[Comm] iptables rules?

[Comm] iptables rules?

[Andrey Rybak]

Привет, community!
Есть проблема - перенести некий веб-сервер с белого адреса на серый. На 
opennet.ru нашел по этой теме статьи. Переброс адресов делается 
средствами iptables. Сделал. Но встает другая проблема - http-трафик на 
сервере, через который делается проброс соединения, заворачивается на 
сквид. Получаю такую картину: tcpdump http запросы к апачу, что 
переносится на серые адреса, видит на входе, а на выходе эти пакеты не 
появляются. В логах сквида эти запросы пишутся как NONE. Не пускает 
тобишь сквид. dst acl в файле squid.conf на этот серый адрес создал. 
Разрешил ему доступ. Не срабатывает. Я уже вообще написал http_access 
allow all. И тут не работает. Так кто виноват - фаерволл или сквид (или 
я :-) )?
Заранее огромное спасибо.

Re: [Comm] iptables rules?

[Dmitriy L. Kruglikov]

On Thu, 30 Mar 2006 17:22:29 +0300
Andrey Rybak wrote:


> Заранее огромное спасибо.
А можно более подробно ...
Где и какие адреса...
Хоть примерно - топологию сети...
Сколько интерфейсов в сервере[ах] ...
Откуда идут запросы и кто их заворачивает куда ...
Потому как без пол-литры я ничего понять не смог, например ... :)


--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov@orionagro.com.ua      |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
 XMPP:dkr6@jabber.ru                  (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/
 
-- Мысль --
Обязанность судьи - исполнять закон, а не создавать его.
		-- Латинская пословица

Re: [Comm] iptables rules?

[Rinat]

Andrey Rybak пишет:
> Привет, community!
> Есть проблема - перенести некий веб-сервер с белого адреса на серый. На 
> opennet.ru нашел по этой теме статьи. Переброс адресов делается 
> средствами iptables. Сделал. Но встает другая проблема - http-трафик на 
> сервере, через который делается проброс соединения, заворачивается на 
> сквид. Получаю такую картину: tcpdump http запросы к апачу, что 
> переносится на серые адреса, видит на входе, а на выходе эти пакеты не 
> появляются. В логах сквида эти запросы пишутся как NONE. Не пускает 
> тобишь сквид. dst acl в файле squid.conf на этот серый адрес создал. 
> Разрешил ему доступ. Не срабатывает. Я уже вообще написал http_access 
> allow all. И тут не работает. Так кто виноват - фаерволл или сквид (или 
> я :-) )?
возможно с роутингом проблемы....

Re: [Comm] iptables rules?

[Kaydannik Axel]

Нет все проще господа.

Работой телепатии я догадываюсь что у человека стоит ПРОЗРАЧНЫЙ сквиди
все что касается 80 порта на внутреннем интерфейсе забрасывается на
сквид. отсюда сквид когда к нему забрасывается на вход как бы выход (
тобишь ШТМЛ контент) он теряется конечно же.

Вывод.
Сделать что бы именно с этой машины порты ни на какой сквид не форвардились

На будущее: мог бы и представить правила настроек файрвола, сквида и
примерную топологию, а то - ей богу...

31.03.06, Rinat<alt@tnu.ru> написал(а):
> Andrey Rybak пишет:
> > Привет, community!
> > Есть проблема - перенести некий веб-сервер с белого адреса на серый. На
> > opennet.ru нашел по этой теме статьи. Переброс адресов делается
> > средствами iptables. Сделал. Но встает другая проблема - http-трафик на
> > сервере, через который делается проброс соединения, заворачивается на
> > сквид. Получаю такую картину: tcpdump http запросы к апачу, что
> > переносится на серые адреса, видит на входе, а на выходе эти пакеты не
> > появляются. В логах сквида эти запросы пишутся как NONE. Не пускает
> > тобишь сквид. dst acl в файле squid.conf на этот серый адрес создал.
> > Разрешил ему доступ. Не срабатывает. Я уже вообще написал http_access
> > allow all. И тут не работает. Так кто виноват - фаерволл или сквид (или
> > я :-) )?
> возможно с роутингом проблемы....
> _______________________________________________
> Community mailing list
> Community@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/community

Re: [Comm] iptables rules?

[Andrey Rybak]

Kaydannik Axel пишет:
> Вывод.
> Сделать что бы именно с этой машины порты ни на какой сквид не форвардились
>
> На будущее: мог бы и представить правила настроек файрвола, сквида и
> примерную топологию, а то - ей богу...
>
>   
Предоставлял, но почему-то не дошло. Наверное рисунок схемы в аттачменте 
размером больше допустимого. Попробую псевдографикой.
Правда, вижу, я в ней не силен. Посмотрю, как в рассылке будет. Надеюсь 
переделывать не надо будет.

Схема в атачменте

На шлюзе (1.1.1.1)
в фаерволле
iptables -t nat -A PREROUTING -p TCP -d 3.3.3.3 --dport 80 -j DNAT 
--to-destination 10.10.10.10:80
iptables -A FORWARD -p TCP -d 10.10.10.10/32 --dport 80 -j ACCEPT
iptables -A FORWARD -p TCP -s 10.10.10.1/32 --sport 80 -j ACCEPT

На сервере (серые адреса не за натом), через который проброс делается и 
на котором прозрачный сквид (2.2.2.2)
в фаерволле
iptables -t nat -p TCP -A PREROUTING -s 0/0 -d 10.10.10.10/32 --dport 80 
-j ACCEPT
iptables -p TCP -A INPUT -d 10.10.10.10/32 --dport 80 -j ACCEPT
iptables -p TCP -A OUTPUT -d 10.10.10.10/32 --dport 80 -j ACCEPT

в конфигурации сквида
acl myacl dst 10.10.10.10/32
http_access  allow myacl




мир
|
---------------------------------------
шлюз
iptables
1.1.1.1
-----------------------------------------
|                                          |
|                                          |
------------------------                       ------------------------
3.3.3.3                                               2.2.2.2
то, что переносим                      Здесь у меня iptables&squid
----------------------------------                       
-------------------------------
                                                  |
                                                  |
                                                              
------------------------------
                                                                      
Серый адрес, куда надо перенести
                                                                10.10.10.10
                                                                 
-----------------------------

Re: [Comm] iptables rules?

[Andrey Rybak]

Елки-палки - угадал, что плохо.
А вот так, наверно лучше:
                             мир
                                |
           ---------------------------------------
                         шлюз
                        iptables
                          1.1.1.1
          ----------------------------------------
               |                                      |
               |                                      |
------------------------                           ------------------------
3.3.3.3                                                         2.2.2.2
то, что переносим                     Здесь у меня iptables&squid
----------------------------------                     
-------------------------------
                                                                           |
                                                                           |
                                                               
------------------------------
                                                         Серый адрес, 
куда надо перенести
                                                                    
10.10.10.10
                                                                
-----------------------------

Re: [Comm] iptables rules?

[Andrey Rybak]

Kaydannik Axel пишет:
> Нет все проще господа.
>
> Работой телепатии я догадываюсь что у человека стоит ПРОЗРАЧНЫЙ сквиди
> все что касается 80 порта на внутреннем интерфейсе забрасывается на
> сквид. отсюда сквид когда к нему забрасывается на вход как бы выход (
> тобишь ШТМЛ контент) он теряется конечно же.
>
> Вывод.
> Сделать что бы именно с этой машины порты ни на какой сквид не форвардились
>
>   
Есть такое правило, причем перед заворотом на сквид:

iptables -t nat -p TCP -A PREROUTING -s 0/0 -d 10.10.10.10/32 --dport 80 -j ACCEPT

Re: [Comm] iptables rules?

[Шенцев Алексей Владимирович]

В сообщении от 31 марта 2006 16:08 Andrey Rybak написал(a):
> iptables -t nat -p TCP -A PREROUTING -s 0/0 -d 10.10.10.10/32 --dport 80 -j
> ACCEPT
А не поможет ещё и добавление правила для форвардинга на/с этого сервака?
-- 
С уважением, Шенцев Алексей Владимирович (AShen)
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [Comm] iptables rules?

[Andrey Rybak]

Шенцев Алексей Владимирович пишет:
> В сообщении от 31 марта 2006 16:08 Andrey Rybak написал(a):
>   
>> iptables -t nat -p TCP -A PREROUTING -s 0/0 -d 10.10.10.10/32 --dport 80 -j
>> ACCEPT
>>     
> А не поможет ещё и добавление правила для форвардинга на/с этого сервака?
>   
Форвардинг не нужен, потому что трафик идет через сквид, а значит пакеты 
не попадают в цепочку форварда, а попадают в INPUT&OUTPUT.

Re: [Comm] iptables rules?

[Andrey Rybak]

Kaydannik Axel пишет:
> Нет все проще господа.
>
> Работой телепатии я догадываюсь что у человека стоит ПРОЗРАЧНЫЙ сквиди
> все что касается 80 порта на внутреннем интерфейсе забрасывается на
> сквид. отсюда сквид когда к нему забрасывается на вход как бы выход (
> тобишь ШТМЛ контент) он теряется конечно же.
>
> Вывод.
> Сделать что бы именно с этой машины порты ни на какой сквид не форвардились
>   
Ну так именно это и не выходит. Так как?
Есть второе решение - заставить сквид пропускать html пакеты на и с этой 
машины. Тоже не выходит.

Re: [Comm] iptables rules?[JT]

[Мерзляков Евгений Анатольевич]

On Tue, 04 Apr 2006 13:38:08 +0300
Andrey Rybak <ra@iop.kiev.ua> wrote:

> Subj: iptables rules?

спрашиваете еще, конечно рулез :)

-- 
Мерзляков Е.А.							icq: #115657846

Re: [Comm] iptables rules?[JT]

[Andrey Rybak]

>> Subj: iptables rules?
>>     
>
> спрашиваете еще, конечно рулез :)
>
>   
Не издевайтесь а лучше подскажите, хоть что-нибудь. А то я уже начинаю 
сомневаться, что я сам рулез или нет :-(

Re: [Comm] iptables rules?[JT]

[Michael Shigorin]

On Tue, Apr 04, 2006 at 07:09:16PM +0300, Andrey Rybak wrote:
> >> Subj: iptables rules?
> > спрашиваете еще, конечно рулез :)
> Не издевайтесь а лучше подскажите, хоть что-нибудь. А то я уже
> начинаю сомневаться, что я сам рулез или нет :-(

Эээ... а шо надо-то?  Мож это?
http://old.linux.kiev.ua/~mike/docs/iptables-sample4router

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/