proxy_iptables

zdraveite, imam edna linux mashina za ruter s realni IPta
neta mi vliza ot Eth0 i izliza prez Eth1 vsi4ko e s realni IPta
kakyv e sintaksisa na iptables da nakaram idvashtite zaqvki ot klientite port 80 da otivat na druga mashina na port 3128 ?
mychih slednoto neshto no togava mi umrq neta,ne zarejda stranici:

iptables -A PREROUTING -t nat -s $IP_Klient -d 0/0 -p tcp --dport 80 -j DNAT --to-destination $IP_Druga_mashina:3128

iptables -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 --dport 80 -j REDIRECT --to-port 3128

ako sam razbral pravilno problema...iskash zaiavkite koito idvat kam port80 na eth0 da badat prenasochvani kam mashina zad rutera na port 3128.
ako e taka naistina...zashtoto se chudeh za kakvi klienti govorish...zashtoto ima klienti zad rutera koito izlizat za internet navun...no ima i koienti otvun koito polzvat WEB server koito po opisanieto ti predpolagam che e zad rutera i shte slusha na 3128.ta ako e taka kakto predpolagam az bih podhodil po slednia nachin

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to ip_na_sistemata_koiato_shte_e_web_server:3128

uspeh

FallenAngel, probvah predlojenoto ot teb no rezultata e syshtiq kakto :(
zna4i situaciqta e slednata:

internet <--->|Eth0-(router)-Eth1|<------>klienti polzvashti internet
|<------> SQUID
Squid-a e na druga mashina koqto e na Eth1 , kydeto syshto sa i klientite polzvashti internet
ta vsi4ki zaqvki ot klientite na port 80 iskam da prenaso4a kym 3128 , kym Squid-a koito e na druga mashina.

sega veche mi stana iasno kakav e problema:) i vse pak da povtorim
imash server1 na koito eth0 e interneta, eth1 kam vutreshnata mreja, no squid (proxito) se namira na druga mashina (server2) server2 poluchava interneta si ot server1 i sushtevremenno server2 e proxy i ti iskash da nakarash vsichki zaiavki ot klientite ti na internet nasocheni kam 80 da otivat kam 3128 na server2
ima dva nachina za postigane na rezultat po tvoia problem
1. Nastroivash vsichki klientski mashini da polzvat proxy (s IP server2:3128)
2. Karash SQUID da chaka zaiavki na 80 (/etc/services) no triabva da izkliuchish apache ako raboti na sushtata mashina(server2) zashtoto i to chaka zaiavki na toia port.

p.s. Obache ima neshto mutno v tova koeto iskash da napravish.sega sam malko sunen ama vse pak ne mi izglejda vsichko chisto;)
ako edin klient iska da se svurje kam internet prez server1 toi ne otpravia zaiavka kam port 80 na tozi server.
taka che ostava samo reshenie nomer1

${IPTABLES} -A in_syns -p tcp --dport 80 -j ACCEPT
${IPTABLES} -A in_syns -p tcp --dport 3128 -i eth0 -j ACCEPT
${IPTABLES} -A in_syns -p tcp --dport 3128 -i eth2 -j ACCEPT

${IPTABLES} -A FORWARD -s 212.36.6.0/26 -i eth1 -o eth0 -j ACCEPT

neshto ne moga da vdiana postingite ti po temata ,no da predpolojim che e poradi fakta da vijdam momiche da se vkliuchva v razgovor na tema IPTABLES
bih go obsudil na jivo problema...osven ako ne si niakoi gei de;))) shtoto pak kazvam...momiche i IPTABLES...vse edno taliban kosmonavt:)))

eto ti raboteshtoto reshenie.

iptables -t nat -A PREROUTING -p tcp -s ip.to.na.proxyto/32 --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -s tvoite.vutreshni.ip.ta/24 --dport 80 -j DNAT --to-destination proxy.neshtosi.bg:3128

dotuk s iptables-a. sia malko za squid-a.

squid-a triabva da bude kompiliran s poddrujka na netfilter-transparent-proxy.

sled tova v conf-a triabva da vidish dali tezi neshta sa opisani kakto sledva:

httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_single_host off
httpd_accel_with_proxy on
httpd_accel_uses_host_header on

kato napravish vsichko tova shte raboti vsichko

uspeh :)

ne mi e iasno nai vajnoto neshto po temata;)))) zashto otgovariash na men:)
1.Az ne sam pital nishto v tozi posting:)
2.Pri men vsichko si raboti idealno taka kakto az sam precenil da si go konfiguriram;)
3.vij tochki 1 i 2

ehh che sme dokachlivi :)

otgovorut e mnogo prost :) polzvam klubovete vuv FLAT-based rejim, a ne v TREE-based
ot tam e stanala i greshkata, zashtoto sum natisnal nepravilnia buton, t.e poslednia :)

losho niama:)
vajnoto e laf da stava i vreme da minava

Alcoholic , tova koeto si predlojil naistina ba4ka no samo s NAT mreja
a az iskam s realni IPta da go polzvam...

iptables -t nat -A PREROUTING -p tcp -s ip.to.na.proxyto/32 --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -s tvoite.vutreshni.ip.ta/24 --dport 80 -j DNAT --to-destination proxy.neshtosi.bg:3128

Ами не пиши iptables -t nat -A PREROUTING , a iptables -A FORWARD

Всичко буква по буква искаш.......

:) от къде ги paste-на ? Нищо общо с темата нямат. И освен това с променливи...
Карай дискусия да става
Що не кажеш и една две думи

raboti sus vsichko koeto si pojelaesh i tochno po nachina koito ti dadoh.

daje mojesh kum remote-proxy-server da prenasochvash zaiavkite, kato te shte otivat pri nego ot istinskia REALEN adres na klienta.

po nachina koito ti mi dade pri men raboti samo s natnata mreja , s realni IPta neiska

e dobre de.

pogledni log-a na squid-a.
vij kakvo kazva toi?

vuobshte zaiavkite stigat li do nego ?

iptables -L -n -v -x -t nat |grep DNAT

vij dali prez praviloto minava trafik.

dai malko poveche info.

ok...
zna4i v LOGs na SQUID-a nishto ne se vijda, izobshto ne izpisva che IPta mi dava zaqvka...
zna4i s dvata reda na iptables kakto ti poso4i:
iptables -t nat -A PREROUTING -p tcp -s proxyto/32 --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -s moetoIP/32 --dport 80 -j DNAT --to-destination proxyto:3128

sled opit da otvorq sait mi dava sled 1min che nemoje da nameri stranicata, dadoh i iptables -L -n -v -x -t nat |grep DNAT eto rezultata:
1 48 DNAT tcp -- * * moetoIP 0.0.0.0/0 tcp dpt:80 to:proxyto:3128

tova e, davai idei da chovyrkam :)
no nali ti kazah s NATnata mreja dertove nqmam, no s realnite eto tova e... :-(

eegati sluchaia .... poltargaist ....

probvai da ne prenasochvash kum tvoeto proxy, ami kum niakoe drugo
da rechem: cache.bt.net:3128

otvoreno e za cial sviat.

probvai natam dali shte minavat zaiavkite ti.

neshto zeha da mi se izcherpvat ideite
puk da govoria na sliapo neshto .....

opitai pak.

ako triabva zadai tochno opredelen source-adres a ne 0/0 za DNAt-a