Re: [Comm] Информика 6.0 Школьный : как работает squid?

Re: [Comm] Информика 6.0 Школьный : как работает squid?

[Андрей Черепанов]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

12.07.2013 10:02, Sergei Naumov пишет:
> Добрый день,
> 
> попросили меня поставить 6.0 Школьный. Накатил, завел, поднял два 
> интерфейса (один наружу eth0, другой вовнутрь eth1). Попробовал
> воспользоваться вебовской конфигурилкой для настройки Squid.
> Поставил галку "включить прокси", но почему-то в табличках iptables
> ничего не меняется:
> 
> [root@owl118 sysconfig]# iptables -S -P INPUT ACCEPT -P FORWARD
> ACCEPT -P OUTPUT ACCEPT -A INPUT -f -j DROP -A INPUT -m state
> --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -j ULOG
> --ulog-prefix "icount" --ulog-cprange 48 --ulog-qthreshold 50 -A
> INPUT -i eth0 -p icmp -j ACCEPT -A INPUT -i eth0 -j DROP -A FORWARD
> -f -j DROP -A FORWARD -m state --state RELATED,ESTABLISHED -j
> ACCEPT -A FORWARD -j ULOG --ulog-prefix "fcount" --ulog-cprange 48 
> --ulog-qthreshold 50 -A FORWARD -d 10.74.4.0/27 -i eth0 -j ACCEPT 
> -A FORWARD -m physdev --physdev-is-bridged -j ACCEPT -A FORWARD -i
> eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT -A FORWARD -i
> eth0 -j DROP -A OUTPUT -f -j DROP -A OUTPUT -m state --state
> RELATED,ESTABLISHED -j ACCEPT -A OUTPUT -j ULOG --ulog-prefix
> "ocount" --ulog-cprange 48 --ulog-qthreshold 50
> 
> При этом, squid работает, правда почему-то блокирует 443 порт.
> Вопросы:
> 
> 1. почему в iptables нет форвардов на 3128?
> 
> 2. где вообще узнать, как работают все эти службы в "Школьном"?
Одним из подводных камней в alterator-squid является дописывание
обслуживаемых сетей вручную. Поэтому нужно:
а) прописать сеть с маской в "Разрешённые сети"
б) порты проверить в соотвествующем разделе
в) выбрать режим, включить службу.

- -- 
Андрей Черепанов
ALT Linux
cas@altlinux.ru
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.13 (GNU/Linux)

iEYEARECAAYFAlHfpwYACgkQSGPA9Knr8TEgjwCfaeOu/jEgonnwnVw3ThFFPnSJ
gVsAn12Bre3BWoInjeEfayyCzpFIZuiX
=hCYv
-----END PGP SIGNATURE-----

Re: [Comm] Информика 6.0 Школьный : как работает squid?

[Sergei Naumov]

> > 1. почему в iptables нет форвардов на 3128?
> > 2. где вообще узнать, как работают все эти службы в "Школьном"­?
>
> Одним из подводных камней в alterator-squid является дописывани­е
> обслуживае­мых сетей вручную. Поэтому нужно:
> а) прописать сеть с маской в "Разрешённ­ые сети"
> б) порты проверить в соотвеству­ющем разделе
> в) выбрать режим, включить службу.

А у меня  в разделе указана внутренняя сетка. И служба включена, и squid работает. Но в iptables ничего нет! Правда, я не упомнил, смотрел я "iptables -L" когда прокся была в прозрачном режиме или в обычном. Я ведь правильно понимаю, что в обычном режиме записи в iptables не должны появиться?

-- Sergei

Re: [Comm] Информика 6.0 Школьный : как работает squid?

[Viacheslav Dubrovskyi]

12.07.2013 10:53, Sergei Naumov wrote:
>
>
>> > 1. почему в iptables нет форвардов на 3128?
>> > 2. где вообще узнать, как работают все эти службы в "Школьном"­?
>>
>> Одним из подводных камней в alterator-squid является дописывани­е
>> обслуживае­мых сетей вручную. Поэтому нужно:
>> а) прописать сеть с маской в "Разрешённ­ые сети"
>> б) порты проверить в соотвеству­ющем разделе
>> в) выбрать режим, включить службу.
>
> А у меня  в разделе указана внутренняя сетка. И служба включена, и 
> squid работает. Но в iptables ничего нет! Правда, я не упомнил, 
> смотрел я "iptables -L" когда прокся была в прозрачном режиме или в 
> обычном.
Hint: Если вы хотите посмотреть правила iptables которые заворачивают 
трафик на порт прозрачного прокси, то нужно не забывать, что это 
делается в цепочке PREROUTING таблицы nat. И для того чтобы их 
посмотреть нужно указывать -t nat

-- 
WBR,
Viacheslav Dubrovskyi

Re: [Comm] Информика 6.0 Школьный : как работает squid?

[Андрей Черепанов]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

12.07.2013 11:53, Sergei Naumov пишет:
> 
> 
>>> 1. почему в iptables нет форвардов на 3128? 2. где вообще
>>> узнать, как работают все эти службы в "Школьном"­?
>> 
>> Одним из подводных камней в alterator-squid является
>> дописывани­е обслуживае­мых сетей вручную. Поэтому нужно: а)
>> прописать сеть с маской в "Разрешённ­ые сети" б) порты проверить
>> в соотвеству­ющем разделе в) выбрать режим, включить службу.
> 
> А у меня  в разделе указана внутренняя сетка. И служба включена, и
> squid работает. Но в iptables ничего нет! Правда, я не упомнил,
> смотрел я "iptables -L" когда прокся была в прозрачном режиме или в
> обычном. Я ведь правильно понимаю, что в обычном режиме записи в
> iptables не должны появиться?
Скажу так: в обычном режиме прокси-сервера при включенном NAT для
внешнего интерфейса должен быть такой вывод:

# iptables -L -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  anywhere             anywhere

- -- 
Андрей Черепанов
ALT Linux
cas@altlinux.ru
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.13 (GNU/Linux)

iEYEARECAAYFAlHf0J4ACgkQSGPA9Knr8THjSgCfRgQNTw90BxlrV4xhMYQi7USW
31oAoIeJkCbuHDOEEl3AA7tV5iCetVfh
=uT5C
-----END PGP SIGNATURE-----