помогите с правилом iptables

[kolesov]

Всем доброго времени!
есть такое правило:

Код: [Выделить]

iptables -t nat -A PREROUTING -s 172.16.11.0/24 -i br1 -p tcp --dport 80  \
       -j REDIRECT --to-ports 3128
т.е. трафик из сети 172.16.11.0/24 заворачивется на порт squid.
но есть одна деталь -  трафик из 172.16.11.0/24 адресованный в сеть  172.16.10.0/24 с того же интерфейса, по тому же порту, не должен заворачиваться на сквид, а идти прямо в означенную сеть. при этом указанное выше правило тоже должно работать. как должно писаться правило?
пробовал:

Код: [Выделить]

iptables -A PREROUTING -s 172.16.11.0/24 -d 172.16.10.0/24 -j ACCEPTне работает.

[koshev]

(Нажмите, чтобы показать/скрыть)

Вариант 1. Классический.

Код: (text) [Выделить]

iptables -t nat -N SQUID
iptables -t nat -A PREROUTING -i br1 -p tcp --dport 80 -s 172.16.11.0/24 -j SQUID
iptables -t nat -A SQUID ! -d 172.16.10.0/24 -j REDIRECT --to-ports 3128Вариант 2. Продвинутый.

Код: (text) [Выделить]

ipset -N net_src hash:net
ipset -N net_dst hash:net
ipset -A net_src 172.16.11.0/24
ipset -A net_dst 172.16.10.0/24
iptables -t nat -N SQUID
iptables -t nat -A PREROUTING -i br1 -p tcp --dport 80 -m set --match-set net_src src -j SQUID
iptables -t nat -A SQUID -p tcp -m set ! --match-set net_dst dst -j REDIRECT --to-ports 3128

[fisher74]

пробовал:

Код: [Выделить]

iptables -A PREROUTING -s 172.16.11.0/24 -d 172.16.10.0/24 -j ACCEPTне работает.

Естественно, таблица-то другая

Может лучше так?

iptables -t nat -A PREROUTING -s 172.16.11.0/24 ! -d 172.16.11.0/24 -p tcp --dport 80 -j REDIRECT --to-ports 3128

[kolesov]

fisher74, пробую ваше правило но того что хотел получить, не получается. проблема в том, что в сети 172.16.10.0/24 находятся разные web ресурсы конторы, и при редиректе в ту сеть сквид ругается: Невозможно определить IP-адрес по имени узла "бла-бла-бла". Поэтому я и хотел пустить запросы из 172.16.11.0 в 172.16.10.0/24 мимо сквида.   

[AnrDaemon]

Явно squid смотрит на какой-то левый DNS сервер. Лечите его в первую очередь. Потом будете лечить редиректы.

[kolesov]

в моем squid.conf dns нигде не прописан.

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

http_port 3128 transparent

#dns_nameservers 127.0.0.1

access_log /var/log/squid3/access.log

acl managers src "/home/user/squid_lists/managers"
http_access allow managers

acl LocalNet src 172.16.11.0/255.255.255.0

acl  bad_urls  dstdomain  "/home/user/squid_lists/bad_urls"
http_access   deny   LocalNet   bad_urls

#acl bad_net dstdomain "/home/user/squid_lists/bad_net"
#http_access deny LocalNet bad_net

acl bad_files url_regex -i "/home/user/squid_lists/bad_files"
http_access deny LocalNet bad_files

#acl local-servers dstdomain .domain.ru .domain.local.ru .domain.local
#http_direct allow local-servers


http_access allow LocalNet
http_access deny all

#cache_mem 512 MB
#cache_dir ufs /home/user/squid_cache/cache 4096 32 256


где еще можно увидеть куда смотрит сквид?
задача в том, чтобы локальные ресурсы нормально отображались.
мне казалось, что заворот локальных запросов мимо сквида должно решать проблему.

[AnrDaemon]

в моем squid.conf dns нигде не прописан.

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

http_port 3128 transparent

dns_nameservers 127.0.0.1

access_log /var/log/squid3/access.log

acl managers src "/home/гыук/squid_lists/managers"
http_access allow managers

acl LocalNet src 172.16.11.0/255.255.255.0

acl  bad_urls  dstdomain  "/home/user/squid_lists/bad_urls"
http_access   deny   LocalNet   bad_urls

#acl bad_net dstdomain "/home/user/squid_lists/bad_net"
#http_access deny LocalNet bad_net

acl bad_files url_regex -i "/home/kirill/squid_lists/bad_files"
http_access deny LocalNet bad_files

#acl local-servers dstdomain .domain.ru .domain.local.ru .domain.local
#http_direct allow local-servers


http_access allow LocalNet
http_access deny all

#cache_mem 512 MB
#cache_dir ufs /home/user/squid_cache/cache 4096 32 256


где еще можно увидеть куда смотрит сквид?

В системе... очевидно...

задача в том, чтобы локальные ресурсы нормально отображались.
мне казалось, что заворот локальных запросов мимо сквида должно решать проблему.

- Доктор, когда я делаю вот так - у меня болит тут.
- А вы "вот так" не делайте.

[kolesov]

ну да...  проблема была в указании DNS, прописал в интерфейсах (соответственно resolve.conf) и все стало ок.