Re: [Comm] IPTABLES more problem

[Ilia Menchikh <meniluha@mailru.com>]

On Thu, 9 Jan 2003 11:12:42 +0500
Igor Solovyov <gosha@zkb.ru> wrote:

> Hi All!
> 
> Как говорится "чем дальше в лес, тем больше дров".
> Исследование iptables, как замены ipchains продолжается
> и пока ничего хорошего я не добился. :-((
> 
> В общем-то в основном все работает, но три неразрешимые (надеюсь
> пока) проблемы остались.
> 
> 1. Не работает "Transparent proxy". Сразу оговорюсь, на этой же
> машине, без каких либо изменений, с этим работает ipchains.
> "Неработа" заключается в следующем: обрезаются адреса в запросе.
> Пример: в браузере набран адрес http://www.xxxx.ru/index.html,
> в логах сквида запрос виден как GET /index.html и естественно
> не проходит. Объяснения этому пока так и не удалось найти.
> (еще раз напомню - с ipchains на этой же машине все работает).

Стоит transparent proxy на Master+updates. Через iptables все ходят
нормально. 
iptables -t nat -A PREROUTING -p tcp --destination-port 80 \
-j REDIRECT --to-ports 3128
iptables -t nat -A PREROUTING -p tcp --destination-port 443 \
-j REDIRECT --to-ports 3128
И все жужжит.

Варианты: 
У виндовых машин остались левые адреса прокси-сервера.
Грабли с настройкой сквида.

2. А если так:
iptables -t nat -A PREROUTING -p tcp -d $IP --destination-port 490 \
-j DNAT --to-destination 192.168.63.120:490

> REDIRECT с машины 192.168.63.200:490 на машину 192.168.63.120:490
> не происходит. Никакой ругани в логах при этом нет. Сразу скажу,
> что во всех местах, где пакеты не пропускаются стоит -j LOG.
> А по логам видно, что при этом редиректе пакеты нигде не
> отфильтровываются, иначе я их увидел бы.
> Они просто исчезают в никуда. :-(((

А в INPUT явно разрешен коннект к 490 порту?

> 3. Безобразно работают машины из сетей, попадающих на этот рутер
> через тунели. 

Вот этого у меня нету (( 

-- 
Regards
Ilia Menchikh
JID ililina@jabber.vitamin-e.ru