Правильная настройка Squid, Samba, Cups

[senao]

Добрый день, прошу сильно не пинать но толку не хватило ((( Есть Ubuntu 12.04, под рукой сервер версии не было пришлось ставить обычную, доустановленны: Samba, Squid и Cups. Samba. Самба работает, но надо разделение доступа Публичная папка и папка для пользователей по паролю, создал пользователей в системе, добавил их в самбу, один нормально заходит а второму все время пишет отказано в доступе.
Про Squid тут тоже стоит задача такая: чтобы простым смертным блокировало сайты а кому то был доступ ко всему, можно даже по IP организовать или пароль, но как это сделать Squide, ну и чтоб он пропускал через себя только порты 80 и 8080 остальное можно и на прямую пустить, хоть он и сделан прозрачным но на некоторые программы приходится прописывать прокси отдельно.
Ну а Cups ничего не понятно, добавляю принтер в Windows http://192.168.0.1:631/printers/name в XP добавляется и печатает без проблем а в Висте не хочет даж добавиться и в Семерке тоже


Конфиги приложены в архиве. Буду благодарен за любые подсказки в направлении


Приложено smb.conf и squid.conf подправить если что не так скажите.

RC local

(Нажмите, чтобы показать/скрыть)

#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing
iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:3128

iptables -t nat -A PREROUTING -i ppp0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128


iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.0.1:3128

iptables -t nat -A PREROUTING -i ppp0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128


iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 443 -j DNAT --to-destination 192.168.0.1:3128

iptables -t nat -A PREROUTING -i ppp0 -p tcp -m tcp --dport 443 -j REDIRECT --to-ports 3128


exit 0

Пользователь решил продолжить мысль 09 Января 2013, 08:55:27:Подправил конфиг Squid, остался вопрос: как правильно сделать перенаправление чтобы вс е шло через прокси скажем кроме почтовых портов, с ними сквид вроде не умеет работать.

iptables -t nat -A PREROUTING -i eth1 -p tcp -m multiport --dport 80,8080,5190,21,443, -j DNAT --to 192.168.0.1:3128

Я конечно понимаю что проще будет наверное на виндовых машинах прописать просто прокси, но не хочется по ним бегать, а некоторые программы нее хотят работать пока им прокси не укажешь((((

(Нажмите, чтобы показать/скрыть)

# Squid normally listens to port 3128

http_port 192.168.0.1:3128 intercept

acl ru url_regex "/etc/squid3/ru.acl"
acl com url_regex "/etc/squid3/com.acl"
acl org url_regex "/etc/squid3/org.acl"
acl net url_regex "/etc/squid3/net.acl"

acl allowed_src_ip src "/etc/squid3/allowed_src_ip"

http_access deny ru !allowed_src_ip
http_access deny com !allowed_src_ip
http_access deny org !allowed_src_ip
http_access deny net !allowed_src_ip

acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1

#http_access allow allowed_src_ip

# Example rule allowing access from your local networks.
# Adapt to list your (internal) IP networks from where browsing
# should be allowed
#acl localnet src 10.0.0.0/8    # RFC1918 possible internal network
#acl localnet src 172.16.0.0/12 # RFC1918 possible internal network

acl localnet src 192.168.0.0/24 # RFC1918 possible internal network

#acl localnet src fc00::/7       # RFC 4193 local private network range
#acl localnet src fe80::/10      # RFC 4291 link-local (directly plugged) machines

acl Safe_ports port 5190      #ICQ
acl SSL_ports port 443        # https
acl SSL_ports port 563        # snews
acl SSL_ports port 873        # rsyn
acl Safe_ports port 80        # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 631        # cups
acl Safe_ports port 873        # rsync
acl Safe_ports port 901        # SWAT
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl CONNECT method CONNECT

# Only allow cachemgr access from localhost
http_access allow manager localhost
http_access deny manager

# Deny requests to certain unsafe ports
http_access deny !Safe_ports

# Deny CONNECT to other than secure SSL ports
http_access deny CONNECT !SSL_ports

# from where browsing should be allowed
http_access allow localnet
http_access allow localhost

# And finally deny all other access to this proxy
http_access deny all

#Cache Local
acl Local dst 192.168.0.0/24
no_cache deny Local

#POST
acl post method POST
http_access allow post localnet
redirector_access allow !post

#Default:
cache_mem 256 MB

На Висте получилось через Cups настроить, на семерке не хочет, пришлось добавить принтеры через самбу, пусть пока что так и будет.

[senao]

Samba заработала, переименовал компьютер у пользователя с русского имени на английский и стала пускать, ну хоть так .

Печать на Windows 7 Starter путем добавления пути  http://192.168.0.1:631/printers/name  так и не получилась, пришлось направить через самбу,  Cups 1.5.3  версия, может обновление его поможет... Может подскажет кто, где найти сборки под 12.04?

[senao]

Правильно ли я понимаю, если сделаю правила в iptables:

iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:3128
iptables -t nat -A PREROUTING -i ppp0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128

iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.0.1:3128
iptables -t nat -A PREROUTING -i ppp0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128

iptables -F
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i eth0 -o eth0 -j REJECT
iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

А в nano /etc/sysctl.conf раскоментирую net.ipv4.ip_forward=1

Получится шлюз который все пропускает а порты 80 и 8080 направляет на сквида?

[AnrDaemon]

Вы уже определитесь, DNAT или REDIRECT

[senao]

iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:3128

Здесь получаем адрес места назначения с интерфейса eth1(локальной сети) 80 порт на 192.168.0.1 и порт 3128


iptables -t nat -A PREROUTING -i ppp0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
А здесь перенаправление c соединения ррр0 порта 80 на порт 3128


Или не правильно что то?

Хочется получить что прокси получает 80й порт и занимается как и раньше кеширует и не пускает на одноклассники остальное иди оно на прямую не запрещено

[AnrDaemon]

192.168.0.1 - адрес самого шлюза ведь? Ну и нафига?
И нафига внешних посетителей (ppp0) на ваш сквид отправлять? Что они там забыли?

[senao]

Получаем шлюз с кэширующим прокси сервером, правильно так?:

iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:3128

iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.0.1:3128

iptables -F
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i eth0 -o eth0 -j REJECT
iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

[AnrDaemon]

Неправильно.
Правильно
-i <локальный интерфейс> --dport 80 -j REDIRECT --to-ports 3128

Показывайте iptables-save

[senao]

iptables-save

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.12 on Tue Jan 15 08:45:29 2013
*mangle
:PREROUTING ACCEPT [97574:11182474]
:INPUT ACCEPT [97572:11182322]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [122353:44166549]
:POSTROUTING ACCEPT [129025:45662553]
-A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:65495 -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Tue Jan 15 08:45:29 2013
# Generated by iptables-save v1.4.12 on Tue Jan 15 08:45:29 2013
*nat
:PREROUTING ACCEPT [6463:410282]
:INPUT ACCEPT [6704:422610]
:OUTPUT ACCEPT [20480:1948953]
:POSTROUTING ACCEPT [20480:1948953]
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:3128
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.0.1:3128
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128
COMMIT
# Completed on Tue Jan 15 08:45:29 2013

[AnrDaemon]

https://forum.ubuntu.ru/index.php?topic=210848.msg1615473#msg1615473

[senao]

iptables -t nat -A PREROUTING -i eth1 --dport 80 -j DNAT --to-destination 192.168.0.1:3128

iptables -t nat -A PREROUTING -i eth1 --dport 8080 -j DNAT --to-destination 192.168.0.1:3128

iptables -F
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i eth0 -o eth0 -j REJECT
iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu


Внесу ясность: Локальный интерфейс -  eth1, во внешний мир смотрит - eth0 подключенный через ppp0, хочется привести в порядок, так как доберусь в пятницу до офиса, а через ssh не хочется чтобы все упало и не работало, вот и не экспериментирую  )))

А почему убираем tcp? ведь --to-destination параметром[-ipaddr][:port-порт]
которые могут указать ни одного нового IP-адреса назначения, всесторонний диапазон IP-адресов, и, возможно, диапазон портов (которая действительна, только если это правило и определяет-p tcp или-p udp)

[AnrDaemon]

TCPMSS в FORWARD работать не будет.
Ещё раз читайте сообщение по ссылке.
С локальными интерфейсами понятно. Про почему убираем, вообще не понял. Объясните, пока я не подумал, что вы бредите.

[senao]

Вот тогда не скромный вопрос, как по вашему надо тогда прописать правильно? просто подправьте как вы считаете нужным, я уже просто путаться начал.

Ну то что с параметром --to-destination не будет работать если не укажем протокол tcp или udp? Или реально брежу уже ))))?

[AnrDaemon]

Правильно будет
-A FORWARD -i eth1 -p tcp -m multiport --dports 80, 8080 -j REDIRECT --to-ports 3128

[senao]

Спасибо, буду пробовать в питницу