iptables internet naar local proxy 8080 forwarden

[Multispeed]

Hoi,

Ik zit met een probleempje ik ben een test situatie aan het maken waar in op 1 server het internet zit en de proxy draait

eth0 = extern
eth1 = intern

de proxy draait op 8080 op ip 10.0.0.1 .

Wat ik nu wil is dat als iemand een request doet naar de gateway 10.0.0.1 dat hij dat lokaal redirect naar de proxy 8080. Dit moet wel aangezien het pakket niet met een proxy kan werken. Ik heb al veel artikelen gezien op het GoT en internet maar dat is allemaal specifiek voor die situatie. Ik kom er dus ook niet helemaal uit aangezien ik misschien wel een andere externe IF heb dan iemand anders.

Ik hoop dat iemand mij toch kan helpen.

Dit gebruik ik nu

code:

iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 80 -j DNAT --to 10.0.0.1:8080

[MTWZZ]

Uit de Squid FAQ:

You may need to enable packet forwarding (e.g. in your startup scripts):

code:

echo 1 > /proc/sys/net/ipv4/ip_forward

Use the iptables command to make your kernel intercept HTTP connections and send them to Squid:

code:

iptables -t nat -A PREROUTING -i eth0 -d 10.0.0.0/255.255.255.0 ACCEPT
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8080

Bedenk wel dat transparant proxy'en je connectiviteit kan breken. Vaak werkt het prima maar af en toe raak je je verbinding wel eens kwijt zonder aanwijsbare reden

[Multispeed]

Ik ga dit zo gelijk proberen

je hoort nog of het gelukt is

[Multispeed]

Geprobeerd eerst gaf hij een foutmelding op ACCEPT die weg gehaald geen foutmelding meer. Maar als ik naar internet ga en ik tail -f /var/log/squid/acces.log zie ik het niet voorbij komen

MTWZZ schreef op donderdag 31 augustus 2006 @ 14:09:
Uit de Squid FAQ:

[...]


Bedenk wel dat transparant proxy'en je connectiviteit kan breken. Vaak werkt het prima maar af en toe raak je je verbinding wel eens kwijt zonder aanwijsbare reden

[MTWZZ]

Thuis heb ik hem zo:

code:

$ipt -t nat -A PREROUTING -i $intif -s ! $proxy -p tcp --dport 80 -j DNAT --to $proxy:$proxy_port

Waar:
$ipt = "/usr/sbin/iptables" of waar ie anders staat
$intif = "eth0" of een andere interne interface waar je verkeer op binnenkomt
$proxy = "10.0.0.1" IP adres van je proxy server
$proxy_port = "8080" TCP port van je proxy server

Suc6

[ Voor 87% gewijzigd door MTWZZ op 31-08-2006 15:38 ]

[Multispeed]

en dat is de enige regel die jij gebruikt om te natten en het vervolgend te forwarden ???

als ik alle IPTABLES regels flush en dan jou regel gebruikt kan ik niet op internet

want bij mij werkt dit ook niet

MTWZZ schreef op donderdag 31 augustus 2006 @ 15:31:
Thuis heb ik hem zo:

code:

$ipt -t nat -A PREROUTING -i $intif -s ! $proxy -p tcp --dport 80 -j DNAT --to $proxy:$proxy_port

Waar:
$ipt = "/usr/sbin/iptables" of waar ie anders staat
$intif = "eth0" of een andere interne interface waar je verkeer op binnenkomt
$proxy = "10.0.0.1" IP adres van je proxy server
$proxy_port = "8080" TCP port van je proxy server

Suc6

[ Voor 6% gewijzigd door Multispeed op 31-08-2006 15:54 ]

[MTWZZ]

Wat in princiepe genoeg is om een thuis netwerk het internet op te krijgen is het volgende uitgaande van een lege iptables: (niet getest btw maar ik heb zoiets gehad toen ik net begon met ADSL )

code:

ipt -A FORWARD -j ACCEPT -s <intern_netwerk>
ipt -A FORWARD -j ACCEPT -d <intern_netwerk>

ipt -t nat -A POSTROUTING -j MASQUERADE -s <intern_netwerk> -d ! <intern_netwerk>

Wat me echter beter lijkt als je alles achter je proxy wil houden is het volgende:
- proxy server op je gateway die luistert op je interne interface

code:

# Uitgaand verkeer blocken dat van je interne netwerk naar buiten wil
ipt -A OUTPUT -j DROP -s <intern_netwerk> -o <externe_interface>

# Transparant proxy'en
ipt -A PREROUTING -j DNAT -i <intern_interface> -s ! <proxy_ip> -p tcp --dport 80 --to <proxy_ip>:<proxy_port>

Zou theoretisch genoeg moeten zijn. Mocht je meer willen kijk dan ook eens naar het volgende script http://dev.barad-dur.nl/vuurmuur/vm8 wat ik zelf (maar net iets anders) ook gebruik.