Шлюз странно себя ведет

28.05.2012 13:48 #254951

"kisil" написал:
Эй. А почему молчит ТС???

пускает 443 мимо squid

"Ka3aH6ac" написал:
Не в обиду, по моему это тро-ло-ло.

Да нет, там в конце темы я ее продолжил и выложил скрипт iptables для squid... Посмотрите, может, можно короче сделать

28.05.2012 13:49 #254952

text

iptables -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -p tcp -m multiport --dports 22,21,25,110,443

Добавь вот такое правило iptables, надеюсь поможет.
Здесь eth1 - локалка, соотвественно eth0 - Интернет.

В этом правиле в обход squid открыт доступ по 443 порту и не только...

28.05.2012 13:50 #254953

По моему ТС уже разобрался, все же есть в Гугле :)

28.05.2012 13:51 #254955

Ага точно :)

28.05.2012 13:51 · отредактировано #254956

[Ka3aH6ac]
Да нет, у меня-то всё работает, только я прошу покритиковать, там только правила для squid, реально скрипт намного больше...

"Ka3aH6ac" написал:
По моему ТС уже разобрался, все же есть в Гугле

хХа.........

28.05.2012 13:54 · отредактировано #254957

так ребята я немного отстал от ваших разговоров.
Вот конфиг iptables

text


# Generated by iptables-save v1.4.5 on Tue Mar  1 20:05:30 2011
*nat
:PREROUTING ACCEPT [455:167811]
:POSTROUTING ACCEPT [19:2446]
:OUTPUT ACCEPT [15:2254]
-A PREROUTING -d 172.20.252.214/32 -i tun0 -j DNAT --to-destination 192.168.0.98 
#-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j MARK --set-xmark 0xb4/0xffffffff 
-A PREROUTING ! -s 192.168.0.98/32 -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3033 
-A PREROUTING ! -s 192.168.0.98/32 -i eth0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3033 
-A POSTROUTING -s 192.168.1.0/24 -o tun0 -j MASQUERADE 
-A POSTROUTING -s 192.168.0.0/24 -d 172.20.0.0/16 -o tun0 -j MASQUERADE 
-A POSTROUTING -s 192.168.0.0/24 -d 195.2.214.0/23 -o tun0 -j MASQUERADE 
-A POSTROUTING -s 192.168.0.0/24 -d 192.168.0.0/16 -o tun0 -j MASQUERADE 
-A POSTROUTING -s 192.168.0.0/24 -o ppp5 -j MASQUERADE 
COMMIT
# Completed on Tue Mar  1 20:05:30 2011
# Generated by iptables-save v1.4.5 on Tue Mar  1 20:05:30 2011
*filter
:INPUT DROP [4:302]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [1789:321513]
:check_portscan - [0:0]
-A FORWARD -i eth0 -d 192.168.0.0/16 -j ACCEPT
-A INPUT -i lo -j ACCEPT 
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -m conntrack --ctstate INVALID -j DROP 
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -m conntrack --ctstate INVALID -j DROP 
-A FORWARD -i eth0 -s 192.168.0.107 -j ACCEPT
-A FORWARD -d 77.246.101.0/24 -j ACCEPT
-A INPUT -i ppp19 -j ACCEPT
-A FORWARD -i ppp19 -j ACCEPT
-A FORWARD -i eth0 -s 192.168.0.131 -j ACCEPT
-A INPUT -i eth0 -m tcp -p tcp --dport 139 -j ACCEPT
-A INPUT -i eth0 -m tcp -p tcp --dport 445 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT 
-A INPUT -s 89.151.138.38/32 -i ppp5 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 3025 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 3024 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 3023 -j ACCEPT 
-A INPUT -i tap0 -j ACCEPT 
-A INPUT -i tun0 -j ACCEPT 
-A INPUT -i ppp5 -p gre -j ACCEPT 
-A INPUT -i ppp0 -j ACCEPT 
-A INPUT -i ppp5 -p tcp -m tcp --dport 1723 -j ACCEPT 
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j DROP 
-A INPUT -p tcp -m tcp ! --dport 3080 -m conntrack --ctstate NEW -m limit --limit 20/sec --limit-burst 20 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 3022 -m connlimit --connlimit-above 3 --connlimit-mask 32 -j LOG --log-prefix "CONNLIMIT_SSH_INCOMING--->" --log-level 6 
-A INPUT -p tcp -m tcp --dport 3022 -m connlimit --connlimit-above 3 --connlimit-mask 32 -j DROP 
-A INPUT -p tcp -m tcp --dport 3022 -j LOG --log-prefix "SSH_INCOMING_" --log-level 6 
-A INPUT -p udp -m udp --dport 3022 -j ACCEPT 
-A INPUT -i tap0 -j ACCEPT 
-A INPUT -p udp -m udp --dport 3094 -j LOG --log-prefix "VPN_INCOMMING--->" --log-level 6 
-A INPUT -p udp -m udp --dport 3094 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 3094 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 60022 -j ACCEPT 
-A INPUT -s 192.168.0.0/24 -i eth0 -p tcp -m tcp --dport 3033 -j ACCEPT 
-A INPUT -i eth0 -p udp -m udp --dport 53 -j ACCEPT 
-A INPUT -i eth0 -p udp -m udp --dport 67 -j ACCEPT 
-A INPUT -i ppp5 -j check_portscan 
-A FORWARD -s 89.151.138.38/32 -i ppp5 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 8081 -j ACCEPT 
-A FORWARD -p tcp -m tcp --dport 3025 -j ACCEPT 
-A FORWARD -p tcp -m tcp --dport 3024 -j ACCEPT 
-A FORWARD -p tcp -m tcp --dport 3023 -j ACCEPT 
-A FORWARD -i tap0 -j ACCEPT 
-A FORWARD -i tun0 -j ACCEPT 
-A FORWARD -i ppp30 -j ACCEPT 
-A FORWARD -i ppp31 -j ACCEPT 
-A FORWARD -i ppp32 -j ACCEPT 
-A FORWARD -i ppp39 -j ACCEPT 
-A FORWARD -i ppp40 -j ACCEPT 
-A FORWARD -i ppp0 -j ACCEPT 
-A FORWARD -p tcp -m tcp --dport 60022 -j ACCEPT 
-A FORWARD -i eth0 -d 195.2.215.40 -j ACCEPT
-A FORWARD -s 192.168.0.100/32 -i eth0 -j ACCEPT 
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -m conntrack --ctstate INVALID -j DROP 
-A FORWARD -s 192.168.0.105/32 -i eth0 -j ACCEPT 
-A FORWARD -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j DROP 
-A FORWARD -s 192.168.0.98/32 -i eth0 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT 
-A FORWARD -s 192.168.0.104/32 -i eth0 -p tcp -m tcp --dport 5190 -j DROP 
-A FORWARD -s 192.168.0.105/32 -i eth0 -p tcp -m tcp --dport 5190 -j DROP 
-A FORWARD -s 192.168.0.106/32 -i eth0 -p tcp -m tcp --dport 5190 -j DROP 
-A FORWARD -s 192.168.0.127/32 -i eth0 -p tcp -m tcp --dport 5190 -j DROP 
-A FORWARD -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -i eth0 -p udp -m udp --dport 53 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 5190 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 443 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 3033 -j MARK --set-xmark 0xb4/0xffffffff 
-A FORWARD -i eth0 -p tcp -m tcp --dport 3033 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 25 -j MARK --set-xmark 0x7d/0xffffffff 
-A FORWARD -i eth0 -p tcp -m tcp --dport 25 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 110 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT 
-A FORWARD -d 130.117.190.137/32 -i eth0 -j ACCEPT 
-A FORWARD -d 195.222.17.41/32 -i eth0 -j ACCEPT 
-A FORWARD -d 212.47.219.86/32 -i eth0 -j ACCEPT 
-A FORWARD -d 80.239.156.195/32 -i eth0 -j ACCEPT 
-A FORWARD -d 130.117.190.134/32 -i eth0 -j ACCEPT 
-A FORWARD -d 130.117.190.134/32 -i eth0 -j ACCEPT 
-A FORWARD -d 130.117.190.137/32 -i eth0 -j ACCEPT 
-A FORWARD -d 195.222.17.41/32 -i eth0 -j ACCEPT 
-A FORWARD -d 212.47.219.86/32 -i eth0 -j ACCEPT 
-A FORWARD -d 80.239.156.195/32 -i eth0 -j ACCEPT 
-A FORWARD -d 80.239.156.195/32 -i eth0 -j ACCEPT 
-A FORWARD -d 130.117.190.134/32 -i eth0 -j ACCEPT 
-A FORWARD -d 130.117.190.137/32 -i eth0 -j ACCEPT 
-A FORWARD -d 195.222.17.41/32 -i eth0 -j ACCEPT 
-A FORWARD -d 212.47.219.86/32 -i eth0 -j ACCEPT 
-A FORWARD -i eth0 -p udp -m udp --dport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p udp -m udp --sport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --sport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p icmp -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 6864 -j ACCEPT 
-A check_portscan -m recent --rcheck --seconds 28800 --name portscan --rsource -j DROP 
-A check_portscan -m recent --remove --name portscan --rsource 
-A check_portscan -p tcp -m multiport --dports 20,21,22,80,8080,5900,3389,137,138,139,445 -m recent --set --name portscan --rsource -j DROP 
COMMIT
# Completed on Tue Mar  1 20:05:30 2011

Вот такой мудреный конфиг. Не пугайтесь сразу.

28.05.2012 13:54 #254958

KRUTO
Если честно в правилах сильно не шарю, это лучше спрашивать у гуру.

28.05.2012 14:00 #254961

DNS пробовал на клиенте как свой локальный указывал так и 8.8.8.8.

28.05.2012 14:20 #254969

Правило пускающие по 443 порту есть

text

-A FORWARD -i eth0 -p tcp -m tcp --dport 443 -j ACCEPT

На клиентских компах, проверил разрешение имен DNS и доступность порта 443 ?
Вроде все правильно.

28.05.2012 14:25 · отредактировано #254970

Ka3aH6ac написал:
Правило пускающие по 443 порту есть
text
-A FORWARD -i eth0 -p tcp -m tcp --dport 443 -j ACCEPT 
На клиентских компах, проверил разрешение имен DNS и доступность порта 443 ?
Вроде все правильно.

Вот

text

[root@gw ddenis]# telnet google.com 443
Trying 173.194.35.224...
Connected to google.com.
Escape character is '^]'

Так в чем же может быть проблема.
Может tcpdump нужно слушать? Не подскажите какими фильтрами что бы много инфы не нужной не было?

28.05.2012 14:36 · отредактировано #254973

Послушай, лишним в твоем случае это не будет.
Еще есть вот такая прога:
# yum install iptraf
Тоже показывает соединения в реальном времени.

28.05.2012 14:48 · отредактировано #254978

Ka3aH6ac написал:
Послушай, лишним в твоем случае это не будет.
Еще есть вот такая прога:
# yum install iptraff
Тоже показывает соединения в реальном времени.

попробовал. Просто показывает что соединяется с сервером google с такого порта на такой.

28.05.2012 20:12 #255082

Мда, ну и правила, показал бы скриптик, а то тут без комментариев черт ногу сломит... Если 443 порт у тебя открыт наружу, то смотри, что в squid.conf -- какие порты allow, а какие deny. Я для себя пока только 80 allow, да и https_access deny сделай... И еще в браузерах надо добавить google в разрешенные https url-ы

29.05.2012 07:53 #255212

"KRUTO" написал:
Мда, ну и правила, показал бы скриптик, а то тут без комментариев черт ногу сломит.

скрипта нету. комментариев тоже нету. 90% этого не конфига не я писал :(

29.05.2012 09:28 #255229

"semperN" написал:
комментариев тоже нету. 90% этого не конфига не я писал

Вот Вы и нашли проблему.
Что бы управлять структурой, её нужно создать самому, хотя бы для того, что бы имет ьпредставление что и куда там движется.
Попробуйте - перепишите сами - даю 95% гарантии что многие проблемы решаться!

29.05.2012 13:47 #255278

Тут не в сиквиде дело. Придется тебе структурировать все правила и прокоментировать их для себя, чтобы лучше понимать что происходит. Видимо у тебя происходит перекрытие одного правила на другое, как это найти думаю вопрос простой - переписать их)
И телнетом надо проверять на клиентских ПК, а не на сервере.
Проверь также фаервол на клиентских машинах, может там косяк