Как пропустить 21 порт в обход squid?

[Razielvamp]

Ситуевина такая:

имеем прокси Squid. Вроде б  все работает нормально, но нет доступа к ftp. В нете начиталася, что Squid вроде бы не поддерживает полноценный ftp протокол, и типа есть советы пробросить 21й порт напрямую в обход Squid.

Подскажите как это сделать? Хорош любой способ, главное результат... Сейчас заморачиваюсь с iptables, но так и не понял, как с помощью него можно пробросить порт в обход сквида...

Вобщем кто-инть сталкивался с проблемой? кто как решал?

ЗЫ если быть точным, то на ftp ресурс через squid компы не входят, пишут, что недоступен адрес.

Порт 21 на открытие естесно проверял, и сама машина, на которой стоит squid на фтп ресурс заходит

[aSmile]

продолжай с iptables заморачиваться и все получится.

[Razielvamp]

aSmile, можно какую-нить наводочку-ссылочку получить?

В инете лазил, много инфы нашел... но там все не то... там как обезопасить компутер от входящего трафика извне в основном.

А со сквидом я даже не совсем понимаю принцип настройки... iptables и squid стоят на одном компе... т.е. мне надо трафик мимо программы направлять, а не мимо некоего ип адреса.

[aSmile]

наводка - https://forum.ubuntu.ru/index.php?topic=20334.0
и тут очень подробно про iptables http://www.opennet.ru/docs/RUS/iptables/

[Mam(O)n]

Попробую угадать. На сквид, работающий в прозрачном режиме сейчас заруливается определённый трафик с помощью iptables. Тогда поправь правила таким образом, чтоб трафик по 21 порту не заворачивался на сквид, а маскардился на выходном интерфейсе. А конкретные указания к действию зависят от текущей конфигурации файрвола.

[Razielvamp]

Mam(O)n, скажу честно, я в линухе не ас, и все действия через бубен происходят, на неосознанном уровне

Но вобще ситуевина такая, что сквид я поставил первоначально, а iptables уже потом.

Iptables сейчас вообще не настроен, и пропускает весь трафик. Файрволл как таковой мне вобще не нужен, так как стоит цыска, на которой все порты из внешки заблокированны.

Единственное для чего нужен iptables это тупо пробросить 21 порт напрямую, через ip прокси (т.к. только прокся имеет выход наружу), но не затрагивая squid

ЗЫ Сетевой интерфейс всего один!

[Mam(O)n]

Iptables сейчас вообще не настроен, и пропускает весь трафик.

А тогда каким способом трафик на сквид попадает? Если на клиентах прописана прокся, то для фтп просто убери настройки.

Файрволл как таковой мне вобще не нужен, так как стоит цыска, на которой все порты из внешки заблокированны.

Файрволл это не только фильтрация трафика по портам. Это межсетевой экран. Там и NAT и еще много чего вкусного.

ip прокси

Это еще что такое? Socks?

[Razielvamp]

Еще один вопрос. почему iptables не понимает комманду --sport (--source-port)? пишет unknown option

и по комманде Iptables -h не  выдает подобных комманд

[Mam(O)n]

Понимает. Только в правильном контексте. Команду полностью приведи.

[Razielvamp]

Mam(O)n

А тогда каким способом трафик на сквид попадает? Если на клиентах прописана прокся, то для фтп просто убери настройки.

на сквиде прописан принимающий порт 3128, у браузера в свойствах прокси набирается этот порт и ипшник. И все.

Если я уберу настойки в браузере для фтп, то люди не смогут выходить во внешку, т.к. в самом конце стоит цыска, которая выпускает в инет только один ип - проксевый.
Поэтому надо чтобы люди выходили во внешку через IP-адрес прокси-сервера, но в обход сквида.

Файрволл это не только фильтрация трафика по портам. Это межсетевой экран. Там и NAT и еще много чего вкусного.

Не спорю... сижу читаю чо там можно натворить, уже бошка кругом идет. Но мне этого не надо, все прелести жизни настроены на цыске. Если бы людям не надо было на фтп выходить, то и одного сквида за глаза хватило бы, но он с фтп не фунцинклирует.

Это еще что такое? Socks?

наверное неправильно выразился я. ip прокси - всмсле что выходить через ip адрес прокси надо, т.к. выход во внешку только ей открыт.

[Mam(O)n]

Так. Туман рассеивается. То есть получается циску уже не перенастроить? Надо тогда настроить NAT на тачке со сквидом и прописать на клиентах дефолтный маршрут через эту тачку. При этом нужно не забыть перевести всех клиентов в пассивный режим ftp.

[Razielvamp]

Mam(O)n, а можно поподробнее пообщаться? может есть ICQ какой-нить?

звинюсь за назойливость если что...

[Mam(O)n]

Я свои иные контакты теперь на форумах не даю, общение в реалтайме убивает практически весь рабочий день. Предпочитаю общение через форумы.

[Razielvamp]

Mam(O)n, тоже верно

вобщем суть такая, стоит Iptables c единственной настройкой

FORWARD ACCEPT [0:0]
INPUT ACCEPT [0:0]
OUTPUT ACCEPT [0:0]

есть группа компов, предположим с интерфейсом 192.168.1.0/24. есть шлюз 192.168.1.1, этот шлюз - цыска, он пускает наружу только один компутер с ип адресом 192.168.1.2, на котором и стоит squid.

Вот 21 порт нам надо пустить мимо сквида, а все остальное оставить как есть, ибо сама прокся работает нормально.

[Mam(O)n]

Дело в том, что из за убогости протокола ftp одним портом не обойтись, и придётся маскардить все подключения. О том, как поднимать nat с помощью iptables, тут рядом только что снова пробегала эта изъезженная тема.

Зы. Вроде есть чтото вроде conntrack ftp (как точно называется не помню), который разбирает ftp протокол и делает соответствующие пробросы трафика по портам данных, но я еще это не пробовал, подсказать не могу.