Прозрачный пркси

Помогите плз!
Настройл squid теперь хочу его запрозрачить, в линуксе нуп ))
Включил форвардинг; в iptables следующее
-F
-F -t nat
-P INPUT DROP
-P OUTPUT ACCEPT
-P FORWARD ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.0.0/24 -i eth0 -j ACCEPT
-A PREROUTING -s 192.168.0.0/24 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A POSTROUTING -s 192.168.0.0/24 -o eth1 -j SNAT --to-source 192.168.0.5

eth0-локальный интерфейс
eth1-провайдера
192.168.0.5-ip этого компа

Пробовал подключиться указав как шлюз на клиенте ничего не вышло. Подскажите плз, хотябы как проблему отыскать а то никаких ошибок ничего, прост не робит :(

johnlemon, не понятно что надо? Шлюз? Firewall?
Вот вариант шлюза, но без сквида:
http://linuxforum.ru/viewtopic.php?pid=176106#p176106
Про сквид тоже тем много поиском пользуемся.

Сквид я настроил он работает мне нужно что то типа шлюза, чтобы на клиентских машинах не настраивать браузеры а указывать просто шлюз. Чтобы все пакеты через squid шли.

Я прост не могу понять что у меня неправильно

johnlemon написал:

Я прост не могу понять что у меня неправильно

мой совет лучше настройте wpad.dat пропишите у людей проблема с https пропадёт

johnlemon написал:

Я прост не могу понять что у меня неправильно

Тогда выкладывайте все настройки, ну сколько повторять, научитесь задавать вопросы. Телепатов-то тут нет wink .

Это сквид:
Если на клиентах стоит прокси в настр. браузера все норм работает
http_port 3128 transparent
cache_mem 32 MB
maximum_object_size 500 KB
cache_dir ufs /var/log/squid/cache 1024 16 256
cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
ignore_expect_100 on
acl localhost src 127.0.0.1/32
acl SSL_ports port 443 563
acl Safe_ports port 21 25 110 443 563 70 210 1025 65535
acl Safe_ports port 25
acl Safe_ports port 110
acl Safe_ports port 280
acl Safe_ports port 488
acl Safe_ports port 591
acl Safe_ports port 777
acl CONNECT method CONNECT
acl all src 0.0.0.0/0.0.0.0
acl vip src 192.168.0.1-192.168.0.200
acl users src 192.168.0.201-192.168.0.210
acl zaebli src 192.168.0.211-192.168.0.220
http_access allow Safe_ports
http_access allow CONNECT SSL_ports
http_access allow CONNECT Safe_ports
http_access allow vip
http_access allow users
http_access allow zaebli
http_access deny all

Далее расскомментировал net.ipv4.ip_forward=1 в /etc/sysctl.conf
потом пишу в терминале
iptables -F
iptables -F nat
iptables -F INPUT DROP
iptables -F OUTPUT ACCEPT
iptables -F FORWARD ACCEPT
iptable -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptable -A INPUT -i lo -j ACCEPT
iptable -A INPUT -s 192.168.0.0/24 -i eth0 -j ACCEPT
iptable -A PREROUTING -s 192.168.0.0/24 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
iptable -A POSTROUTING -s 192.168.0.0/24 -o eth1 -j SNAT --to-source 192.168.0.5

И ниче не происходит вапше тишина :D и не знаю даж как посмотреть или проверить в чем косяк вообще :(

johnlemon написал:

acl zaebli src 192.168.0.211-192.168.0.220

:lol: :lol: :lol:

i2ks написал:

[quote=johnlemon]acl zaebli src 192.168.0.211-192.168.0.220

:lol: :lol: :lol:[/quote]
:D :D :D :D :D :D

i2ks написал:

[quote=johnlemon]acl zaebli src 192.168.0.211-192.168.0.220

:lol: :lol: :lol:[/quote]
Супер! :lol:

блин я понимаю че весело :D а че делать то ?? как прозрачным замутить ? чеб на клиентах только шлюз указывать ?

попробуйте в консоли:

echo 1 > /proc/sys/net/ipv4/conf/all/forwarding
iptables -t nat -F
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 3128

далее необходимо пробросить днс (если на этой машине не стоит)
[console]
iptables -t nat -A POSTROUTING --source 192.168.1.0/24 --dest <dns адресс провайдера> -j SNAT --to-source <адресс интерфейса что смотрит в инет>
[/console]
в случае если прописывать до днс по имени, либо
[console]iptables -t nat -A POSTROUTING -p tcp --dport 53 -j MASQUERADE
iptables -t nat -A POSTROUTING -p udp --dport 53 -j MASQUERADE[/console]
это если портами, но портами не советую - в случае закрытия инета клиенту он может настроить систему так, чтоб трафик весь шол по 53му порту, т.е. прикидываясь днс-запросом инет будет идти на машину.


Также не стоит забывать, что множество программ не умеют работать с прозрачной проксей

w03zd8rc написал:

что множество программ не умеют работать с прозрачной проксей

если только клиент-банки и не более того, а так даже торренты и скайпы работают =)

i2ks, the bat, filezilla, videoport plus...
Некоторым надо принудительно указывать что стоит прокся, некоторые игры не хотят видеть проксю (даже если ихние порты (не только играм, но и программам) через фаервол прокинуть на сквид)

w03zd8rc, зачем почтовые клиенты заворачивать на прокси? О_о

w03zd8rc написал:

Некоторым надо принудительно указывать что стоит прокся, некоторые игры не хотят видеть проксю (даже если ихние порты (не только играм, но и программам) через фаервол прокинуть на сквид)

это изврат какой то, все через прокси пускать. smile

i2ks, не спорю, по офису почтовые пробросом открыты =)

443 обязательно указывать)

лучше гуглить..много всего можно найти.И готовых решений в том числе,например