Сквид на отдельной машине. iptables.

[vet_fbi]

Дорого времени суток, друзья.

Помогите решить задачку: В сети ве машины:
1. UbuntuServer14.04. На ней NAT+DHCP+BIND. Работает в качестве роутера
2. UbuntuServer14.04. На ней не прозрачный SQUID3.
Юзвери должны ходить в инет через сервер со сквидом.

В итоге юзверь ломится на сквид, проходит авторизацию но странички не открывает и пишет ошибку ERR_CONNECTION_TIMEOUT

Я так понимаю, что нужно править iptables. Пробовал много правил и уже запарился. Помогите, пожалуйста понять что к чему.
Нужно настраивать iptables на сервере со сквидом?

Предыдущие пост:

https://forum.ubuntu.ru/index.php?topic=281904.0


Конфиг роутера:

etc/nat:

(Нажмите, чтобы показать/скрыть)

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -A INPUT -i lo -j ACCEPT

iptables -A FORWARD -i eth1 -p tcp --dport 80 -j REJECT

iptables -A FORWARD -i eth1 -o eth0 -j REJECT

iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/24 -j MASQUERADE

iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A FORWARD -i eth0 -o eth1 -j REJECT

iptables -t nat -A PREROUTING -s 192.168.0.0/24 -p tcp -m multiport --dport 80,8080,443 -j DNAT --to 192.168.0.2:3128

iptables-save:

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.21 on Thu Oct 27 09:15:07 2016
*nat
:PREROUTING ACCEPT [171:22491]
:INPUT ACCEPT [125:12695]
:OUTPUT ACCEPT [121:8169]
:POSTROUTING ACCEPT [147:9533]
-A PREROUTING ! -d 192.168.0.0/24 -i eth1 -p tcp -m multiport --dports 80,8080,443 -j DNAT --to-destination 192.168.0.2:3128
-A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
COMMIT
# Completed on Thu Oct 27 09:15:07 2016
# Generated by iptables-save v1.4.21 on Thu Oct 27 09:15:07 2016
*filter
:INPUT ACCEPT [760:104980]
:FORWARD ACCEPT [55:2952]
:OUTPUT ACCEPT [318:31480]
-A INPUT -i lo -j ACCEPT
-A FORWARD -i eth1 -o eth0 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i eth0 -o eth1 -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Thu Oct 27 09:15:07 2016

Конфиг сквида:
squid.conf:

(Нажмите, чтобы показать/скрыть)

auth_param basic program /usr/lib/squid3/basic_ncsa_auth /etc/squid3/passwd
   auth_param basic children 5
   auth_param basic realm Squid proxy-caching web server
   auth_param basic credentialsttl 2 hours
      acl password proxy_auth REQUIRED
acl localnet src 192.168.0.0/24   # RFC1918 possible internal network
acl SSL_ports port 443
acl Safe_ports port 80      # http
acl Safe_ports port 21      # ftp
acl Safe_ports port 443      # https
acl Safe_ports port 70      # gopher
acl Safe_ports port 210      # wais
acl Safe_ports port 1025-65535   # unregistered ports
acl Safe_ports port 280      # http-mgmt
acl Safe_ports port 488      # gss-http
acl Safe_ports port 591      # filemaker
acl Safe_ports port 777      # multiling http
acl CONNECT method CONNECT
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost manager
http_access deny manager
#http_access allow localnet
http_access allow password
http_access allow localhost
http_access deny all
http_port 192.168.0.1:3128
cache_mem 1024 MB
maximum_object_size_in_memory 512 KB
cache_dir ufs /var/spool/squid3 2048 16 256
maximum_object_size 4 MB
access_log daemon:/var/log/squid3/access.log squid
logfile_rotate 31
refresh_pattern ^ftp:      1440   20%   10080
refresh_pattern ^gopher:   1440   0%   1440
refresh_pattern -i (/cgi-bin/|\?) 0   0%   0
refresh_pattern (Release|Packages(.gz)*)$      0       20%     2880
refresh_pattern .      0   20%   4320

[vet_fbi]

Никто не знает что ли?

Пробовал прописывать на роутере нечто подобное взятое из другого форума:
iptables -t nat -A PREROUTING -p tcp -s $i d 0/0 --dport 80 -j DNAT --to 192.168.140.1:3128
iptables -t nat -A POSTROUTING -s $POSAD_LAN -d 192.168.140.1 -j SNAT --to $POSAD_LOCAL_IP
iptables -A FORWARD -s $POSAD_LAN -d 192.168.140.1 -p tcp --dport 3128 -j ACCEPT

безрезультатно.

[theurs]

На компьютере со сквидом интернет работает? при чем тут iptables вобще.

ping mail.ru
wget mail.ru что показывают

[vet_fbi]

theurs,

Во вложении.

[theurs]

Выхлоп из консоли в пдф файле это эпично.

Там видно что ping работает нормально а wget нет. Значит проблема на другом компе где шлюз.

Зачем там строчка?
iptables -A FORWARD -i eth1 -p tcp --dport 80 -j REJECT
она запрещает пересылать пакеты пришедшие из eth1 и направленные на tcp порт 80
Если тебе надо запретить всем кроме компа со сквидом ходить через 80 порт то правило должно выглядеть как то так
-i !192.168.0.1 -p tcp --dport 80 -j REJECT
то есть пакеты пришедшие с любого адреса кроме компа со сквидом получают отказ

Если юзеры должны ходить в интернет через непрозрачный сквид тогда зачем на шлюзе написано?
iptables -t nat -A PREROUTING -s 192.168.0.0/24 -p tcp -m multiport --dport 80,8080,443 -j DNAT --to 192.168.0.2:3128

[vet_fbi]

theurs,

Выхлоп из консоли в пдф файле это эпично

А как его еще оттуда достать?)

Строчку ptables -A FORWARD -i eth1 -p tcp --dport 80 -j REJECT
Извиняюсь. Забыл убрать. Она там на самом деле не нужна, т.к. вместо нее отрабатывает правило, которое указано вами ниже.

Строчка iptables -t nat -A PREROUTING -s 192.168.0.0/24 -p tcp -m multiport --dport 80,8080,443 -j DNAT --to 192.168.0.2:3128
А как по другому перенаправить трафик на сервер со сквидом? В предыдущей теме там указано. см. ссылку

[AnrDaemon]

А как его еще оттуда достать?

Текстом, обычным текстом.

[theurs]

А как по другому перенаправить трафик на сервер со сквидом? В предыдущей теме там указано. см. ссылку

Зачем перенаправлять трафик на сервер со сквидом? Если трафик перенаправляется на сквид значит сквид должен работать в прозрачном режиме.
Но в данном случае он вообще работать никак не будет потому что шлюз не дает компу со сквидом вообще ничего скачать по 80 порту(это видно по выхлопу команды wget mail.ru).
Пользователь добавил сообщение 28 Октября 2016, 17:03:02:

Текстом, обычным текстом.

Можно и картинкой, а вот картинка внутри пдф файла это уже что то очень странное.

[AnrDaemon]

Текст - картинкой? Разве что кордампы… Во всех остальных случаях текст, пожалуйста, в виде текста.

[vet_fbi]

theurs, Сделал. Помогли здесь: https://www.linux.org.ru/forum/admin/12976123?lastmod=1477901477571#comment-12982404