[Comm] Завернуть трафик на прокси

[Comm] Завернуть трафик на прокси

[Кочетков Владимир]

Здравствуйте, community !

Ситуация такая. Есть шлюз в мою сеть, доступ в инет вся сетка получает
через прокси, установленный на нем. Прокси ходит через выделенный
виртуальный интерфейс. Сам прокси прозрачный, трафик на него
заворичивается в PREROUTING iptables.
Например:
-A PREROUTING -s 192.168.1.39 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8080

Повторюсь, доступ в инет только через прокси. Или, если точнее, только
от ip адреса, заданного виртуальному интерфейсу, через который ходит
прокси.

Не могу придумать как завернуть трафик самого шлюза на прохождение
через прокси. Речь сейчас идет только об обновлении clamav.
Логичным представляется добавление аналогичного правила заворота в
цепочку OUTPUT, но по какому признаку отделить трафик clamav от
трафика самого прокси ?

-- 
С уважением,
 Кочетков Владимир                      mailto:kvn@toltc.samen.elektra.ru
 Тольяттинские тепловые сети

Re: [Comm] Завернуть трафик на прокси

[Alexey Morsov]

Кочетков Владимир wrote:

> Логичным представляется добавление аналогичного правила заворота в
> цепочку OUTPUT, но по какому признаку отделить трафик clamav от
> трафика самого прокси ?
по -d :) если у вас кроме самого clamav на его сервера лазить не собирается

-- 
Всего наилучшего,
Системный Администратор ЗАО "ИК "РИКОМ-ТРАСТ"
Алексей Морсов
ICQ: 196766290
Jabber: Samurai@jabber.pibhe.com
http://www.ricom.ru
http://www.fondmarket.ru

Re[2]: [Comm] Завернуть трафик на прокси

[Кочетков Владимир]

Здравствуйте, Alexey.

Вы писали 20 июня 2005 г., 13:53:45:


AM> Кочетков Владимир wrote:

>> Логичным представляется добавление аналогичного правила заворота в
>> цепочку OUTPUT, но по какому признаку отделить трафик clamav от
>> трафика самого прокси ?
AM> по -d :) если у вас кроме самого clamav на его сервера лазить не собирается

Думал.
Только вот по database.clamav.net дается 12 ip адресов, какой выбрать?

И вдобавок если кто то через прокси захочет туда-же ? Зациклится ?

Хотя есть идея, если прокси пустить через родительский.
Видимо все запросы прокси будут направлены только ему ?
Если завернуть все, кроме адреса родительского - сработает ?

-- 
С уважением,
 Кочетков                          mailto:kvn@toltc.samen.elektra.ru

Re: [Comm] Завернуть трафик на прокси

[Alexey Morsov]

Кочетков Владимир wrote:
> 
> Думал.
> Только вот по database.clamav.net дается 12 ip адресов, какой выбрать?
Так.. а вообще от куда это clamav ломиться?
Может пустить его напрямую

-- 
Всего наилучшего,
Системный Администратор ЗАО "ИК "РИКОМ-ТРАСТ"
Алексей Морсов
ICQ: 196766290
Jabber: Samurai@jabber.pibhe.com
http://www.ricom.ru
http://www.fondmarket.ru

Re[2]: [Comm] Завернуть трафик на прокси

[Кочетков Владимир]

Здравствуйте, Alexey.

Вы писали 20 июня 2005 г., 15:08:06:


AM> Кочетков Владимир wrote:
>> 
>> Думал.
>> Только вот по database.clamav.net дается 12 ip адресов, какой выбрать?
AM> Так.. а вообще от куда это clamav ломиться?
AM> Может пустить его напрямую


Так со шлюза и ломится, и прокси на нем же.
Только прямо его никто не пропустит.
Нужно чтобы обращение шло с определенного ip адреса. Этот ip адрес
висит на виртуальном интерфейсе через который ходит прокси.

Хотя... Может если через nat поменять источник.
Обдумаю.

-- 
С уважением,
 Кочетков                          mailto:kvn@toltc.samen.elektra.ru

Re: [Comm] Завернуть трафик на прокси

[Pavel S. Khmelinsky]

Кочетков Владимир wrote:
> Здравствуйте, community !
> 
> Ситуация такая. Есть шлюз в мою сеть, доступ в инет вся сетка получает
> через прокси, установленный на нем. Прокси ходит через выделенный
> виртуальный интерфейс. Сам прокси прозрачный, трафик на него
> заворичивается в PREROUTING iptables.
> Например:
> -A PREROUTING -s 192.168.1.39 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8080
> 
> Повторюсь, доступ в инет только через прокси. Или, если точнее, только
> от ip адреса, заданного виртуальному интерфейсу, через который ходит
> прокси.
> 
> Не могу придумать как завернуть трафик самого шлюза на прохождение
> через прокси. Речь сейчас идет только об обновлении clamav.
> Логичным представляется добавление аналогичного правила заворота в
> цепочку OUTPUT, но по какому признаку отделить трафик clamav от
> трафика самого прокси ?

Т.е. у Вас есть какой-то хитрый прокси, который сам в интрнет попадает, но на 
столько не стандартными средствами что никто кроме этого проски в инет ходить не 
умеет на прямую? Проблема на лицо, она же и решение. ;)

Не нужно отделять трафик кламава от прокси. Нужно ВЫДЯЛЕТЬ трафик прокси от 
всего остального. Т.е. в таблице OUTPUT делаете серии правил следующего смысла
все что прокси -j ACCEPT
все что не проски -j ЗАВОРАЧИВАЕМ НА ПРОСКИ

В Вашем случае прокси -- это, скорее всего, два в одном прокси+демон тунеля, а 
значит уже "запроксированный" трафик выглядит совершенно определенным образом, 
например идет на строго определенный адрес (или набор адресов), если это не так, 
и Ваш прокси ходит в интернет стандартными средствами я не вижу причин почему 
прочие программы Вашего сервера не могут делать тоже самое.


-- 
Pavel S. Khmelinsky <hmepas@yauza.ru>
System Administrator,
ISP Yauza Telecom
http://www.yauza.ru