Freesco, NND, CDN, EOS
http://forum.freesco.pl/

Squid problem z przekierowaniem.
http://forum.freesco.pl/viewtopic.php?f=22&t=15387		 Strona 1 z 1
Autor:  Paulina [ sobota, 26 maja 2007, 12:13 ]
Tytuł:  Squid problem z przekierowaniem.
Cześć,

Mam squida skonfigurowanego jako transparent i chcąc wymusić na każdym korzystanie z proxy.P
ostanowiłam przekierować wszystko na squida.
No i niestety przekierowanie nie działa męczę już się z tym trochę czasu...
Squid działa tylko wtedy jak w przeglądarce ustawię proxy.

Obrazek

Na powyższym screenie widać z i bez proxy.
Po wyłączeniu proxy jest tak samo jak na obrazku tym niżej.
No czyli to przekierowanie nie działa.

Robię to tak:
: [/] [] ()
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 8080
GeSHi © Codebox Plus

No i nic.
A mam takie interfejsy eth0, eth1 i ppp0.
eth0 podpięty jest modem.
eth1 podpięty jest swith.
ppp0 interfejs do neta.

: [/] [] ()
# squid.conf
# Opisy by Adi v 0.5 2005-08-18
# Stworzony przez Generator Konfiguracji Squid'a dla NND by Adi'2005
# Wersja generatora: 0.1 z 2005.09.16
# Data i godzina utworzenia pliku: 2007-05-18 11:53:46
# Kopia poprzedniej konfiguracji (jezeli byla): /etc/squid/squid.conf.bac      

# Ustawiamy porty na ktorych pracuje squid (http:3128 lub 8080 icp:3130 8082)
http_port 8080 transparent
icp_port 3130

# Ustawiamy wielko.ć pamięci Cache (dla 128 MB RAM'u wystarczy 32 MB)
cache_mem 24 MB

# Ustawiamy srednia oczekiwana (14 KB) i maksymalna wielkosc obiektow (2 MB)
# oraz maksymalna wielkosc obiektu w pamieci (16 KB)
store_avg_object_size 14 KB
maximum_object_size 3072 KB
maximum_object_size_in_memory 16 KB

# Jakiego typu bedzie cache, gdzie bedzie cache na dysku
# ile będzie zajmowal miejsca i jaka bedzie struktura katalogow
cache_dir ufs /var/cache/squid 192 16 128

# Gdzie Squid ma zapisywać logi wylaczamy zmieniajac sciezke na none
# np: cache_log none
cache_log /var/log/squid/cache.log
cache_access_log /var/log/squid/access.log
cache_store_log /var/log/squid/store.log

# Ile plikow zapasowych do logow
logfile_rotate 7

# Buforujemy logowanie
buffered_logs on

# Ustawiamy komunikaty o bledach na jezyk polski
error_directory /usr/share/squid/errors/Polish

# Logujemy rowniez zapytania ICP
log_icp_queries on

# Poziom logowania
debug_options ALL,1

# Gdzie ma sie znajdowac plik .pid
pid_filename /var/run/squid.pid         

# Poziom uzytkownika na ktorym pracuje squid (musi byc zdefiniowany w systemie)
cache_effective_user proxy
cache_effective_group proxy

# Nazwa routera ( nazwa z pliku /etc/HOSTNAME)
visible_hostname serwer

# Serwery DNS dla Squid'a (pobrane z pliku /etc/resolv.conf)
dns_nameservers 194.204.159.1 217.98.63.164  127.0.0.1

# Korekta odswiezania dla Internet Explorera
ie_refresh on

# Tworzymy grupy i ustawiamy ich parametry
# Grupa all - dla wszystkich uzytkownikow i wszystkich sieci
acl all src 0.0.0.0/0.0.0.0

# Grupa localnet - czyli nasza lokalna siec
acl localnet src 192.168.1.0/255.255.255.0

# Grupa dla Squid'a
acl manager proto cache_object

# Grupa dla routera (localhost)
acl localhost src 127.0.0.1/255.255.255.255

# Wylaczamy obsluge FTP przez Squid'a
acl FTP proto FTP
always_direct allow FTP

# Wylaczamy skrypty CGI z obslugi przez Squid'a
acl QUERY urlpath_regex cgi-bin cgi \?
no_cache deny QUERY

# Zaufane porty, na których będzie pracował Squid
acl SSL_ports port 443 563
acl Safe_ports port 80 21 443 563 70 210 1025-65535
acl Safe_ports port 280      # http-mgmt
acl Safe_ports port 488      # gss-http
acl Safe_ports port 591      # filemaker
acl Safe_ports port 777      # multiling http
acl CONNECT method CONNECT

# Ustawiamy warunki dostepow dla zdefiniowanych grup
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localnet
http_access deny all
icp_access allow all

# Reguly odswiezania - zalecany standard dla Squid'a z dodatkami ;-)
refresh_pattern -i (.*jpg$|.*gif$) 0 50% 28800
refresh_pattern -i (.*html$|.*htm|.*shtml) 0 20% 1440
refresh_pattern (http://.*/$) 0 20% 1440
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
GeSHi © Codebox Plus
Autor:  tasiorek [ sobota, 26 maja 2007, 12:29 ]
Tytuł: 
To czy zapytanie idzie przez proxy sprawdzaj np. tu: http://www.lagado.com/proxy-test
Autor:  Paulina [ sobota, 26 maja 2007, 12:35 ]
Tytuł: 
Po ustawieniu w przeglądarce idzie przez proxy.
Strona którą podałeś również to potwierdza.
Autor:  zciech [ sobota, 26 maja 2007, 12:49 ]
Tytuł: 
Przekierowanie jest jak najbardziej prawidłwe.
Proszę o wynik:
iptables -t nat -L PREROUTING -nv

sprawdż ifconfig czy na pewno [-i eth1]
Autor:  Paulina [ sobota, 26 maja 2007, 13:01 ]
Tytuł: 
: [/] [] ()
[root@serwer ~]# iptables -t nat -L PREROUTING -nv
Chain PREROUTING (policy ACCEPT 33654 packets, 1807K bytes)
 pkts bytes target     prot opt in     out     source               destination
  106  5088 REDIRECT   tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 redir ports 8080
[root@serwer ~]# ifconfig
eth0      Link encap:Ethernet  HWaddr 00:30:4F:28:93:77
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:824555 errors:0 dropped:0 overruns:0 frame:0
          TX packets:520998 errors:0 dropped:0 overruns:0 carrier:0
          collisions:599 txqueuelen:1000
          RX bytes:1090715308 (1040.1 Mb)  TX bytes:64952693 (61.9 Mb)
          Interrupt:15 Base address:0xd000

eth1      Link encap:Ethernet  HWaddr 00:02:44:88:09:C7
          inet addr:192.168.1.1  Bcast:192.168.1.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:554227 errors:0 dropped:0 overruns:0 frame:0
          TX packets:917099 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:76897989 (73.3 Mb)  TX bytes:1112358636 (1060.8 Mb)
          Interrupt:12 Base address:0xf000

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:1624 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1624 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:305796 (298.6 Kb)  TX bytes:305796 (298.6 Kb)

ppp0      Link encap:Point-to-Point Protocol
          inet addr:83.23.246.xx  P-t-P:213.25.2.41  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1492  Metric:1
          RX packets:521966 errors:0 dropped:0 overruns:0 frame:0
          TX packets:315638 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3
          RX bytes:714978592 (681.8 Mb)  TX bytes:22018522 (20.9 Mb)
GeSHi © Codebox Plus
Autor:  zciech [ sobota, 26 maja 2007, 13:20 ]
Tytuł: 
: [/] [] ()
[root@serwer ~]# iptables -t nat -L PREROUTING -nv
Chain PREROUTING (policy ACCEPT 33654 packets, 1807K bytes)
 pkts bytes target     prot opt in     out     source               destination
  106  5088 REDIRECT   tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 redir ports 8080
GeSHi © Codebox Plus

106 5088 swiadczy ze jednak cos regula ta wylapala.

SOA#1 U mnie dziala




Tabela nat dziala tylko na nowo otwierane polaczenia. To znaczy ze jesli mialas otwarta jakas strone to bedzie dzialac bezposrednio, natomiast nowo otwierane strone bedza sie laczyc juz przez przekierowanie.

: [/] [] ()
   16   960 REDIRECT   tcp  --  eth1   *       10.3.51.12           0.0.0.0/0           tcp dpt:80 redir ports 8080
GeSHi © Codebox Plus


10.3.51.12 to adres kompa z ktorego sprawdzam wpisalem by calej sieci nie odciac od www bo ja nie mam squida
Autor:  tasiorek [ sobota, 26 maja 2007, 13:43 ]
Tytuł: 
Po wpisaniu przekierowania uruchom ponownie przegladarke i sprawdz jeszcze raz na tej stronie.
Autor:  Paulina [ sobota, 26 maja 2007, 13:48 ]
Tytuł: 
OK. Po ponownym uruchomieniu IE. :)
Na podanej stronce podaje że proxy jest wykorzystywane, ale i tak nie pobiera tego pliku 1mb z taką prędkością jak po ustawieniu w przeglądarce proxy na sztywno. :twisted:
Dlaczego?
Pobiera tak jak by działało bez proxy.
Autor:  tasiorek [ sobota, 26 maja 2007, 13:50 ]
Tytuł: 
Plik zostal usuniety z cache? Polaczenie jest przycinane przez nice/htb, czy co tam masz?
Autor:  Paulina [ sobota, 26 maja 2007, 13:58 ]
Tytuł: 
O 8O 8O 8O wyłączyłam nice i idzie aż miło. :)
Teraz jeszcze nice i squida pogodzić. :)

Jeszcze raz dzięki!
Autor:  -MW- [ sobota, 26 maja 2007, 14:12 ]
Tytuł: 
Cytuj:
# Grupa localnet - czyli nasza lokalna siec
acl localnet src 192.168.1.0/255.255.255.0

pozwalasz tym a sprawdzasz na innym kompie?
Cytuj:
10.3.51.12 to adres kompa z ktorego sprawdzam wpisalem


a to bym dal tak:
Cytuj:
iptables -t nat -A PREROUTING -i ! eth0 -p tcp --dport 80 -j REDIRECT --to-port 8080
Autor:  Paulina [ sobota, 26 maja 2007, 14:22 ]
Tytuł: 
-MW- dlaczego właśnie tak? Przecież działa.
Tak na innym kompie również działa. Widzę w logach IP'ki.
Autor:  -MW- [ sobota, 26 maja 2007, 14:33 ]
Tytuł: 
Cytuj:
mam takie interfejsy eth0, eth1 i ppp0

ladniej to wyglada :)

Cytuj:
Teraz jeszcze nice i squida pogodzić.

poczesci ci sie to uda, ale ul dalej bedzie przycinany, chyba
ze zrobisz maly myk.
w sumie bardzo prosty i skuteczny w 100% :)

tworzymy na eth1 czyli tym od lanu alias o jakim ip z poza uzywanej klasy adresowej. np.172.0.10.65
Cytuj:
ifconfig eth1:003 172.0.10.65 netmask 255.255.255.252 broadcast 172.0.10.67 up


zmieniamy nieco regulke przekierowujaca pakiety do squida
podajac -d ! 172.0.10.65
Cytuj:
iptables -t nat -A PREROUTING -d ! 172.0.10.65 -i ! eth0 -p tcp --dport 80 -j REDIRECT --to-port 8080

i juz mozemy sie cieszyc nie przycinanym ul do routera pod warunkiem ze zamiast laczyc sie z nim na ip rzeczywistym skorzystamy z nowego ip aliasu zarowno dla ftp czy ssh.

mozna pojsc dalej i ruch kierowany do 172.0.10.65 przekierowac na imq rozbijajac ul i dl na osobne strumyki.
dla wygody i zabezpieczenia sieci mozna na imq ustawic klasy i kolejki z roznymi kryteriami filtrowania.

gdyby ktos byl chetny wyprubowac jak to dziala jako dodatek w moich skryptach sluzacych podzialowi pasma z roznymi dodatkami o wiele skuteczniejszymi niz sam niceshaper to zapraszam na pw.
Autor:  zciech [ sobota, 26 maja 2007, 16:44 ]
Tytuł: 
-MW- pisze:
Cytuj:
# Grupa localnet - czyli nasza lokalna siec
acl localnet src 192.168.1.0/255.255.255.0

pozwalasz tym a sprawdzasz na innym kompie?
Cytuj:
10.3.51.12 to adres kompa z ktorego sprawdzam wpisalem


1. Oj kolega nie raczy czytać uważnie. TO JA mam adresy na 10...
2. Jedynym ifacem lokalnym jest eth1 i niech tak zostanie, nie mąć w głowie dziewczynie.
3. Czyż nie poto robi squida by z niego korzystać?
A poza tym wystarczy wpoisac:
iptables itd...- wykluczajacy jakiś adres z przekierowanie -s ! 192.168.1.25 ale to bez sensu troche.

A jeszcze jedno:
iptables -t nat -A PREROUTING -d ! 172.0.10.65
zauważcie ze w tym momencie pakiety beda mialy adres DOCELOWY (-d) jeszcze nie zmieniony bo dopiero ta regula bedzie zmieniac tan adres z rzeczywistego adresu np. www.wp.pl na adres serwera.
Autor:  -MW- [ sobota, 26 maja 2007, 18:30 ]
Tytuł: 
i dobrze bo wylapane maja byc te do -d 172.0.10.65 czyli do routera, a w polaczeniu z przekierowaniem - u mnie na imq, ale nie musi byc - nie beda ograniczane.
niestety trzeba to wplesc w pozostale skrypty czy programy ktorych sie uzywa do dzielenia lacza.
Autor:  Paulina [ niedziela, 27 maja 2007, 16:46 ]
Tytuł: 
Takie pytanie może trochę nie na temat.

rc.local może tak wyglądać?
Czy może coś źle, nie taka kolejność?...
: [/] [] ()
#!/bin/sh
#
# /etc/rc.d/rc.local:  Local system initialization script.
#
. /etc/rc.conf
. /etc/rc.d/functions

stat_busy "Uruchamianie programow uzytkownika"

hdparm -c1 -d1 -k1 /dev/hda

if [ -x /sbin/arp ]; then
/sbin/arp -f
fi

/etc/rc.d/squid start

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 8080

/etc/rc.d/noip-duc start

/etc/rc.d/proftpd start

/etc/iptables/limit_polaczen

ifconfig eth0 192.168.2.1 up

iptables -t nat -A POSTROUTING -d 192.168.2.2 -j MASQUERADE

stat_done
GeSHi © Codebox Plus
Autor:  JakubC [ niedziela, 27 maja 2007, 17:42 ]
Tytuł: 
Paulina pisze:
]#!/bin/sh
#
# /etc/rc.d/rc.local: Local system initialization script.
#
. /etc/rc.conf
. /etc/rc.d/functions

stat_busy "Uruchamianie programow uzytkownika"

hdparm -c1 -d1 -k1 /dev/hda

if [ -x /sbin/arp ]; then
/sbin/arp -f
fi

/etc/rc.d/squid start
Zamiast tego dopisz w /etc/rc.conf w sekcji DAEMONS squid. Daemonów nie startuje się z rc.local

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 8080

/etc/rc.d/noip-duc start
Tak samo jak w przypadku squida.
/etc/rc.d/proftpd start
Jak wyżej
/etc/iptables/limit_polaczen

ifconfig eth0 192.168.2.1 up
Po co? Dlaczego uwzięłaś się na pingowanie tego modemu?!
iptables -t nat -A POSTROUTING -d 192.168.2.2 -j MASQUERADE
Jak wyżej...
stat_done
Strona 1 z 1 Strefa czasowa UTC+2godz.
Powered by phpBB® Forum Software © phpBB Group
https://www.phpbb.com/