dansguardian + squid + itables не получается связать

[svich123]

Добрый день. Настраиваю шлюз с контентной фильтрацией. Шлюз - обычный комп с 2 сетевыми. Подключение через ADSL модем настроеный бриджем.2 сетевые.
настройки сети

(Нажмите, чтобы показать/скрыть)

# This file describes the network interfaces available on your system
#and how to activate them. For more information, see interfaces(5).
# The loopback network interface
auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
   address 192.168.1.201
   netmask 255.255.255.0
   dns-nameservers 87.103.168.71 87.103.169.242
   post-up iptables-restore < /etc/iptables.up.rules
#   post-up iptables-restore < /etc/iptables.up.rules

auto eth1
iface eth1 inet static
   address 192.168.0.49
   netmask 255.255.255.0
#   dns-nameservers 87.103.168.71 87.103.169.242


auto dsl-provider
iface dsl-provider inet ppp
pre-up /sbin/ifconfig eth1 up # line maintained by pppoeconf
provider dsl-provider

где eth0 - подключена в свич локалки
eth1 - подключена к модему

вывод ifconfig -a после подключения

(Нажмите, чтобы показать/скрыть)

eth0      Link encap:Ethernet  HWaddr 14:d6:4d:1c:9e:a7 
          inet addr:192.168.1.201  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::16d6:4dff:fe1c:9ea7/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:2318617 errors:0 dropped:0 overruns:0 frame:0
          TX packets:3356756 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:403352549 (403.3 MB)  TX bytes:3417629263 (3.4 GB)
          Interrupt:19 Base address:0xc00

eth1      Link encap:Ethernet  HWaddr 00:25:22:75:35:26 
          inet addr:192.168.0.49  Bcast:192.168.0.255  Mask:255.255.255.0
          inet6 addr: fe80::225:22ff:fe75:3526/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:2850520 errors:0 dropped:0 overruns:0 frame:0
          TX packets:2473024 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:2772247185 (2.7 GB)  TX bytes:374923090 (374.9 MB)
          Interrupt:27 Base address:0x8000

lo        Link encap:Local Loopback 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:4947673 errors:0 dropped:0 overruns:0 frame:0
          TX packets:4947673 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:3437571349 (3.4 GB)  TX bytes:3437571349 (3.4 GB)

ppp0      Link encap:Point-to-Point Protocol 
          inet addr:x.x.x.x  P-t-P:x.x.x.x  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1492  Metric:1
          RX packets:1376394 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1155692 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3
          RX bytes:1362995445 (1.3 GB)  TX bytes:140960530 (140.9 MB)

squid.conf

(Нажмите, чтобы показать/скрыть)

acl all src all
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32
acl localnet src 192.168.1.0/24   # RFC1918 possible internal network
acl SSL_ports port 443      # https
acl Safe_ports port 80      # http   
acl Safe_ports port 1935      # http_veb
acl Safe_ports port 3128   #http over 3128
acl Safe_ports port 9080   #http new
acl Safe_ports port 21      # ftp
acl Safe_ports port 443      # https
acl Safe_ports port 280      # http-mgmt
acl Safe_ports port 488      # gss-http
acl Safe_ports port 631      # cups
acl Safe_ports port 901      # SWAT

#acl SSL_ports  port 1025-65000   #torrent
#acl torrent_port port 1025-65000
#acl time21-23 time 17:00-07:00
#http_access allow torrent_port #time21-23

acl purge method PURGE
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports

#http_access deny CONNECT !SSL_ports
http_access allow localnet
http_access allow localhost
http_access deny all
icp_access allow localnet
icp_access deny all
http_port 127.0.0.1:3128 transparent
hierarchy_stoplist cgi-bin ?
cache_dir ufs /var/spool/squid 10240 32 256
access_log /var/log/squid/access.log squid
refresh_pattern ^ftp:      1440   20%   10080
refresh_pattern ^gopher:   1440   0%   1440
refresh_pattern -i (/cgi-bin/|\?) 0   0%   0
refresh_pattern (Release|Package(.gz)*)$   0   20%   2880
refresh_pattern .      0   20%   4320
acl shoutcast rep_header X-HTTP09-First-Line ^ICY.[0-9]
upgrade_http0.9 deny shoutcast
acl apache rep_header Server ^Apache
broken_vary_encoding allow apache
extension_methods REPORT MERGE MKACTIVITY CHECKOUT
 error_directory /usr/share/squid/errors/ru
hosts_file /etc/hosts
 memory_pools_limit 15 MB
coredump_dir /var/spool/squid
cache deny SSL_ports Safe_ports

iptables

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Wed Mar 14 15:45:04 2012
*mangle
:PREROUTING ACCEPT [22416:11184383]
:INPUT ACCEPT [22413:11184299]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [23915:11876570]
:POSTROUTING ACCEPT [23915:11876570]
COMMIT
# Completed on Wed Mar 14 15:45:04 2012
# Generated by iptables-save v1.4.4 on Wed Mar 14 15:45:04 2012
*filter
:INPUT ACCEPT [22413:11184299]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [23915:11876570]
COMMIT
# Completed on Wed Mar 14 15:45:04 2012
# Generated by iptables-save v1.4.4 on Wed Mar 14 15:45:04 2012
*nat
:OUTPUT ACCEPT [0:0]
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -p tcp -m tcp -i eth0 --dport 80 -j DNAT --to-destination 192.168.1.201:8080
-A PREROUTING -p tcp -m tcp -i eth0 --dport 80 -j REDIRECT --to-ports 8080
-A POSTROUTING -o ppp0 -j MASQUERADE
-A PREROUTING -p tcp -m tcp -i eth0 --dport 3128 -j DNAT --to-destination 192.168.1.201:8080
-A PREROUTING -p tcp -m tcp -i eth0 --dport 3128 -j REDIRECT --to-ports 8080
COMMIT
# Completed on Wed Mar 14 15:45:04 2012


dansguardian.conf

(Нажмите, чтобы показать/скрыть)

reportinglevel = 2
languagedir = '/etc/dansguardian/languages'
language = 'russian-1251'
loglevel = 3
logexceptionhits = 2
logfileformat = 2
loglocation = '/var/log/dansguardian/access.log'
statlocation = '/var/log/dansguardian/stats'
filterip =192.168.1.201
filterip =127.0.0.1
filterport = 8080
proxyip =127.0.0.1
proxyport = 3128
accessdeniedaddress = 'http://192.168.1.201/cgi-bin/dans-convert.pl'
nonstandarddelimiter = on
usecustombannedimage = on
custombannedimagefile = '/usr/share/dansguardian/transparent1x1.gif'
filtergroups = 1
filtergroupslist = '/etc/dansguardian/lists/filtergroupslist'
bannediplist = '/etc/dansguardian/lists/bannediplist'
exceptioniplist = '/etc/dansguardian/lists/exceptioniplist'
showweightedfound = on
weightedphrasemode = 2
urlcachenumber = 1000
urlcacheage = 900
scancleancache = on
phrasefiltermode = 2
preservecase = 2
hexdecodecontent = on
forcequicksearch = on
reverseaddresslookups = off
createlistcachefiles = on
maxuploadsize = -1
maxcontentfiltersize = 256
maxcontentramcachescansize = 2000
maxcontentfilecachescansize = 20000
filecachedir = '/tmp'
deletedownloadedtempfiles = on
initialtrickledelay = 20
trickledelay = 10
downloadmanager = '/etc/dansguardian/downloadmanagers/fancy.conf'
downloadmanager = '/etc/dansguardian/downloadmanagers/default.conf'
contentscanner = '/etc/dansguardian/contentscanners/clamav.conf'
contentscannertimeout = 60
contentscanexceptions = off
recheckreplacedurls = off
forwardedfor = on
usexforwardedfor = on
logconnectionhandlingerrors = on
logchildprocesshandling = off
maxchildren = 120
minchildren = 8
minsparechildren = 4
preforkchildren = 6
maxsparechildren = 32
maxagechildren = 500
maxips = 0
ipcfilename = '/tmp/.dguardianipc'
urlipcfilename = '/tmp/.dguardianurlipc'
ipipcfilename = '/tmp/.dguardianipipc'
nodaemon = off
nologger = off
softrestart = off
mailer = '/usr/sbin/sendmail -t'

Теперь собственно вопрос. Насколько я разобрался у меня должен быть прозрачный прокси с контентной фильтрацией, однако прозрачности нет. При введенных настройках прокси в браузер все фильтруется и работает, а без этих настроек работать отказывается. Куда копать?

[koshev]

В такой связке squid не должен быть прозрачным.

[svich123]

эм. это технически невозможно или так не делают из за проблем с безопасностью, сложностью и т.д?
то есть не должен или не может? и если не долже то что добавить убрать?

[koshev]

не должен или не может?

Не может, вы правы - это точнее.

[school13]

Для настройки прозрачного прокси-сервера + itables +dansguardian воспользуйтесь следующими инструкциями:
http://interface31.ru/tech_it/2009/11/linux-nastrojka-routera-nat-dhcp-squid.html
и
http://interface31.ru/tech_it/2010/03/ubuntu-server-nastraivaem-kontent-fil-tr-routera-dansguardian.html
у меня всё работает именно благодаря этим рекомендациям (прозрачный прокси-сервер+контент-фильтр).

[koshev]

Убери эту писанину. У ТС ошибка всего в одной строке, и я указал какая.

[svich123]

погоди. не может или у меня ошибка?
если не может то transparent убрать (хотя разницы не будет), а если ошибка ткни носом

 2 school13 делал по ним же. но то ли проглядел то ли не учел чего то.

[koshev]

погоди. не может или у меня ошибка?

На самом деле не одна. Кроме того что сквид в такой связке может работать только как обычный прокси, ( разница будет ) в iptables тоже интересно:

Код: (bash) [Выделить]

*nat
:OUTPUT ACCEPT [0:0]
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -p tcp -m tcp -i eth0 --dport 80 -j REDIRECT --to-ports 8080
-A PREROUTING -p tcp -m tcp -i eth0 --dport 3128 -j DNAT --to-destination 192.168.1.201:8080
-A PREROUTING -p tcp -m tcp -i eth0 --dport 3128 -j REDIRECT --to-ports 8080Смысл вот этих строчек я никак не могу понять.
Есть уже DNAT как бэ, а коли уж хочется порезать всё, то зачем MASQUERADE? И да, в такой конструкции сетевые реквизиты хоста (тот, что в локальной сети) ничем не отличаются от того, если бы был просто NAT, т.е IP,Mask,DegautGate,DNS.
PS SQUID можно вообще в этом случае выкинуть, и поставить 3proxy.

[Ankor]

Кхм.. А можно просьбу к автору темы?
Выложите, пожалуйста скрипт, которым Вы поднимаете сетевые интерфейсы. Мне, конечно, пофиг, и я могу каждый раз выполнять iptables-restore, но это вроде как-то не совсем правильно ведь?