[Sysadmins] NAT+squid

[Sysadmins] NAT+squid

[andriy]

Hi, community!
Такой вопрос - на машине 2 сетевые карты(одна смотрит в локалку(eth0), 
другая в инет(eth1)),
установлен squid с NCSA-аутентификацией  - работал спокойно и нормально
Понадобилось для системы БЕСТ-Звит, на одной из машин локальной сети,
с помощью iptables (SNAT) разрешить прохождение 25-го (smtp) и 110-го 
(pop) портов,
сделал
iptables -t nat -A POSTROUTING -p all -o eth1 -j   SNAT --to-source 
xxx.xxx.xxx.xxx:25
iptables -t nat -A POSTROUTING -p all -o eth1 -j   SNAT --to-source 
xxx.xxx.xxx.xxx:110

ххх.ххх.ххх.ххх - статический "внешний" IP-адрес. "внешний"  - потому 
что это большая локалка провайдера.
У провайдера проблем нет.
БЕСТ-Звит работает без проблем, но все что ходит через прокси (http) 
жутко тормозит
и особенно один клиент-банк вообще работать не хочет.
Если делаю на
iptables -t nat -F
все что ходило через прокси, в т.ч. и клиент-банк работает хорошо.
Посоветуйте как решить такую проблему, где читать iptables-tutorial?
Спасибо.

Re: [Sysadmins] NAT+squid

[Denis Nazarov]

On Thursday 23 April 2009 11:13:43 andriy wrote:
> Hi, community!
> Такой вопрос - на машине 2 сетевые карты(одна смотрит в локалку(eth0),
> другая в инет(eth1)),
> установлен squid с NCSA-аутентификацией  - работал спокойно и нормально
> Понадобилось для системы БЕСТ-Звит, на одной из машин локальной сети,
> с помощью iptables (SNAT) разрешить прохождение 25-го (smtp) и 110-го
> (pop) портов,
> сделал
> iptables -t nat -A POSTROUTING -p all -o eth1 -j   SNAT --to-source
> xxx.xxx.xxx.xxx:25
> iptables -t nat -A POSTROUTING -p all -o eth1 -j   SNAT --to-source
> xxx.xxx.xxx.xxx:110
>
> ххх.ххх.ххх.ххх - статический "внешний" IP-адрес. "внешний"  - потому
> что это большая локалка провайдера.
> У провайдера проблем нет.
> БЕСТ-Звит работает без проблем, но все что ходит через прокси (http)
> жутко тормозит
> и особенно один клиент-банк вообще работать не хочет.
> Если делаю на
> iptables -t nat -F
> все что ходило через прокси, в т.ч. и клиент-банк работает хорошо.
> Посоветуйте как решить такую проблему, где читать iptables-tutorial?
> Спасибо.

читать здесь 
http://www.google.ru/search?hl=ru&q=iptables+tutorial+%D1%80%D1%83%D1%81%D1%81%D0%BA%D0%B8%D0%B9&btnG=%D0%9F%D0%BE%D0%B8%D1%81%D0%BA+%D0%B2+Google&lr=&aq=0&oq=iptables+tutorial

Re: [Sysadmins] NAT+squid

[Afanasov Dmitry]

23.04.09, andriy<l.andriy@gmail.com> написал(а):
>  iptables -t nat -A POSTROUTING -p all -o eth1 -j   SNAT --to-source
> xxx.xxx.xxx.xxx:25
что за нафиг - --to-source xxx.xxx.xxx.xxx:25? зачем порт источника
проставлять-то? причем для _всех_ исходящий в eth1 пакетов? включая
squid, кстати.

-- 
С уважением
Афанасов Дмитрий

Re: [Sysadmins] NAT+squid

[andriy]

Afanasov Dmitry написав(ла):
> 23.04.09, andriy<l.andriy@gmail.com> написал(а):
>   
>>  iptables -t nat -A POSTROUTING -p all -o eth1 -j   SNAT --to-source
>> xxx.xxx.xxx.xxx:25
>>     
> что за нафиг - --to-source xxx.xxx.xxx.xxx:25? зачем порт источника
> проставлять-то? причем для _всех_ исходящий в eth1 пакетов? включая
> squid, кстати.
>
>   
Ошибку понял.
А как правильно, чтоб ходил только 25 и 110?

Re: [Sysadmins] NAT+squid

[Afanasov Dmitry]

23.04.09, andriy<l.andriy@gmail.com> написал(а):
> Afanasov Dmitry написав(ла):
>  А как правильно, чтоб ходил только 25 и 110?
программа минимум:
iptables -P FORWARD DROP
iptables -A FORWARD -p tcp -i eth0 -o eth1 --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp -i eth0 -o eth1 --dport 110 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source xxx.xxx.xxx.xxx

можно ещё на всякий:
iptables -A FORWARD -p icmp -j ACCEPT

-- 
С уважением
Афанасов Дмитрий

Re: [Sysadmins] NAT+squid

[andriy]

Afanasov Dmitry написав(ла):
> 23.04.09, andriy<l.andriy@gmail.com> написал(а):
>   
>> Afanasov Dmitry написав(ла):
>>  А как правильно, чтоб ходил только 25 и 110?
>>     
> программа минимум:
> iptables -P FORWARD DROP
> iptables -A FORWARD -p tcp -i eth0 -o eth1 --dport 25 -j ACCEPT
> iptables -A FORWARD -p tcp -i eth0 -o eth1 --dport 110 -j ACCEPT
> iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source xxx.xxx.xxx.xxx
>   
:-(
не работает
> можно ещё на всякий:
> iptables -A FORWARD -p icmp -j ACCEPT
>
>   
с icmp проблем нет и небыло, при старом варианте

Re: [Sysadmins] NAT+squid

[Starodumoff Ilya]

В сообщении от 25 апреля 2009 andriy написал(a):
> Afanasov Dmitry написав(ла):
> > 23.04.09, andriy<l.andriy@gmail.com> написал(а):
> >> Afanasov Dmitry написав(ла):
> >>  А как правильно, чтоб ходил только 25 и 110?
> >
> > программа минимум:
> > iptables -P FORWARD DROP
> > iptables -A FORWARD -p tcp -i eth0 -o eth1 --dport 25 -j ACCEPT
> > iptables -A FORWARD -p tcp -i eth0 -o eth1 --dport 110 -j ACCEPT
> > iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source
> > xxx.xxx.xxx.xxx
> >
> :-(
>
> не работает
и не должно, потому что забыто:
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

-- 
С уважением,
Стародумов Илья

Re: [Sysadmins] NAT+squid

[Alexey I. Froloff]

[-- Attachment #1: Type: text/plain, Size: 543 bytes --]

* Starodumoff Ilya <ripper.mail@> [090425 19:11]:
> > > программа минимум:
> > > iptables -P FORWARD DROP
> > > iptables -A FORWARD -p tcp -i eth0 -o eth1 --dport 25 -j ACCEPT
> > > iptables -A FORWARD -p tcp -i eth0 -o eth1 --dport 110 -j ACCEPT
> > > iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source
> > > xxx.xxx.xxx.xxx
> > не работает
> и не должно, потому что забыто:
> iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
Только в FORWARD.  Хотя и в INPUT тоже не помешает.

-- 
Regards,
Sir Raorn.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] NAT+squid

[Starodumoff Ilya]

В сообщении от 25 апреля 2009 Alexey I. Froloff написал(a):
> > и не должно, потому что забыто:
> > iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
>
> Только в FORWARD.  Хотя и в INPUT тоже не помешает.

Ну да, я тоже "поторопимшись" :)

-- 
С уважением,
Стародумов Илья

Re: [Sysadmins] NAT+squid

[Vyatcheslav Perevalov]

On Saturday 25 April 2009 23:12:01 Alexey I. Froloff wrote:
> Только в FORWARD.  Хотя и в INPUT тоже не помешает.
В INPUT, наверное, надо NEW,ESTABLISHED,RELATED
Хотя, зависит.

-- 
/vip

Re: [Sysadmins] NAT+squid

[Afanasov Dmitry]

26.04.09, Vyatcheslav Perevalov<vip0@seversk.ru> написал(а):
> On Saturday 25 April 2009 23:12:01 Alexey I. Froloff wrote:
>  > Только в FORWARD.  Хотя и в INPUT тоже не помешает.
>
> В INPUT, наверное, надо NEW,ESTABLISHED,RELATED
>  Хотя, зависит.
действительно, зависит. зависит от желания использовать conntrack, не более.

в предыдущем письме я действительно забыл разрешение для обратных пакетов.
-- 
С уважением
Афанасов Дмитрий