Opera-mini обходит squid и iptables

[Istorik23]

Приветствую!

Работал мой squid горя не знал, пока не появилась страшная напасть opera-mini которая обходит его с легкостью.
Я конечно понимаю, что самый простой способ запоролить wifi, но есть дети которые ходят на образовательные ресурсы (работаю в школе).

Решил я тогда озаботиться защитой своего сервера.
Подскажите как правильно настроить iptables со squid и заблокировать проход для opera-mini и всех не нужных червечков (31337, 31340 и т.д)?

Мой страшный конфиг

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

# Generated by iptables-save v1.4.4 on Fri Dec 17 20:45:47 2010
*nat
:PREROUTING ACCEPT [323:38578]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [497:33047]
#-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth1 -s 192.168.10.0/24 -p tcp --dport 80 -j DNAT --to 192.168.10.1:3128
-A PREROUTING -i eth1 -s 192.168.10.0/24 -p tcp --dport 8080 -j DNAT --to 192.168.10.1:3128
-A PREROUTING -i eth1 -s 192.168.10.0/24 -p tcp --dport 443 -j DNAT --to 192.168.10.1:3128
-A POSTROUTING -j MASQUERADE
COMMIT
# Completed on Fri Dec 17 20:45:47 2010
# Generated by iptables-save v1.4.4 on Fri Dec 17 20:45:47 2010
*filter
:INPUT ACCEPT [3552:2778579]
:FORWARD ACCEPT [240:27306]
:OUTPUT ACCEPT [3443:462576]
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Fri Dec 17 20:45:47 2010

Заранее благодарю.

[AnrDaemon]

Что за ужас?... Почему правильная строчка закомментирована, а вместо неё понаписана куча всякого бреда? Почему маскарадится тупо весь трафик?
Ну и наконец, у вас маршрутизация ничем не контролируется, неудивительно, что Opera Mini обходит ваш прокси.

[Istorik23]

Примерно так я и понял, написал я чушь =)

Закоментированная строчка было до того как я стал эксперементировать.
Во время эксперементов эти три не понятных строчки и появились.
А вот строчка про маскарадинг была в мануале про настройку squid.

Я думал раз в squid прописаны порты 80 8080 443 21 и т.д. То и в iptables они должны быть. Или я не прав?

[AnrDaemon]

В squid вообще порт один прописан - 3128 порт прокси. А что вы там с разрешениями морочите - не моё дело, сами разбирайтесь.
Да, если вы гоните порты 80, 8080 (ещё бы 8000 и 8010 не помешало) через прозрачный прокси, их все надо заворачивать на редирект.
443 порт (HTTPS) прозрачным прокси не пропустить никак вообще.
Маскарадить надо только внешний интерфейс.
Т.е. строка должна быть примерно
-A POSTROUTING -o eth1 -j MASQUERADE

[Istorik23]

Прокси не прозрачный

[sloki]

Прокси не прозрачный

Если прокси не прозрачный, зачем тогда вообще все эти качели с iptables? Отключить переадресацию на сервере, а у пользователей на компах в IE, opera или что там указать прокси сервер.

[Istorik23]

Прокси не прозрачный

Если прокси не прозрачный, зачем тогда вообще все эти качели с iptables? Отключить переадресацию на сервере, а у пользователей на компах в IE, opera или что там указать прокси сервер.

Если переадресации не будет, как в интернет попадут те устройства что не могут пользователь squid на пример почтовики?

[AnrDaemon]

Как это не могут? O.o

[Istorik23]

Ну если мы тут сейчас будем отвечать типа
"А вот так не могут"

Это затянется на долго. Не спорю наберем большой рейтинг прокачаем звание на форуме и так далее. Но давайте все таки по делу.

1. Если squid не умеет работать с почтой, а в iptables не будет указано перенаправление пакетов, как эти пакет попадут в интернет?
2. В компе 4 соединения включая локальную петлю и тунель для vpn. На какое из этих подключений по умолчанию будут переводиться пакеты, если мы ни чего не укажем в iptables?

[fisher74]

Конечно, AnrDaemon немного погорячился.
1. Поправляете в таблице nat маскарад (оставляете его только для интерфейса в интернет)
2. запрещаете в таблице filter весь транзитный трафик (дефолтную политику)
2а. Разрешаете транзит трафика установленных соединений
2б. Разрешаете в таблице filter транзит ТОЛЬКО нужного: например почта (25 и 110 tcp-порты) и DNS (53 порты)
Всё.

[Istorik23]

Конечно, AnrDaemon немного погорячился.
1. Поправляете в таблице nat маскарад (оставляете его только для интерфейса в интернет)
2. запрещаете в таблице filter весь транзитный трафик (дефолтную политику)
2а. Разрешаете транзит трафика установленных соединений
2б. Разрешаете в таблице filter транзит ТОЛЬКО нужного: например почта (25 и 110 tcp-порты) и DNS (53 порты)
Всё.

Благодарю. Вот такое нагородил

(Нажмите, чтобы показать/скрыть)

*filter
:INPUT DROP [3986709:3185746640]
:FORWARD DROP [145647:13896770]
:OUTPUT ACCEPT [4939879:3588716155]
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.10.0/24 -i eth1 -m conntrack --ctstate NEW -p tcp -m multiport --dports 110,22,25,993,465,143,587,995,1194 -j ACCEPT -v
-A FORWARD -s 192.168.10.0/24 -i eth1 -m conntrack --ctstate NEW -p udp -m multiport --dports 53 -j ACCEPT -v
-A INPUT -i eth1 -p tcp -m tcp --dport 22 -j ACCEPT -v
-A INPUT -i tun0 -p tcp -m tcp --dport 22 -j ACCEPT -v
COMMIT
*nat
:PREROUTING ACCEPT [130311:10708565]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [75727:6294823]
-A PREROUTING -s 192.168.10.1 -d ! 192.168.10.0/24 -i eth1 -p tcp -m multiport --dports 21,80,443,5222:5223,8080 -j DNAT -to-destination 192.168.10.1:3128
-A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE
COMMIT

[fisher74]

Оглядываясь на

Прокси не прозрачный

это правило

-A PREROUTING -s 192.168.10.1 -d ! 192.168.10.0/24 -i eth1 -p tcp -m multiport --dports 21,80,443,5222:5223,8080 -j DNAT -to-destination 192.168.10.1:3128

становится совершенно бессмысленным.

Хотя можно и не оглядываться. Оно вообще с ошибкой и НИКОГДА не сработает.

[AnrDaemon]

DNS форвардить не надо. Нехай локальным пользуются.
В PREROUTING добавить отсев RELATED,ESTABLISHED пакетов по аналогии с FORWARD
В FORWARD забыли DNAT разрешить. (RELATED,ESTABLISHED,DNAT)
В POSTROUTING условие по адресу источника лишнее. Достаточно исходящего интерфейса.
В INPUT забыли фильтр на RELATED,ESTABLISHED и разрешение на локальный интерфейс (-i lo -j ACCEPT).

[Istorik23]

Толи кто то доделал после меня, то ли я умудрился грохнуть свой конфиг (хотя не пьющий).
Нашел в одной из школ где поднимал сервак такой конфиг

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Thu Apr  4 19:27:01 2013
*filter
:INPUT ACCEPT [56499972:13115842569]
:FORWARD ACCEPT [393511:25410461]
:OUTPUT ACCEPT [50491200:46842648615]
-A FORWARD -s 192.168.10.0/24 -i eth0 -o eth1 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth1 -p tcp -m multiport --dports 25,110,143 -j ACCEPT
COMMIT
# Completed on Thu Apr  4 19:27:02 2013
# Generated by iptables-save v1.4.4 on Thu Apr  4 19:27:02 2013
*nat
:PREROUTING ACCEPT [8706331:497461698]
:POSTROUTING ACCEPT [10668:1376549]
:OUTPUT ACCEPT [249536:17127193]
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Thu Apr  4 19:27:02 2013

Но vpn у меня от сюда не подключился, но и опера тоже не пробивает.
Нужно ли что то в нем улучшать/менять?
Куда дописывать остальные необходимые порты? К 25,110,143? Их можно через запятую или отдельными строками?
Можно ли настроить логирование попыток пробиться с помощью оперы или вообще попытки пробиться?

[Istorik23]

Получилось вот так

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

*filter
:INPUT DROP [3986709:3185746640]
:FORWARD DROP [145647:13896770]
:OUTPUT DROP [4939879:3588716155]
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth1 -m conntrack --ctstate NEW -p tcp -m multiport --dports 110,22,25,993,465,143,587,995,1194 -j ACCEPT -v
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 22 -j ACCEPT -v
-A INPUT -i tun0 -p tcp -m tcp --dport 22 -j ACCEPT -v
COMMIT
*nat
:PREROUTING ACCEPT [130311:10708565]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [75727:6294823]
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A PREROUTING -s 192.168.10.0/24 -p tcp --destination-port 80,8080,443,21 -j REDIRECT --to-port 3128
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT


Не понял только про

В FORWARD забыли DNAT разрешить. (RELATED,ESTABLISHED,DNAT)

порты для переправления и открытия можно указывать через запятую, отдельными правилами или лучше отдельной цепью? Гугл где как показывает.