Squid+lightsquid=Анализ логов.

[Lithium28]

Добрый день.
Перелопатил кучу форумов , но так и не понял как мне быть.
Суть в следующем:
Имеется шлюз на Ubuntu 10.04 с двумя сетевыми картами, одна подключается к интернету, другая раздает интернет в локальную сеть. Поднято на сервер sql, апач, openfire, squid, lifghtsquid.
Порты веб трафика 80 и 8080 переброшены через iptables на сквид (прозрачным прокси)
Поднял апач, лайтсквид, логи ведутся, все рады. Но есть одно но, в сети есть 2 вайфай роутера ,которые раздают интернет и имеют другую подсеть, и естественно там все проходит через nat и в мою локальную сеть, все кто сидит на вай файе в логах отображаются все как один айпи.
Как можно сделать , чтобы все кто сидит на вай файе , в логах были конкретные машины?
Если сделать прокси не прозрачным, и авторизацию по логину паролю (каким именно способом лучше?), то будут ли в лайтсквиде отображаться эти пользователи конкретно, а не за одним айпи?а именно эти самые логины?
Либо есть другой вариант?

И покритикуйте пожалуйста правила айпитейблес, я не силен в этом, а интересует именно, смогут ли попасть в мою локальную сеть из внешки?

#!/bin/sh

# Включает форвардинг пакетов
echo 1 > /proc/sys/net/ipv4/ip_forward

# Разрешает трафик на loopback-интерфейсе
iptables -A INPUT -i lo -j ACCEPT

# Разрешает доступ из внутренней сети наружу
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

# Включает NAT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/24 -j MASQUERADE

# Разрешает ответы из внешней сети
iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
# Проброс портов через прокси
iptables -t nat -A PREROUTING -s 192.168.0.0/24 -i eth1 -p tcp -m multiport --dports 80,8080 -j REDIRECT --to-ports 3128


Я к сожалению виндоюзер, но радость от того , что на убунте так все изящно может работать очень радует)

[fisher74]

в сети есть 2 вайфай роутера ,которые раздают интернет и имеют другую подсеть, и естественно там все проходит через nat и в мою локальную сеть, все кто сидит на вай файе в логах отображаются все как один айпи.
Как можно сделать , чтобы все кто сидит на вай файе , в логах были конкретные машины?

Ни фига не естественно. Отключите на WiFi-роутерах nat и осильте маршрутизацию. Или, если позволяет параноя, сделайте общую сеть для проводов и для воздуха.

Я к сожалению виндоюзер, но радость от того , что на убунте так все изящно может работать очень радует)

И, как Вы, наверное, уже поняли - виндовззависимость тут совершенно не при чём.

ЗЫ реферамбы про изящность linux и подобное так же излишни

[Lithium28]

Спасибо за ответ.

Ни фига не естественно. Отключите на WiFi-роутерах nat и осильте маршрутизацию. Или, если позволяет паранойя, сделайте общую сеть для проводов и для воздуха.

Я так понимаю, маршруты нужно прописывать на ubuntu шлюзе?а роутер не трогаем?
Получается, что у меня основная подсеть 192.168.0.0/24 и подсеть вай фай роутера 192.168.1.0/24
Отключаю нат на роутере. И еще надо вписать в айпитейблес (все маршруты в первом сообщении) :

iptables -t nat -A POSTROUTING -o eth0 -s 192.168.1.0/24 -j MASQUERADE
iptables -t nat -A PREROUTING -s 192.168.0.1/24 -i eth1 -p tcp -m multiport --dports 80,8080 -j REDIRECT --to-ports 3128

не могу понять, как сделать правильно.

[fisher74]

Всё верно.
В принципе, в Вашем, конкретно этом, случае, можно правила маскарада и редиректа двух сетей объединить, изменив только маску фильтра условия по source-address

iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/23 -j MASQUERADE
iptables -t nat -A PREROUTING -s 192.168.0.0/23 -i eth1 -p tcp -m multiport --dports 80,8080 -j REDIRECT --to-ports 3128

[anubis_donetsk]

роутер перенастрой как обычную точку доступа и будут твои вифи юзеры в твоей подсети

[fisher74]

это не всегда правильно с точки зрения безопасности: не всё то что можно доверять проводам можно доверить воздуху.

[anubis_donetsk]

это не всегда правильно с точки зрения безопасности: не всё то что можно доверять проводам можно доверить воздуху.

vlan`ы никто не отменял ))))

[fisher74]

vlan подразумевает выделение в отдельную подсеть части клиентов, в данном случае WiFi клиентов.