Что может SQUID, что не может Iptables

Подскажите, после некоторого изучения squid, задался вопросом, а что может squid, что не может iptables в плане ограничений?
От себя:
1) squid хорош в плане кеширования tcp информации
2) более внятное ограничение на трафик с определенного ip, чем с помощью iptables...
3) Анонимность, хотя и ее можно победить с помощью iptables

Это две совершенно разные службы, они для разного сделаны и используются. Их даже сравнивать не надо.

KRUTO,а что может мобильный телефон и чего не может мотоцикл?
Вроде оба могут обеспечивать связь, между людьми....

Кэширующий прокси (squid) и межсетевой экран (iptables) предназначены для решения разных задач и сравнивать их бессмысленно.

всё это ерунда, на самом деле -- можно сравнить, например, лимитирующими критериями iptables можно ограничить трафик, в squid это тоже возможно, вообще много что можно реализовать iptables в обход сквид

Исходить надо из задачи. Что ты хочешь получить?

KRUTO раз уж на то пошло,то iptables полюбому нужно настраивать на сервере, какую бы роль он не выполнял,и всё что можно ограничить ограничивать им, а Squid тогда рассматривать уже как дополнение, с помощью которого производиться более тонка настройка разграничений.

"Vascom" написал:

Исходить надо из задачи. Что ты хочешь получить?

"Vadimsky" написал:

с помощью которого производиться более тонка настройка разграничений.

Да нет, конечно, понятно я могу настроить squid из соображений, что:

"KRUTO" написал:

1) squid хорош в плане кеширования tcp информации2) более внятное ограничение на трафик с определенного ip, чем с помощью iptables...3) Анонимность, хотя и ее можно победить с помощью iptables

Плюс пароль можно задать на доступ к инету, но всё-таки, через iptables можно настроить всё то же (но кроме кэширования) и памяти будет жрать меньше...

squid и iptables это совершенно разные инструменты для работы.

Для начала надо понять что вы сами хотите а потом уже пользоваться тем или иным инструментом.
Не будете же вы гвоздь закручивать?

"Kettler" написал:

squid и iptables это совершенно разные инструменты для работы.

Да я и не ставлю под сомнение этот факт, просто думается о какой-то универсальности: для меня лично использование squid связано с кэшированием трафика, но всё остальное можно заменить iptables...

тут уместно вспомнить народную мудрость:
"Шурут вбитый молотком держится лучше чем гвоздь закрученый отверткой"
Как и говорили комрады выше, iptables и squid это разные вещи... чисто технически они могут служить одной цели - доступ в интернет, но "каждому свое"
iptables никогда не сможет дать вам ntlm-авторизацию, заменить UserAgent и, как уже говорилось, закешировать http запросы и обьекты. и наоборот squid не сможет маркировать трафик, менять хост/порт назначения ну и пр. вкусности, думаю все в курсе. Так что обьективно - универсальности сдесь 0. Субьективно, учитывая ваши цели и потребности - возможно.

Ладно тогда... Покритикуйте правила iptables для squid:

#!/bin/sh
IPT="/sbin/iptables"
#eth0 - смотрит внутрь
#eth1 - смотрит наружу
LOCALNETOUT="192.168.10.1"
GLOBALNETOUT="192.168.15.15"
$IPT -P INPUT   DROP
$IPT -P OUTPUT  DROP
$IPT -P FORWARD DROP
$IPT -A INPUT  -i eth1 -s 192.168.15.80 -p tcp --dport 22 --syn -m conntrack --ctstate NEW         -j ACCEPT
$IPT -A INPUT  -i eth1 -s 192.168.15.80 -p tcp --dport 22       -m conntrack --ctstate ESTABLISHED -j ACCEPT
$IPT -A OUTPUT -o eth1 -d 192.168.15.80 -p tcp --sport 22       -m conntrack --ctstate ESTABLISHED -j ACCEPT
$IPT -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport 53 --syn -m conntrack --ctstate NEW -j ACCEPT
$IPT -A FORWARD -i eth0 -o eth1 -p udp -m udp --dport 53 -m conntrack --ctstate NEW-j ACCEPT
$IPT  -A FORWARD  -m conntrack --ctstate ESTABLISHED -j ACCEPT
$IPT  -A INPUT -i eth0 -s 192.168.10.0/24 -d $LOCALNETOUT -p tcp -m tcp --dport 3128 --syn -m conntrack --ctstate NEW -j ACCEPT
$IPT  -A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
$IPT  -A OUTPUT -o eth1 -s $GLOBALNETOUT -p tcp -m tcp --dport 80 --syn -m conntrack --ctstate NEW -j ACCEPT
$IPT  -A OUTPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
$IPT  -A INPUT -i eth0 -s 192.168.10.0/24 -p tcp  -m tcp --dport 53 -syn -m conntrack --ctstate NEW -j ACCEPT
$IPT  -A INPUT -i eth0 -s 192.168.10.0/24 -p udp -m udp --dport 53 -m conntrack --ctstate NEW -j ACCEPT
$IPT  -A OUTPUT -o eth1 -s $GLOBALNETOUT -p tcp -m tcp --dport 53 --syn -m conntrack --ctstate NEW -j ACCEPT
$IPT  -A OUTPUT -o eth1 -s $GLOBALNETOUT -p udp -m udp --dport 53 -m conntrack --ctstate NEW -j ACCEPT
$IPT -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
$IPT -t nat -A POSTROUTING -o eth1 -s 192.168.10.0/24 -j SNAT --to-source 192.168.15.15
$IPT  -A INPUT    -j DROP
$IPT  -A OUTPUT   -j DROP
$IPT  -A FORWARD  -j DROP

Правила родились путем анализа трафика через iptables.

Подскажите, может, всё должно быть проще и правильно ли работает у меня squid? В журнале /var/squid/access.log регистрируется доступ к сайтам...
В squid.conf:
http_port 192.168.10.1:3128 transparent
Iptables и squid на одной машине... DNS - за шлюзом

Ответьте мне, ребята, хоть что-то???

аааааа

KRUTO, не шуми. Писать много сообщений подряд, тем более бессмысленных, нехорошо.

[Vascom],
Да, может, кто-нибудь заметит...

Тогда надо было создать отдельную тему. А тут все видят флеймовое название и проходят мимо.
Да и людям обычно делать есть чего, помимо критики правил твоего файрвола. Вот если бы у тебя вопрос был или проблема - это другое дело.