iptables -s 192.168.0.1/24 ! -s 192.168.0.1 как это сделать?

[AAXEE]

Здравствуйте!
Локальная сеть выходит в интернет через машину с прозрачным squid. На этой же машине стоит веб сервер(apache2), к которому должны иметь доступ пользователи локальной сети. На этот веб сервер прикручен sams2 для блокирования некоторых страниц.
Сейчас настроено так:
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j SNAT --to-source <внешний ip>
iptables -t nat -A PREROUTING -s 192.168.0.0/24 ! -d 192.168.0.1 -i eth1 -p tcp -m multiport --dport 80,8080 -j REDIRECT --to-ports 3128

И вроде бы абсолютно все работает как надо, но имеет место следующее:
Факт 1. Заходим из локалки на заблокированный сайт(вместо него указана заглушка http://localhost/sams2/messages/blocked.php)  и вместо странички заглушки видим:

Код: [Выделить]

Not Found

The requested URL /sams2/messages/blocked.php was not found on this server.
Apache Server at localhost Port 80Факт 2. Указываем адресом заглушки http://<внешний ip>/sams2/messages/blocked.php.
Тогда страничка заглушки грузится, но не грузится изображение на этой страничке.
Факт 3. Если указать адресом заглушки http://192.168.0.1/sams2/messages/blocked.php, то долго долго пытается установить соединение, но не выходит.

Во всех трех вариантах, если обратится напрямую по адресу http://192.168.0.1/sams2/messages/blocked.php или http://<внешний ip>/sams2/messages/blocked.php, то все грузится как надо.

Мои подозрения: когда веб сервер обращается сам к себе у него адресом источника является 192.168.0.1  и он по правилу iptables попадает на сквид, а сквид его перебрасывает на веб-сервер провайдера. И думаю, что надо бы к правилу iptables -t nat -A PREROUTING -s 192.168.0.0/24 ! -d 192.168.0.1 -i eth1 -p tcp -m multiport --dport 80,8080 -j REDIRECT --to-ports 3128 припсать ! -s 192.168.0.1, но дважды -s в правиле нельзя писать.
Везде где я упоминал провайдера на самом деле стоит другой прокси сервер, тоже с апачем. Но в контексте вопроса, это не имеет значения.

Верны ли мои подозрения? Если нет, то в чем дело?
Если верны, то как изменить правила? Так чтобы адресом источника во втором правиле была указана вся подсеть, кроме сервера.
Спасибо!

[fisher74]

Неверные предположения. траффик с локального приложения не попадает в цепочку PREROUTING таблицы nat

[AAXEE]

Только что проверил вот что. Попробовал обратится к моему серверу и запросить страничку другую, которой точно нет.
В итоге в сообщении об ошибке был указан Apache/2.2.16 (Debian) Server

А если поглядеть на факт 1, то там выводится просто Apache Server. Из чего делаю вывод, что запросы действительно перенаправляются дальше на сервер "провайдера", а не обрабатывается на моем сервере.
Пользователь решил продолжить мысль 27 Июля 2011, 11:57:22:Может в днс проблема?

Код: [Выделить]

cat /etc/resolv.conf
nameserver 127.0.0.1
nameserver <адрес провайдера>

cat /etc/hosts
127.0.0.1       localhost servername
192.168.0.1   servername
<внешний ip> servername

cat dnsmasq.conf
listen-address=127.0.0.1,192.168.0.1


[fisher74]

Может всё-таки конфиги апача и кальмара покажете? или так и будем в угадайку играть и читать Ваши ..ммм... какбы помягче.... идеи?

[AAXEE]

Конфиги апача вообще не трогал, все по умолчанию, только sams сам сделал себе один файл.

cat /etc/apache2/apache2.conf

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

LockFile ${APACHE_LOCK_DIR}/accept.lock
PidFile ${APACHE_PID_FILE}
Timeout 300
KeepAlive On
MaxKeepAliveRequests 100
KeepAliveTimeout 15

<IfModule mpm_prefork_module>
    StartServers          5
    MinSpareServers       5
    MaxSpareServers      10
    MaxClients          150
    MaxRequestsPerChild   0
</IfModule>

<IfModule mpm_worker_module>
    StartServers          2
    MinSpareThreads      25
    MaxSpareThreads      75
    ThreadLimit          64
    ThreadsPerChild      25
    MaxClients          150
    MaxRequestsPerChild   0
</IfModule>

<IfModule mpm_event_module>
    StartServers          2
    MaxClients          150
    MinSpareThreads      25
    MaxSpareThreads      75
    ThreadLimit          64
    ThreadsPerChild      25
    MaxRequestsPerChild   0
</IfModule>

User ${APACHE_RUN_USER}
Group ${APACHE_RUN_GROUP}

AccessFileName .htaccess

<Files ~ "^\.ht">
    Order allow,deny
    Deny from all
    Satisfy all
</Files>


DefaultType text/plain
HostnameLookups Off
ErrorLog ${APACHE_LOG_DIR}/error.log
LogLevel warn

Include mods-enabled/*.load
Include mods-enabled/*.conf

Include httpd.conf

Include ports.conf

LogFormat "%v:%p %h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" vhost_combined
LogFormat "%h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" combined
LogFormat "%h %l %u %t \"%r\" %>s %O" common
LogFormat "%{Referer}i -> %U" referer
LogFormat "%{User-agent}i" agent

Include conf.d/

Include sites-enabled/


cat /etc/apache2/ports.conf

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

NameVirtualHost *:80
Listen 80

<IfModule mod_ssl.c>
    # If you add NameVirtualHost *:443 here, you will also have to change
    # the VirtualHost statement in /etc/apache2/sites-available/default-ssl
    # to <VirtualHost *:443>
    # Server Name Indication for SSL named virtual hosts is currently not
    # supported by MSIE on Windows XP.
    Listen 443
</IfModule>

<IfModule mod_gnutls.c>
    Listen 443
</IfModule>


cat /etc/apache2/conf.d/apache.sams2.conf

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

Alias /sams2 /usr/share/sams2

<Directory /usr/share/sams2/>
        Options +FollowSymLinks
        AllowOverride All
        order allow,deny
        allow from all
</Directory>


cat /etc/apache2/sites-available/default

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

<VirtualHost *:80>
        ServerAdmin webmaster@localhost

        DocumentRoot /var/www
        <Directory />
                Options FollowSymLinks
                AllowOverride None
        </Directory>
        <Directory /var/www/>
                Options Indexes FollowSymLinks MultiViews
                AllowOverride None
                Order allow,deny
                allow from all
        </Directory>

        ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/
        <Directory "/usr/lib/cgi-bin">
                AllowOverride None
                Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch
                Order allow,deny
                Allow from all
        </Directory>

        ErrorLog ${APACHE_LOG_DIR}/error.log

        # Possible values include: debug, info, notice, warn, error, crit,
        # alert, emerg.
        LogLevel warn

        CustomLog ${APACHE_LOG_DIR}/access.log combined

    Alias /doc/ "/usr/share/doc/"
    <Directory "/usr/share/doc/">
        Options Indexes MultiViews FollowSymLinks
        AllowOverride None
        Order deny,allow
        Deny from all
        Allow from 127.0.0.0/255.0.0.0 ::1/128
    </Directory>

</VirtualHost>


sites-enables/000-default является симлинком для sites-available/default
httpd.conf пустой

cat /etc/squid/squid.conf

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl all src 0.0.0.0/0
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32

#change1 - localnet
acl local_net src 192.168.0.0/24

acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT

http_access allow manager localhost
http_access deny manager

http_access deny !Safe_ports

http_access deny CONNECT !SSL_ports

http_access allow localhost

#change2 - allow localnet
http_access allow local_net

http_access deny all

#change3 transparent
http_port 192.168.0.1:3128 transparent

#change3.5 parentproxy
cache_peer 111.111.111.111 parent 3128 3130 no-query default
never_direct allow all

redirect_program /usr/bin/samsredir

hierarchy_stoplist cgi-bin ?

coredump_dir /var/spool/squid

#cache
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern . 0 20% 4320

#change4 - files
refresh_pattern \.deb$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.rpm$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.bz2$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.exe$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.gif$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.png$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.bmp$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.gz$           43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.ico$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.jpg$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.mid$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.mp3$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.pdf$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.swf$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.tar$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.tgz$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.zip$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.rar$          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache


#change5 - ads banners
refresh_pattern http://ad\.                        43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://ads\.                       43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://adv\.                       43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://click\.                     43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://count\.                     43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://counter\.                   43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://engine\.                    43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://img\.readme\.ru             43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://userpic\.livejournal\.com   43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.ru/bf-analyze                    43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.ru/bf-si                         43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern /advs/                             43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern /banners/                          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern /cgi-bin/iframe/                   43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache

#change6 - win updates
refresh_pattern windowsupdate.com/.*\.(cab|exe) 4320 100% 43200 reload-into-ims
refresh_pattern download.microsoft.com/.*\.(cab|exe) 4320 100% 43200 reload-into-ims
refresh_pattern microsoft 1080 150% 10080 override-lastmod
refresh_pattern msn\.com 4320 150% 10080 override-lastmod

#change7 cache sizes
cache_dir ufs /var/spool/squid 20480 16 256
maximum_object_size 256 MB

cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log

[fisher74]

Пока некогда ковыряться... Попробуйте добавить в squid.conf

Код: [Выделить]

always_direct allow localhostчтобы запрос к локальному http-серверу однозначно не отправлял на родительский прокси

[AAXEE]

К сожалению это не помогло. Никаких изменений.