ЧЯДНТ? Apache, IPTABLES, Ssquid, Zentyal & etc

[insiki]

День добрый. Только только начал свое знакомство с Linux, а именно Ubuntu Server.
В офисе стоял сервер-шлюз на вИне и с установленным Керио, работали правила, доступ в инет и тд - все ок.
Решил, что пора с этой попсы переходить на серьезные вещи, дабы быть развивать свои способности сис. админства.
Снес винду, установил Ubuntu Server 13.04, настроил интерфейсы, обновил его, настроил NAT, установил и настроил Dnsmasq (DNS + DHCP), установил Squid3, настроил как прозрачный прокси-сервер и здесь застопорился.
Проблема следующая - как бы я что не пытался запретить в squid.conf - все гуляют везде. Хоть не пиши правил http_access allow и все всем запрети - толку 0.

Пока разбираюсь, выкладываю настройки, может кто поставит на путь истинный.

Интерфейсы

(Нажмите, чтобы показать/скрыть)

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet dhcp

auto eth1
iface eth1 inet static
address 192.168.1.1
netmask 255.255.255.0

post-up /etc/nat

NAT (файл /etc/nat)

(Нажмите, чтобы показать/скрыть)

#!/bin/sh
#Включаем форвардинг пакетов
echo 1 > /proc/sys/net/ipv4/ip_forward
#Разрешаем трафик на loopback-интерфейсе
iptables -A INPUT -i lo -j ACCEPT
#Разрешаем доступ из внутренней сети наружу
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
#Включаем NAT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.1.0/24 -j MASQUERADE
#Запрещаем доступ снаружи во внутреннюю сеть
iptables -A FORWARD -i eth0 - o eth1 -j REJECT
#Заворачивем  порты на прокси
iptables -t nat -A PREROUTING -i eth1 -d ! 192.168.1.0/24 -p -tcp -m multiport --dport 80,8080 -j DNAT --to 192.168.1.1:3128

Dnsmasq.conf

(Нажмите, чтобы показать/скрыть)

listen-address=127.0.0.1,192.168.1.1
dhcp-range=192.168.1.20,192.168.1.100,255.255.255.0,12h

squid.conf

(Нажмите, чтобы показать/скрыть)

http_port 3128 transparent
visible_hostname proxy

#ACL
acl manager proto cache_object
acl localhost src 127.0.0.1/32
#acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1
acl localnet src 192.168.1.0/24


#ACL PORTS
acl SSL_ports port 443
acl Safe_ports port 80<><------># http
acl Safe_ports port 21<><------># ftp
acl Safe_ports port 443><------># https
#acl Safe_ports port 70><------># gopher
#acl Safe_ports port 210<------><------># wais
#acl Safe_ports port 1025-65535># unregistered ports
#acl Safe_ports port 280<------><------># http-mgmt
#acl Safe_ports port 488<------><------># gss-http
#acl Safe_ports port 591<------><------># filemaker
acl Safe_ports port 777><------># multiling http
acl CONNECT method CONNECT

#HTTP_ACCESS

acl badsites url_regex "/etc/squid3/bad/badsites"
acl bs dstdomain .vk.com .mail.ru

http_access deny bs
http_access deny badsites

http_access allow manager localhost
http_access deny manager

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports

http_access deny localnet
http_access deny localhost

http_access deny all

cache_dir ufs /var/spool/squid3 4096 32 256
coredump_dir /var/spool/squid3

refresh_pattern ^ftp:<-><------>1440<-->20%<--->10080
refresh_pattern ^gopher:<------>1440<-->0%<---->1440
refresh_pattern -i (/cgi-bin/|\?) 0<--->0%<---->0
refresh_pattern (Release|Packages(.gz)*)$      0       20%     2880
refresh_pattern .<-----><------>0<----->20%<--->4320

error_directory /usr/share/squid3/errors/Russian-koi8-r

memory_pools on

memory_pools_limit 50 MB

(Нажмите, чтобы показать/скрыть)

squid3 -z
2013/07/11 14:33:18| Squid is already running!  Process ID 1605

Пользователь решил продолжить мысль 11 Июля 2013, 15:35:33:iptables-save

(Нажмите, чтобы показать/скрыть)

iptables-save
# Generated by iptables-save v1.4.12 on Thu Jul 11 15:33:43 2013
*nat
:PREROUTING ACCEPT [2326:177496]
:INPUT ACCEPT [320:24519]
:OUTPUT ACCEPT [253:18346]
:POSTROUTING ACCEPT [253:18346]
-A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
COMMIT
# Completed on Thu Jul 11 15:33:43 2013
# Generated by iptables-save v1.4.12 on Thu Jul 11 15:33:43 2013
*filter
:INPUT ACCEPT [1711:144281]
:FORWARD ACCEPT [12474:10914720]
:OUTPUT ACCEPT [1187:140693]
-A INPUT -i lo -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A FORWARD -i eth1 -o eth0 -j ACCEPT
-A FORWARD -i eth1 -o eth0 -j ACCEPT
COMMIT
# Completed on Thu Jul 11 15:33:43 2013

[tagilchanin]

при запуске скрипта NAT что пишет?

[insiki]

Bad argument "-"
Ищу где.

[tagilchanin]

Меняй
iptables -t nat -A PREROUTING -i eth1 -d ! 192.168.1.0/24 -p -tcp -m multiport --dport 80,8080 -j DNAT --to 192.168.1.1:3128
на
iptables -t nat -A PREROUTING -i eth1 -d ! 192.168.1.0/24 -p -tcp -m multiport --dport 80,8080 -j REDIRECT --to 192.168.1.1:3128

[insiki]

хм

Bad argument `192.168.1.0/24'
Try `iptables -h' or 'iptables --help' for more information.

Пользователь решил продолжить мысль 11 Июля 2013, 16:38:28:все оказалось просто, -d ! поменять местами на ! -d

iptables -t nat -A PREROUTING -i eth1 -d ! 192.168.1.0/24 -p -tcp -m multiport --dport 80,8080 -j REDIRECT --to 192.168.1.1:3128

[tagilchanin]

сорри тупанул:
iptables -t nat -A PREROUTING -i eth1 -s 192.168.1.0/24 -p -tcp -m multiport --dport 80,8080 -j REDIRECT --to 192.168.1.1:3128
при условии что eth1 смотрит в локальную сеть

[insiki]

хм, а как разобраться с тем, что страницы некоторые грузятся быстро, но большинство не грузятся вообще?
проблема с DNS? в Dnsmasq.conf listen-address=127.0.0.1, 192.168.1.1

еще открыл все порты, а тот же mail.ru агент не работает?

ковыряю дальше

вот например часть лога

(Нажмите, чтобы показать/скрыть)

1373555909.961 180707 192.168.1.91 TCP_MISS/200 247 GET http://app.4pda.ru/w/ - DIRECT/93.95.103.111 -
1373555912.639    388 192.168.1.91 TCP_MISS/200 428 GET https://forum.ubuntu.ru/index.php? - DIRECT/213.108.252.153 image/gif
1373555919.532    503 192.168.1.91 TCP_MISS/200 1448 GET http://oxn.gerkon.eu/www/delivery/ajs.php? - DIRECT/176.9.147.176 text/javascript
1373555919.625   1073 192.168.1.91 TCP_MISS/200 88862 GET http://4pda.ru/forum/index.php? - DIRECT/93.95.103.158 text/html
1373555919.977    438 192.168.1.91 TCP_MISS/200 514 GET http://oxn.gerkon.eu/www/delivery/lg.php? - DIRECT/176.9.147.176 image/gif
1373555920.361    612 192.168.1.91 TCP_MISS/200 591 GET http://counter.yadro.ru/hit? - DIRECT/88.212.196.104 image/gif
1373555920.489    951 192.168.1.91 TCP_MISS/200 44374 GET http://oxn.gerkon.eu/www/images/3c22890e46c786d5d0f7f842e64b8f23.jpg - DIRECT/176.9.147.176 image/jpeg
1373555924.640    384 192.168.1.91 TCP_MISS/200 311 POST http://linuxforum.ru/misc.php? - DIRECT/188.64.170.124 text/html
1373555929.822    539 192.168.1.91 TCP_MISS/301 657 GET http://google.ru/ - DIRECT/173.194.71.94 text/html
1373555930.320    490 192.168.1.91 TCP_MISS/302 603 GET http://www.google.ru/ - DIRECT/74.125.232.56 text/html
1373555936.651  14393 192.168.1.91 TCP_MISS/000 0 GET http://app.4pda.ru/w/ - DIRECT/93.95.103.111 -
1373555937.233    906 192.168.1.91 TCP_MISS/200 192325 GET http://4pda.ru/forum/index.php? - DIRECT/93.95.103.158 text/html
1373555937.352    684 192.168.1.91 TCP_MISS/200 1446 GET http://oxn.gerkon.eu/www/delivery/ajs.php? - DIRECT/176.9.147.176 text/javascript
1373555937.713    161 192.168.1.91 TCP_MISS/200 1861 GET http://4pda.ru/forum/index.php? - DIRECT/93.95.103.158 text/html
1373555937.771    407 192.168.1.91 TCP_MISS/200 514 GET http://oxn.gerkon.eu/www/delivery/lg.php? - DIRECT/176.9.147.176 image/gif
1373555937.822    312 192.168.1.91 TCP_MISS/200 1107 GET http://s.4pda.to/forum/uploads/av-2221266-13758010.png - DIRECT/62.109.7.170 image/png
1373555937.843    373 192.168.1.91 TCP_MISS/200 3332 GET http://s.4pda.to/forum/uploads/av-1507464-3436842.jpg - DIRECT/62.109.7.170 image/jpeg
1373555937.852    340 192.168.1.91 TCP_MISS/200 771 GET http://s.4pda.to/forum/style_emoticons/default/biggrin2.gif - DIRECT/62.109.7.170 image/gif
1373555937.855    345 192.168.1.91 TCP_MISS/200 1118 GET http://s.4pda.to/forum/style_emoticons/default/smile_good.gif - DIRECT/62.109.7.170 image/gif
1373555937.873    357 192.168.1.91 TCP_MISS/200 3404 GET http://s.4pda.to/forum/uploads/av-387866-17409209.jpg - DIRECT/62.109.7.170 image/jpeg
1373555937.884    362 192.168.1.91 TCP_MISS/200 2771 GET http://s.4pda.to/forum/uploads/av-3425917-16369488.jpg - DIRECT/62.109.7.170 image/jpeg
1373555937.975    147 192.168.1.91 TCP_MISS/200 2829 GET http://s.4pda.to/forum/uploads/av-50180-16356072.jpg - DIRECT/62.109.7.170 image/jpeg
1373555938.261    629 192.168.1.91 TCP_MISS/200 9147 GET http://cs3-2.4pda.to/3187360.jpg - DIRECT/46.165.196.88 image/jpg
1373555938.274    643 192.168.1.91 TCP_MISS/200 7874 GET http://cs3-2.4pda.to/3187358.jpg - DIRECT/46.165.196.88 image/jpg
1373555938.349    986 192.168.1.91 TCP_MISS/200 28738 GET http://oxn.gerkon.eu/www/images/1e05bb46495d48c8dd6ce4cb484da6df.gif - DIRECT/176.9.147.176 image/gif
1373555938.349    514 192.168.1.91 TCP_MISS/200 591 GET http://counter.yadro.ru/hit? - DIRECT/88.212.196.104 image/gif
1373555941.896   1627 192.168.1.91 TCP_MISS/000 0 GET http://app.4pda.ru/w/ - DIRECT/93.95.103.111 -

большинство сайтов открывается без проблем, но вот тот же google.ru  не открывается, так же открывается mail.ru, но входящие посмотреть не получается, немного думает и выдает - Веб-страница недоступна

(Нажмите, чтобы показать/скрыть)

1373556225.310    597 192.168.1.91 TCP_MISS/200 605 GET http://openstat.net/cnt? - DIRECT/193.169.234.233 image/gif
1373556225.313    600 192.168.1.91 TCP_MISS/200 788 GET http://openstat.net/digits? - DIRECT/193.169.234.233 image/gif
1373556225.324    554 192.168.1.91 TCP_MISS/200 1122 GET http://db.c6.b0.a2.top.mail.ru/counter? - DIRECT/217.69.133.149 image/gif
1373556225.406    946 192.168.1.91 TCP_MISS/200 3301 GET http://p3chat.com/widget/uid/268560880 - DIRECT/31.222.138.91 application/x-javascript
1373556225.406    655 192.168.1.91 TCP_MISS/200 4475 GET http://c.luxup.ru/t/lb121439.js? - DIRECT/62.152.53.250 application/x-javascript
1373556225.406    199 192.168.1.91 TCP_MISS/000 0 GET http://site.yandex.ru/arrow.xml? - DIRECT/site.yandex.ru -
1373556225.406    410 192.168.1.91 TCP_MISS/000 0 GET http://googleads.g.doubleclick.net/pagead/drt/s? - DIRECT/173.194.71.154 -
1373556228.640    379 192.168.1.91 TCP_MISS/200 311 POST http://linuxforum.ru/misc.php? - DIRECT/188.64.170.124 text/html
1373556252.027  33050 192.168.1.91 TCP_MISS/000 0 POST http://dmd.metaservices.microsoft.com/dms/metadata.svc - DIRECT/65.55.11.247 -
1373556252.340  64981 192.168.1.75 TCP_MISS/200 294 GET http://su.ff.avast.com/R/Az4KEA0WkUhpmi9JgcqOqGYVkAYSBAIQBxMYeCIBAyoECAMQACoHCAQQ2Nf8FioECAUQATIKCAQQ2Nf8FhiACg== - DIRECT/77.234.42.55 application/octet-stream
1373556252.812    780 192.168.1.91 TCP_MISS/302 631 POST http://go.microsoft.com/fwlink/? - DIRECT/65.55.58.195 text/html
1373556260.501    170 192.168.1.91 TCP_MISS/200 494 GET http://www.google-analytics.com/__utm.gif? - DIRECT/74.125.143.102 image/gif
1373556260.611    384 192.168.1.91 TCP_MISS/302 484 GET https://forum.ubuntu.ru/index.php? - DIRECT/213.108.252.153 text/html
1373556264.624    748 192.168.1.91 TCP_MISS/200 17899 GET https://forum.ubuntu.ru/index.php? - DIRECT/213.108.252.153 text/html
1373556265.061    724 192.168.1.91 TCP_MISS/200 14021 GET https://forum.ubuntu.ru/mobiquo/tapadetect.js - DIRECT/213.108.252.153 text/html
1373556265.311    230 192.168.1.91 TCP_MISS/302 484 GET https://forum.ubuntu.ru/index.php? - DIRECT/213.108.252.153 text/html
1373556265.401    179 192.168.1.91 TCP_MISS/200 494 GET http://www.google-analytics.com/__utm.gif? - DIRECT/74.125.143.102 image/gif
1373556266.847      0 192.168.1.84 NONE/400 4269 NONE error:invalid-request - NONE/- text/html
1373556268.854      0 192.168.1.84 NONE/400 4484 NONE error:invalid-request - NONE/- text/html
1373556271.877      0 192.168.1.84 NONE/400 4452 NONE error:invalid-request - NONE/- text/html
1373556274.850      0 192.168.1.84 NONE/400 4480 NONE error:invalid-request - NONE/- text/html
1373556275.458      0 192.168.1.51 TCP_IMS_HIT/304 278 GET http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab - NONE/- application/octet-stream
1373556284.035  31215 192.168.1.91 TCP_MISS/000 0 POST http://dmd.metaservices.microsoft.com/dms/metadata.svc - DIRECT/65.55.11.247 -
1373556284.803    760 192.168.1.91 TCP_MISS/302 631 POST http://go.microsoft.com/fwlink/? - DIRECT/65.55.58.195 text/html
1373556289.662    398 192.168.1.91 TCP_MISS/200 311 POST http://linuxforum.ru/misc.php? - DIRECT/188.64.170.124 text/html
1373556291.350      0 192.168.1.36 NONE/400 4430 NONE error:invalid-request - NONE/- text/html
1373556300.412  83514 192.168.1.28 TCP_MISS/200 295 GET http://su.ff.avast.com/R/A08KIDg1NTUzNDQxNGViODRiYTFhNjc4ZmVmYzk1ZWIyYTM4EgQCEAcTGIoBIgECKgQIAxAAKgcIBBDY1_wWKgQIBRABMgoIBBDY1_wWGIAK - DIRECT/77.234.41.55 application/octet-stream
1373556303.644      0 192.168.1.36 NONE/400 4248 NONE error:invalid-request - NONE/- text/html
1373556307.655      0 192.168.1.36 NONE/400 4386 NONE error:invalid-request - NONE/- text/html
1373556309.855  25044 192.168.1.91 TCP_MISS/200 2089 POST http://dmd.metaservices.microsoft.com/dms/metadata.svc - DIRECT/65.55.11.247 text/xml
1373556310.562    693 192.168.1.91 TCP_MISS/302 631 POST http://go.microsoft.com/fwlink/? - DIRECT/65.55.58.195 text/html
1373556313.923  88605 192.168.1.83 TCP_MISS/200 295 GET http://su.ff.avast.com/R/A08KIDZlNWIxZmY2ZjQwZTQ1Yjg5NjgwYmFjNzUwMTc0NTVjEgQCEAcTGJABIgH_KgQIAxAAKgcIBBDY1_wWKgQIBRABMgoIBBDY1_wWGIAK - DIRECT/77.234.41.51 application/octet-stream
1373556314.233   2866 192.168.1.91 TCP_MISS/302 491 POST https://forum.ubuntu.ru/index.php? - DIRECT/213.108.252.153 text/html
1373556314.342  61039 192.168.1.75 TCP_MISS/200 294 GET http://su.ff.avast.com/R/AzsKEA0WkUhpmi9JgcqOqGYVkAYSBAIQBxMYeCIBBCoECAMQACoHCAQQ2Nf8FioECAUQATIHCAAQABiAAg== - DIRECT/77.234.42.55 application/octet-stream
1373556314.866    624 192.168.1.91 TCP_MISS/200 16843 GET https://forum.ubuntu.ru/index.php? - DIRECT/213.108.252.153 text/html
1373556314.987    389 192.168.1.91 TCP_MISS/200 14046 GET https://forum.ubuntu.ru/mobiquo/tapadetect.js - DIRECT/213.108.252.153 text/html
1373556315.233    215 192.168.1.91 TCP_MISS/304 361 GET https://forum.ubuntu.ru/index.php? - DIRECT/213.108.252.153 -
1373556315.282    203 192.168.1.91 TCP_MISS/200 494 GET http://www.google-analytics.com/__utm.gif? - DIRECT/74.125.143.102 image/gif
1373556315.312    289 192.168.1.91 TCP_MISS/302 484 GET https://forum.ubuntu.ru/index.php? - DIRECT/213.108.252.153 text/html

1373556319.823    359 192.168.1.91 TCP_MISS/302 354 GET http://e.mail.ru/messages/inbox/ - DIRECT/217.69.139.215 text/plain
1373556319.969   2378 192.168.1.91 TCP_MISS/200 8698 GET http://rs.mail.ru/b18436705.jpg - DIRECT/128.140.169.222 image/jpeg
1373556321.096    244 192.168.1.91 TCP_MISS/000 0 GET http://rs.mail.ru/d822036.gif? - DIRECT/128.140.169.222 -
1373556321.096     60 192.168.1.91 TCP_MISS/000 0 GET http://rs.mail.ru/sb615201.gif? - DIRECT/rs.mail.ru -
1373556321.293    194 192.168.1.91 TCP_MISS/302 354 GET http://e.mail.ru/messages/inbox/ - DIRECT/217.69.139.215 text/plain
1373556324.173    875 192.168.1.91 TCP_MISS/200 1744 GET http://www.ptkom.ru/calc/ - DIRECT/85.95.129.24 text/html
1373556324.484    280 192.168.1.91 TCP_MISS/200 880 GET http://www.ptkom.ru/img/bg_top.jpg - DIRECT/85.95.129.24 image/jpeg
1373556324.779    575 192.168.1.91 TCP_MISS/200 3371 GET http://www.ptkom.ru/calc/logo.gif - DIRECT/85.95.129.24 image/gif
1373556326.447   2200 192.168.1.91 TCP_MISS/200 134932 GET http://www.ptkom.ru/calc/calc.swf - DIRECT/85.95.129.24 application/x-shockwave-flash
1373556326.584   2323 192.168.1.91 TCP_MISS/200 124434 GET http://www.ptkom.ru/calc/calc2.swf - DIRECT/85.95.129.24 application/x-shockwave-flash
1373556327.674    418 192.168.1.91 TCP_MISS/302 603 GET http://www.google.ru/ - DIRECT/173.194.71.94 text/html
1373556332.606  22035 192.168.1.91 TCP_MISS/200 2083 POST http://dmd.metaservices.microsoft.com/dms/metadata.svc - DIRECT/65.55.11.247 text/xml
1373556333.294    677 192.168.1.91 TCP_MISS/302 631 POST http://go.microsoft.com/fwlink/? - DIRECT/65.55.58.195 text/html

[AnrDaemon]

1. Спойлеры, ***!!!.
2. iptables-save
3. Цель REDIRECT имеет единственный параметр --to-ports, указывающий номер порта.

[insiki]

iptables-save

(Нажмите, чтобы показать/скрыть)

root@proxy:~# iptables-save
# Generated by iptables-save v1.4.12 on Fri Jul 12 08:16:51 2013
*nat
:PREROUTING ACCEPT [2785:183703]
:INPUT ACCEPT [828:58280]
:OUTPUT ACCEPT [526:37847]
:POSTROUTING ACCEPT [526:37847]
-A PREROUTING ! -d 192.168.1.0/24 -i eth1 -p tcp -m multiport --dports 80,8080 -                                                                                                                                                             j REDIRECT --to-ports 3128
-A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
COMMIT
# Completed on Fri Jul 12 08:16:51 2013
# Generated by iptables-save v1.4.12 on Fri Jul 12 08:16:51 2013
*filter
:INPUT ACCEPT [10212:4085769]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [16212:4407748]
-A INPUT -i lo -j ACCEPT
-A FORWARD -i eth1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o eth1 -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Fri Jul 12 08:16:51 2013
root@proxy:~#

[tagilchanin]

-A PREROUTING ! -d 192.168.1.0/24 -i eth1 -p tcp -m multiport --dports 80,8080 -                                                                                                                                                             j REDIRECT --to-ports 3128 что сие значит в курсе?

[ArcFi]

Добавить правила на выравнивание MTU?

Кстати, без

Код: [Выделить]

-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPTнет смысла делать

-A FORWARD -i eth1 -o eth0 -j ACCEPT

[insiki]

-A PREROUTING ! -d 192.168.1.0/24 -i eth1 -p tcp -m multiport --dports 80,8080 -                                                                                                                                                             j REDIRECT --to-ports 3128 что сие значит в курсе?

заворачиваем http трафик на порт 3128 прокси, дабы была прозрачность, нет?

Добавить правила на выравнивание MTU?

С MTU вроде бы все ок, ifconfig

(Нажмите, чтобы показать/скрыть)

root@proxy:~# ifconfig
eth0      Link encap:Ethernet  HWaddr 00:e0:52:f0:70:81
          inet addr:192.168.2.33  Bcast:192.168.2.255  Mask:255.255.255.0
          inet6 addr: fe80::2e0:52ff:fef0:7081/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:37085 errors:0 dropped:0 overruns:0 frame:0
          TX packets:35594 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:14887599 (14.8 MB)  TX bytes:5272356 (5.2 MB)

eth1      Link encap:Ethernet  HWaddr 50:e5:49:a2:e9:65
          inet addr:192.168.1.1  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::52e5:49ff:fea2:e965/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:30473 errors:0 dropped:0 overruns:0 frame:0
          TX packets:28919 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:4421880 (4.4 MB)  TX bytes:14845923 (14.8 MB)

lo        Link encap:Локальная петля (Loopback)
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:3129 errors:0 dropped:0 overruns:0 frame:0
          TX packets:3129 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:426823 (426.8 KB)  TX bytes:426823 (426.8 KB)
root@proxy:~#

Кстати, без

Код: [Выделить]

-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPTнет смысла делать

-A FORWARD -i eth1 -o eth0 -j ACCEPT

Как пишут люди гайды, так и копипастим..
Задача то для начала простая - дать инет и почту (pop3/smtp/imap), одной группе дать доступ на почтовики - mail.ru, yandex.ru, google.ru, rambler.ru, остальное запретить, другой группе разрешить все, но всем порезать видео, аудио, скачивание больших файлов и тд.

Думал подниму по-быстрому, настрою минимум, параллельно читая руководство по IPTABLES на почти 100 страницах
Сейчас пока пришлось воткнуть кабель в свитч, дабы люди могли работать (ну и качают собаки тоже, у нас всего 40 гигов на месяц), перенес сервер к себе, сделал свою машиной клиентской и сижу, верчу-кручу )

Пинги с моей машины в инет не идут, ни по IP ни по имени. Эта страничка открывается, обновляется, еще что-то выборочно открывается, остальное нет. Еще например mail.ru открывается, но во входящие не переходит.

Толи с DNS трабл, resolv.conf постоянно обнуляет мою запись на 127.0.0.1, либо IPTABLES курить надо. Или UFW (GUFW) для начала будет проще освоить?
С самого proxy пинги идут, обновления и пакеты качаются.

NSLOOKUP с клиентской машины

C:\Users\insy>nslookup ubuntu.ru
╤хЁтхЁ:  UnKnown
Address:  192.168.1.1

Не заслуживающий доверия ответ:
╚ь :     ubuntu.ru
Address:  213.108.253.153

брр! HTTPS то мы не пускаем таким правилом
хм, а если заверну в IPTABLES https/ssl через Proxy, то это будет костыль
значит нужно пускать не через Squid, а правилами в IPTABLES, но тогда тот же LightSquid не сможет подсчитать этот трафик
становится интересно

[ArcFi]

Толи с DNS трабл

Потому что вы не отдаёте адреса DNS клиентам по DHCP.

Пинги с моей машины в инет не идут, ни по IP ни по имени.

Потому что FORWARD порезан.

[AnrDaemon]

Как пишут люди гайды, так и копипастим..

Гайды пишут для обучения, а не для копипаста.

[insiki]

Потому что вы не отдаёте адреса DNS клиентам по DHCP.

то есть?

Потому что FORWARD порезан.

С этим понятно.

Гайды пишут для обучения, а не для копипаста.

В любом случае, пока человек гайд читает и настраивает все по нему - помимо чтения и разборов, что к чему, он занимается копипастом. Он копирует чьи-то знания, пишет те команды, которые указаны и тд.