Форум русскоязычного сообщества Ubuntu


Следите за новостями русскоязычного сообщества Ubuntu в Twitter-ленте @ubuntu_ru_loco

Автор Тема: iptables: Пропуск сайта мимо Squid  (Прочитано 1458 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн Alkantel

  • Автор темы
  • Новичок
  • *
  • Сообщений: 10
    • Просмотр профиля
iptables: Пропуск сайта мимо Squid
« : 14 Февраль 2019, 15:48:22 »
Добрый день! Разбираюсь с Линуксом.
Имеется комп, на который поставил Ubuntu 16.04, поставил Squid и настроил iptables, ufw отключил. Он получает интернет, который потом раздает в локалку 10.6.85.1-10.6.85.255, форвардинг включен, маскарад настроен. В локалке все работает.
Появилась необходимость пустить один сайт (сервис, если можно так выразиться) мимо прокси. Это сайт организации и для него есть отдельная линия. IP сайта, к примеру, 194.0.131.18 (это не наш сайт, взят для проверки правил).

В iptables прописал таких 2 правила:
1. В таблице nat (ДО правил, перенаправляющих трафик на Squid)
-A PREROUTING -p tcp -d 194.0.131.18 --dport 443 -j ACCEPT
2. В таблице filter
-A INPUT -s 10.6.85.0/24 -p tcp -m multiport --ports 53,80,8080,443,70,210,110,21,25,995,143,993,465 -j ACCEPT
По умолчанию INPUT и FORWARD DROP.

Но при отключении Squid доступа к тестовому сайту все равно нет.
Я подозреваю, что не до конца понимаю логику работы iptables. Буду благодарен за любую помощь.

Забыл добавить: из локальной сети meta.ua(194.0.131.18) пингуется, днс работает, порт 53 разрешен в iptables.
« Последнее редактирование: 14 Февраль 2019, 17:06:31 от Alkantel »

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27352
    • Просмотр профиля
Re: iptables: Пропуск сайта мимо Squid
« Ответ #1 : 14 Февраль 2019, 16:51:58 »
Показывайте `iptables-save` полностью.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Alkantel

  • Автор темы
  • Новичок
  • *
  • Сообщений: 10
    • Просмотр профиля
Re: iptables: Пропуск сайта мимо Squid
« Ответ #2 : 14 Февраль 2019, 17:04:50 »
Вывод iptables-save
(Нажмите, чтобы показать/скрыть)

10.6.85.0 - локальная сеть

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27352
    • Просмотр профиля
Re: iptables: Пропуск сайта мимо Squid
« Ответ #3 : 14 Февраль 2019, 17:35:34 »
-A PREROUTING -s 10.6.85.0/24 -p tcp -m multiport --dports 80,8080 -j REDIRECT --to-ports 3128

-A PREROUTING -s 10.6.85.0/24 -p tcp -m multiport --dports 443 -j REDIRECT --to-ports 3129

Почему не закинуть оба на 3129? Поправьте меня, если я ошибаюсь, но SSL он автоматом определяет.

-A PREROUTING -s 10.6.85.0/24 -p udp -m multiport --dports 80,8080 -j REDIRECT --to-ports 3128

-A PREROUTING -s 10.6.85.0/24 -p udp -m multiport --dports 443 -j REDIRECT --to-ports 3129
Зачем этот мусор?

И где ваши попытки настроить обход, о которых вы говорили вот буквально только что?
« Последнее редактирование: 14 Февраль 2019, 17:40:16 от AnrDaemon »
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Alkantel

  • Автор темы
  • Новичок
  • *
  • Сообщений: 10
    • Просмотр профиля
Re: iptables: Пропуск сайта мимо Squid
« Ответ #4 : 14 Февраль 2019, 17:51:20 »
Почему не закинуть оба на 3129? Поправьте меня, если я ошибаюсь, но SSL он автоматом определяет.
Настраивал по мануалах в сети. Конкретно это настраивал согласно статьи на Хабре про прозрачный Squid с фильтрацией https без подмены сертификатов. Для меня это дебри, потому ничего не менял.

Зачем этот мусор?
Это мой косяк еще от настройки днс. Копипаста.


И где ваши попытки настроить обход, о которых вы говорили вот буквально только что?
Нуууу... Это видимо.
До маршрутизации пакеты, идущие по tcp адрес назначения которых 194.0.131.18 и порт 443 разрешить (но чую, что это не то)
-A PREROUTING -p tcp -d 194.0.131.18 --dport 443 -j ACCEPT
И разрешил проходящий трафик
-A FORWARD -s 10.6.85.0/24 -p tcp -m multiport --ports 80,8080,443,70,210,110,25,21,995,143,993,465 -j ACCEPT

Пользователь добавил сообщение 15 Февраль 2019, 13:03:49:
Кажется нашел решение. Все так просто и банально, но может пригодится кому-то.
Требовалось просто НЕ заворачивать трафик на Squid, адрес назначения которого 194.0.131.18.
До маршрутизации трафик адрес источника 10.6.85.0/24 исключить адрес назначения 194.0.131.18 протокол tcp порты  80,8080 перенаправить на порт 3128
-A PREROUTING -s 10.6.85.0/24 ! -d 194.0.131.18 -p tcp -m multiport --dports 80,8080 -j REDIRECT --to-ports 3128
-A PREROUTING -s 10.6.85.0/24 ! -d 194.0.131.18 -p tcp -m multiport --dports 443 -j REDIRECT --to-ports 3129
« Последнее редактирование: 15 Февраль 2019, 13:03:49 от Alkantel »

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27352
    • Просмотр профиля
Re: iptables: Пропуск сайта мимо Squid
« Ответ #5 : 15 Февраль 2019, 13:17:01 »
Вот именно - ДО, а не во время.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Alkantel

  • Автор темы
  • Новичок
  • *
  • Сообщений: 10
    • Просмотр профиля
Re: iptables: Пропуск сайта мимо Squid
« Ответ #6 : 15 Февраль 2019, 13:54:59 »
Ну так PREROUTING же и работает ДО маршрутизации. Или Вы о предыдущих моих попытках?

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27352
    • Просмотр профиля
Re: iptables: Пропуск сайта мимо Squid
« Ответ #7 : 15 Февраль 2019, 15:32:11 »
(Нажмите, чтобы показать/скрыть)
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Alkantel

  • Автор темы
  • Новичок
  • *
  • Сообщений: 10
    • Просмотр профиля
Re: iptables: Пропуск сайта мимо Squid
« Ответ #8 : 16 Февраль 2019, 08:43:52 »
AnrDaemon, прочитал про RETURN, и пользовательские цепочки. Интересно, но еще слишком мало опыта, что б их использовать самому. Посему большое спасибо за Ваш ответ.

Оффлайн esgard

  • Новичок
  • *
  • Сообщений: 6
    • Просмотр профиля
Re: iptables: Пропуск сайта мимо Squid
« Ответ #9 : 13 Декабрь 2019, 16:45:14 »
Здравствуйте. Уже много-много дней бьюсь над одной проблемой. И никак не могу ее решить.
Ситуация такая: существует республиканская корпоративная сеть со своим прокси. Мы находимся внутри этой сети. Поднял свой прокси-сервер на сквиде на основе Ubuntu 18.04. Http, https сайты пашут без нареканий. Работает все, кроме почтовых клиентов outlook через exchange. Он должен коннектится к серверу mail.tatar.ru. Причем веб-версия этого же клиента опять же работает.
Звонил даже в техподдержку республиканских прокси, чтобы уточнить какие порты требуются для работы почтового клиента exchange. Требование было только по 443-му порту, ну и проброс mail.tatar.ru через фаервол. Путем наблюдений выяснил, что кроме 443 порта, почтовый клиент юзает еще 135 порт. Его я через сквид пускать не стал, но все равно не канает судя по скрину.

iptables-save:
(Нажмите, чтобы показать/скрыть)
на всякий случай конфиг сквида:
(Нажмите, чтобы показать/скрыть)
И я не пойму что мне делать. То ли прокидывать почту мимо сквида, то ли просто настроить его должным образом.
« Последнее редактирование: 13 Декабрь 2019, 18:05:53 от esgard »

Оффлайн esgard

  • Новичок
  • *
  • Сообщений: 6
    • Просмотр профиля
Re: iptables: Пропуск сайта мимо Squid
« Ответ #10 : 23 Декабрь 2019, 14:11:53 »
Мда. Дело было в том, что я думал, будто бы аутлук ломиться на сервер mail.tatar.ru. Грепал логи инпут, аутпут, форвард, логи сквида. И не мог понять, куда он в итоге попадает. Но вот буквально час глаз зацепился на access.log сквида. И там черным по белому написано:
192.168.163.43 TCP_TUNNEL/502 0 CONNECT outlook.tatar.ru:443 - FIRSTUP_PARENT/85.233.74.5 -Как только добавил этот адрес в исключения сквида почта запахала. Какой же я тугодум а.

 

Страница сгенерирована за 0.155 секунд. Запросов: 24.