СОНО через прокси squid

Привет всем!есть прога называется СОНО для электронной отправки отчетности в налоговую, пока она работает через сервер ISA(это не наш сервер), но мне дали задание настроить эту прогу через наш прокси сквид, искал в сети нашел статьи тут и тут, но что то как то безрезультатно, у клиентов стоит винда ХР, сама прога работает на яве, потом решил найти прогу которая обходила бы прокси нашел такую прогу называется freecap, все приложения работают без прокси благодаря ей, но вот беда СОНО не хочет работать. может подскажите/посоветуете что нибудь, хотя бы программку которая запускала явы приложения без настройки прокси, или может кто знает как настроить ее через сквид? зранее спасибо!

Попробуйте обратиться к производителю ПО и узнать каким образом оно через сеть работает.

Другой вариант - обратиться к администратору ISA-сервера. А уже потом, возможно, вы и сами додумаетесь как пустить ее через Squid (или файрволом в обоход). А если не додумаетесь, то сможете описать тут всю информацию и люди вам помогут.

А зачем оно нужно ?
Squid это http (возможно добавить https, ftp) прокси. Если COHO использует другие протоколы передачи данных, то врядли squid такое проглотит.

"elve⇓" написал:

обратиться к администратору ISA-сервера

да обращался, что то не получается у нас ничего((

"marikk⇓" написал:

Если COHO использует другие протоколы передачи данных, то врядли squid такое проглотит.

На примере нашей электронной отчетности. Хоть она и умеет работать через прокси, но настроил в обход.
Траф она генерит на своих портах. Их парочку. Просто в iptables указал в обход и все.

iptables -t nat -I PREROUTING 1 -i vlan5  -s 192.168.3.100 -d 82.151.107.170 -j ACCEPT
iptables -t nat -I PREROUTING 1 -i vlan5  -s 82.151.107.170 -d 192.168.3.100 -j ACCEPT

Или направь весь трафик с него на прокси. На примере 80 порта.

iptables -t nat -A PREROUTING -i vlan5 -s 192.168.3.100 -p tcp --dport 80 -j DNAT --to 192.168.1.20:3128
iptables -t nat -A PREROUTING -i eth1 -s 192.168.3.100 -p tcp --dport 80 -j REDIRECT --to-port 3128

И в чем проблема?)))
Если честно, на данный момент СОНО работает через стандартные порты 80 и 443.
Обычный NAT и алга комсомол.

У меня раньше стояла ISA2004, там тоже СОНО чувствовала себя хорошо.
Сейчас у меня стоит iptables+Squid, и тоже проблем с СОНО нет, хотя открыты стандартные порты 80 и 443! Я тоже сперва думал что надо открыть все порты СОНО, но нет, все заработало и без них.

Обычно СОНО ломится через порты 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100-9110, и получается в iptables надо прописать вот такую команду:

iptables -A FORWARD -i eth1 -o eth0 -s 192.168.50.0/24 -p tcp -m multiport --dports 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100-9110 -j ACCEPT

Разумеется нужно включить NAT для твоей локальной сети и заворот трафика на Squid если он есть:

#Настройка NAT и редирект на прокси сервер Squid
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 3128
iptables -t nat -A POSTROUTING -s 192.168.50.0/255.255.255.0 -j SNAT --to-source 111.222.333.444

"AlfaStriker⇓" написал:

И в чем проблема?)))

"AlfaStriker⇓" написал:

iptables -A FORWARD -i eth1 -o eth0 -s 192.168.50.0/24 -p tcp -m multiport --dports 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100-9110

"AlfaStriker⇓" написал:

iptables -t nat -A POSTROUTING -s 192.168.50.0/255.255.255.0 -j SNAT --to-source 111.222.333.444

Спасибо!

Обычно создают скрипт правил фаерволла.
Например вот такой простой:

#!/bin/bash
#Очистка всех цепочек
iptables -F
iptables -F -t nat
iptables -F -t mangle
iptables -X
iptables -X -t nat
iptables -X -t mangle
#Политика по умолчанию - запретить все, что не разрешено
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
#Разрешаем обращение к lo интерфейсу
iptables -A INPUT -i lo -p all -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A OUTPUT -o lo -p all -j ACCEPT
iptables -A OUTPUT -o eth1 -j ACCEPT
#Пропускать уже инициорванные, а также их дочерние
iptables -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
#Пропускать новые, инициированные, а также их дочерние
iptables -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
#Разрешить пересылку для новых, инициированных, а также их дочерних
iptables -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
#Разрешаем обращение к почтовым, ssh, ftp серверам из нашей локалки
iptables -A FORWARD -i eth1 -o eth0 -s 192.168.50.0/24 -p tcp -m multiport --dports 22,21,25,110,443
#Разрешаем DNS запросы из нашей локальной сети
iptables -A FORWARD -i eth1 -o eth0 -s 192.168.50.0/24 -p udp -m multiport --dports 53
#Открываем порты для СОНО
iptables -A FORWARD -i eth1 -o eth0 -s 192.168.50.0/24 -p tcp -m multiport --dports 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100:9110
#Разрешаем пинги с внутреннего интерфейса
iptables -A INPUT -i eth1 -p ICMP -j ACCEPT
iptables -A OUTPUT -o eth1 -p ICMP -j ACCEPT
#Настройка NAT и редирект на прокси сервер Squid
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 3128
iptables -t nat -A POSTROUTING -s 192.168.50.0/255.255.255.0 -j SNAT --to-source 10.168.50.45

Здесь:
192.168.50.0/24 - адрес локальной сети
10.168.50.45 - ip адрес внешней сетевой карты.
22,21,25,110,443 - список портов по которым компьютеры локалки могут обращаться в Интернет.
2809, 9100, 9401, 9402, 9403, 443, 9900, 9100:9110 - порты СОНО

- это ip адрес прокси сервера?

Это адрес локальной сети.

- мне тоже так же указывать "111.222.333.444" или это ip адрес прокси тож?

Это адрес внешней сетевой карты.

Твой Интернет шлюз (прокси Squid) сейчас на твоем сервере, сотрудники выходят через него в Интернет?
Или у тебя Интернет шлюз выходит через ISA2004 в Интернет?

"AlfaStriker⇓" написал:

Твой Интернет шлюз (прокси Squid) сейчас на твоем сервере, сотрудники выходят через него в Интернет?

Значит все правильно, тот скрипт сохрани в папку куда нибудь например в файл /etc/firewall.sh
Потом дай права на запуск скрипта

chmod +x /etc/firewall.sh

Чтобы правила при загрузке работали, добавь скрипт в

/etc/rc.local

А вообще по теме, есть ветка где обсуждается настройка ipatbles, да и в Инете полно готовых настроек фаервола.

Если хочешь, могу удаленно помочь с настройкой.

"AlfaStriker⇓" написал:

Потом дай права на запуск скрипта
chmod +x /etc/firewall.sh

Запуск простой:

/etc/firewall.sh

Или когда перезагрузку сделаешь, он сам запустится из "rc.local".


Самое главное, сохртани текущие правила фаерволла в файл командой

iptables-save > /etc/iptables.conf

Это для Debian Squeeze, я так понял у тебя такая ОС ?

в общем сделал все как вы описали, при запуске выдает такую ошибку -
~# /etc/firewall.sh
iptables v1.4.8: invalid port/service `' specified
Try `iptables -h' or 'iptables --help' for more information.

Напиши какая у тебя операционка

"AlfaStriker⇓" написал:

Напиши какая у тебя операционка

# uname -a
Linux ase-debian 2.6.32-5-686 #1 SMP Fri May 10 08:33:48 UTC 2013 i686 GNU/Linux
root@ase-debian:~#

"bigzom⇓" написал:

а на второй карточке ip адрес меняется автоматом от модема

Интересно, и как в таком случае у него заработает DNAT/SNAT
При динамическом "внешнем" IP-адресе следует использовать MASQUERADE.

"bigzom⇓" написал:

в общем сделал все как вы описали, при запуске выдает такую ошибку -

емнип, нельзя в одном правиле использовать список портов и диапазон одновременно.

bigzom, это версия ядра, а не версия операционки.
Как я понял у тебя Debian, покажи вывод команды:
cat /etc/debian_version

Хотя я больше, чем уверен, что у тебя стоит Squeeze.

Ясно, те правила на RH дистрибутивах сразу запускаются, на Debian/Ubuntu слегка другие, то есть маханько измененные.
Возьми правили из этого топика, там как раз правила под Debian:
http://linuxforum.ru/viewtopic.php?pid=176106#p176106

Да нет, ip адрес внешней сетевой карты у него не меняется. Он жестко прописан в настройках.
Хотя, я наверно ошибаюсь, вы правы.

"AlfaStriker⇓" написал:

Возьми правили из этого топика, там как раз правила под Debian:
Готовые решения в Debian GNU/Linux

в общем почитал, переделал, запускаю sh скрипт :

bigzom, показывай скрипт полностью.
На dport может ругаться либо когда протокол не указан, либо когда не указана конкретная таблица.

"bigzom⇓" написал:

блин,что ж мне так не прет то, у всех все и сразу запускается а у меня все как то не ладно, походу руки растут не оттуда, так охота научиться разбираться в линуксе, но почему то тяжко дается он мне + незнания английского

Не расстраивайся. Такие вещи как iptables с наскока не одолеешь.
Нужно понять принцип составления правил и порядок их применения.