Совсем запутался (squid3, nat)

[Goosman]

Здравствуйте, форумчане. Форум читаю уже давно, всегда находил нужную информацию и справлялся без создания тем. Но вот настало время и мне покричать о помощи. Может вы мне поможете, сам уже совсем запутался.
Есть локальная сеть на предприятии 172.16.1.0/16(адреса у всех статические), через шлюз на Ubuntu 12.04, раздаётся в эту сеть интернет, посредством squid3 версии 3.1.19, и нат, для тех кому это нужно (всякие банковские программы и т.д.).Для клиентов которым нужен нат, просто прописываем шлюз и ДНСы провайдера в настройках сети. Если нат не нужен - в настройках сети оставляем только АйПи и маску, А  браузер настраиваем на работу через через прокси. Работает вся эта система уже давно. Неделю назад мы сменили провайдера и получили доступ в интернет со скоростью 100мБит (раньше было 8 мБит). И решили мы пустить в интернет вместо 70 хостов все 170. Подключились, вроде всё нормально, быстро, без сбоев. Но в какой-то момент происходит, так сказать, "затык" с интернетом у совершенно случайных пользователей, и всё время у разных (иногда у всех). Просто не грузятся страницы, сообщения от сквида нет, тупо в браузере выводит отсутствие подключения к интернет. Проходит около минуты и всё становится гладко и ровно. Перечитал кучу информации и про кэш сквидовский и про ротацию логов, но чувствую я что проблема где-то в настройках сети. Если подскажете в какую сторону мне смотреть, буду премного благодарен.

Немного информации о системе:
uname -a

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

matumba@squid:~/1$ uname -a
Linux squid 3.8.0-29-generic #42~precise1-Ubuntu SMP Wed Aug 14 15:31:16 UTC 2013 i686 i686 i386 GNU/Linux

ifconfig

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

matumba@squid:~/1$ ifconfig
eth0      Link encap:Ethernet  HWaddr 00:21:91:11:d8:e3
          inet addr:172.16.1.178  Bcast:172.16.1.255  Mask:255.255.0.0
          inet6 addr: fe80::221:91ff:fe11:d8e3/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1250428 errors:0 dropped:48250 overruns:0 frame:0
          TX packets:1775895 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:151977657 (151.9 MB)  TX bytes:2148805440 (2.1 GB)

eth1      Link encap:Ethernet  HWaddr 1c:6f:65:eb:47:91
          inet addr:10.12.54.27  Bcast:10.12.54.255  Mask:255.255.255.0
          inet6 addr: fe80::1e6f:65ff:feeb:4791/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1700756 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1052860 errors:0 dropped:0 overruns:0 carrier:1
          collisions:0 txqueuelen:1000
          RX bytes:2143056709 (2.1 GB)  TX bytes:138331963 (138.3 MB)

lo        Link encap:Локальная петля (Loopback)
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:19490 errors:0 dropped:0 overruns:0 frame:0
          TX packets:19490 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:2905543 (2.9 MB)  TX bytes:2905543 (2.9 MB)

iptables-save

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

matumba@squid:~/1$ sudo iptables-save
sudo: unable to resolve host squid
# Generated by iptables-save v1.4.12 on Thu Oct 27 14:01:07 2016
*nat
:PREROUTING ACCEPT [43714:4174636]
:INPUT ACCEPT [40054:3653845]
:OUTPUT ACCEPT [32113:1964231]
:POSTROUTING ACCEPT [100:5728]
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.16.1.178:3128
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A POSTROUTING -o eth1 -j MASQUERADE
COMMIT
# Completed on Thu Oct 27 14:01:07 2016
# Generated by iptables-save v1.4.12 on Thu Oct 27 14:01:07 2016
*filter
:INPUT ACCEPT [2496892:1908336383]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [2495508:1913553241]
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 172.16.0.0/16 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -i eth1 -p tcp -m tcp --dport 53 -j ACCEPT
-A FORWARD -i eth1 -p udp -m udp --dport 53 -j ACCEPT
COMMIT
# Completed on Thu Oct 27 14:01:07 2016

resolv.conf

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

matumba@squid:~/1$ cat /etc/resolv.conf
# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 127.0.0.1
search ****.by

ip r

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

matumba@squid:~/1$ ip r
default via 10.12.54.101 dev eth1  metric 100
10.0.0.0/8 via 10.12.54.101 dev eth1
10.12.54.0/24 dev eth1  proto kernel  scope link  src 10.12.54.27
172.16.0.0/16 dev eth0  proto kernel  scope link  src 172.16.1.178

конфигурация squid

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

matumba@squid:~/1$ sudo squid3 -k parse
sudo: unable to resolve host squid
2016/10/27 14:06:46| Processing Configuration File: /etc/squid3/squid.conf (depth 0)
2016/10/27 14:06:46| Processing: acl UsersTime time MTWHFAS 00:00-23:59
2016/10/27 14:06:46| Processing: acl Users src "/etc/squid3/lists/users"
2016/10/27 14:06:46| Processing: acl localhost src 127.0.0.1/32 ::1
2016/10/27 14:06:46| Processing: acl SSL_ports port 443
2016/10/27 14:06:46| Processing: acl Safe_ports port 80         # http
2016/10/27 14:06:46| Processing: acl Safe_ports port 21         # ftp
2016/10/27 14:06:46| Processing: acl Safe_ports port 443                # https
2016/10/27 14:06:46| Processing: acl Safe_ports port 70         # gopher
2016/10/27 14:06:46| Processing: acl Safe_ports port 210                # wais
2016/10/27 14:06:46| Processing: acl Safe_ports port 1025-65535 # unregistered ports
2016/10/27 14:06:46| Processing: acl Safe_ports port 280                # http-mgmt
2016/10/27 14:06:46| Processing: acl Safe_ports port 488                # gss-http
2016/10/27 14:06:46| Processing: acl Safe_ports port 591                # filemaker
2016/10/27 14:06:46| Processing: acl Safe_ports port 777                # multiling http
2016/10/27 14:06:46| Processing: acl CONNECT method CONNECT
2016/10/27 14:06:46| Processing: acl manager proto cache_object
2016/10/27 14:06:46| Processing: acl webserver src 172.16.1.178
2016/10/27 14:06:46| Processing: http_access allow manager webserver
2016/10/27 14:06:46| Processing: http_access allow Users UsersTime
2016/10/27 14:06:46| Processing: http_access allow manager localhost
2016/10/27 14:06:46| Processing: http_access deny manager
2016/10/27 14:06:46| Processing: http_access deny !Safe_ports
2016/10/27 14:06:46| Processing: http_access deny CONNECT !SSL_ports
2016/10/27 14:06:46| Processing: http_access allow localhost
2016/10/27 14:06:46| Processing: http_access deny all
2016/10/27 14:06:46| Processing: http_port 3128 transparent
2016/10/27 14:06:46| Starting Authentication on port [::]:3128
2016/10/27 14:06:46| Disabling Authentication on port [::]:3128 (interception enabled)
2016/10/27 14:06:46| Disabling IPv6 on port [::]:3128 (interception enabled)
2016/10/27 14:06:46| Processing: coredump_dir /var/spool/squid3
2016/10/27 14:06:46| Processing: refresh_pattern ^ftp:          1440    20%     10080
2016/10/27 14:06:46| Processing: refresh_pattern ^gopher:       1440    0%      1440
2016/10/27 14:06:46| Processing: refresh_pattern -i (/cgi-bin/|\?) 0    0%      0
2016/10/27 14:06:46| Processing: refresh_pattern (Release|Packages(.gz)*)$      0       20%     2880
2016/10/27 14:06:46| Processing: refresh_pattern .              0       20%     4320
2016/10/27 14:06:46| Processing: maximum_object_size 61440 KB
2016/10/27 14:06:46| Processing: minimum_object_size 3 KB
2016/10/27 14:06:46| Processing: cache_swap_low 90
2016/10/27 14:06:46| Processing: cache_swap_high 95
2016/10/27 14:06:46| Processing: maximum_object_size_in_memory 512 KB
2016/10/27 14:06:46| Processing: memory_replacement_policy lru
2016/10/27 14:06:46| Processing: logfile_rotate 4
2016/10/27 14:06:46| Processing: delay_pools 0

клиенты - 99% окна-хр

(Нажмите, чтобы показать/скрыть)

Настройка протокола IP для Windows


Ethernet adapter Подключение по локальной сети:

   DNS-суффикс подключения . . . . . :
   IPv4-адрес. . . . . . . . . . . . : 172.16.1.253
   Маска подсети . . . . . . . . . . : 255.255.0.0
   Основной шлюз. . . . . . . . . : 172.16.1.178

З.ы. Не обращайте внимания на sudo: unable to resolve host squid, это я с файликом hosts игрался и забыл поправить.

[alexxnight]

А вот эта строчка
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
что должна делать?

[Goosman]

А вот эта строчка
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
что должна делать?

Если честно, то списал конфиг в одной из тем этого форума и он заработал. В iptables не силён.

[alexxnight]

Это правило значит:
Для входящего пакета на интерфейс eth1, в Вашем случае со стороны провайдера, на порт 80, перенаправить на порт 3128.

Я не знаю есть ли какая-то целесообразность в этом...

[Goosman]

Это правило значит:
Для входящего пакета на интерфейс eth1, в Вашем случае со стороны провайдера, на порт 80, перенаправить на порт 3128.

Я не знаю есть ли какая-то целесообразность в этом...

Убрал это правило. Отзывы от пользователей положительные. Скорость реакции перехода по ссылкам увеличилась. Ух шайтан! Сейчас буду ждать "затыков".
Пользователь добавил сообщение 28 Октября 2016, 08:03:48:Последние половину суток отлетал нормально, только в cache.log вывалилась один раз эта ошибка:

Код: [Выделить]

TunnelStateData::Connection::error: FD 30: read/write failure: (32) Broken pipe
Покопался по форумам и отыскал такое решение: добавить в конфиг кальмара такую строчку:

Код: [Выделить]

max_open_disk_fds 4096
будем посмотреть сегодня как это поможет.
Пользователь добавил сообщение 28 Октября 2016, 09:26:09:alexxnight, Спасибо за тычок меня носом в это кривое правило. Начал вдумчиво читать руководство, буду пробовать не скопировать чей-то конфиг, а попробую с нуля написать сам.