEPT
echo "..........[OK]"
;;

status)

echo "#####################INICIO DA TABELA FILTER#########################"
$IPTABLES -L -n -t filter | more
echo "#####################FINAL DA TABELA FILTER##########################"
echo
echo
echo "#####################INICIO DA TABELA NAT############################"
$IPTABLES -L -n -t nat | more
echo "#####################FINAL DA TABELA NAT#############################"
echo
echo
echo "#####################INICIO DA TABELA MANGLE#########################"
$IPTABLES -L -n -t mangle | more
echo "#####################FINAL DA TABELA MANGLE##########################"
;;

restart)

$0 stop
$0 start
;;

*)
gprintf "Uso: $IPTABLES (start|stop|status|restart)"
echo
;;
esac

exit