Выход в интернет через 2 сервера, помогите пожалуйста разобраться

Добрый день всем! Спасибо что открыли тему!

Перед неопытным администратором (мной) стоит маленькая проблема

Вот так у нас организована интернет-сеть:

На фирме где я работаю, локальная сеть с двумя серверами, результат глупого руководства....

Первый смотрит в город на провайдера карточкой 81.88.192.2 и раздаёт всем и всё, неограниченно, и почту и интернет второй карточкой 192.168.0.254.
Сервер недоступен для настройки нами, по договору его обслуживает только провайдер, а он в свою очередь не идёт нам на встречу. Так хочет руководство фирмы, ворьё.

За ним стоит второй сервер, его задача урезать интернет с помощью SAMS + squid, безлимитный интернет который прёт от провайдера, но при этом пропускать почту.

Его карточки 192.168.1.102 которая смотрит на первый сервер, и 192.168.1.254 которая раздаёт в сеть интернет через связку SAMS + squid. Так хочет руководство отдела, вот в такие условия я попал))

На машинах пользователей в браузеры прописываем мой (второй) прокси-сервер 192.168.1.254 через порт 3128 и всё хорошо

Но вот недавно вскрылась проблема!!!!!


Оказывается! На любой машине в сетке, можно преспокойно стереть настройки моего прокси в браузере, и если в сетевых настройках в качестве ДНС прописан 192.168.0.254 то интернет спокойно идёт в обход моего сервера второго и трафик конечно не считается! Запретить ничего нельзя каждый имеет права администратора.

На сервере, на моём, 192.168.0.254 указан в качестве какогото дефолт роутера, и если это убрать то перестаёт работать почта.
Я пробовал включать и отключать маскардинг и айпи форвардинг всё это если чтото и даёт то только отключение почты. Я хорошо разбираюсь в squid но совершенно не разбираюсь во всём остальном.

Подскажите пожалуйста как запретить обход моего прокси на родитильский, чтобы при этом с родительского благополучно шла почта.

Буду благодарен за любой совет, уже так намучился.... Заранее спасибо




P/S: Раньше на первом сервере был тоже настроен прокси - 192.168.0.254:8080 и мне удалось перекрыть в фаерволе TCP трафик через этот порт 8080 На это ушло месяца полтора, чтоб родить 1 строчку.... Этим и спасся в тот раз.

Теперь же этот айпишник 192.168.0.254 стал у них каким то безграничным выходом в мир, всё через него прёт - толи у них прокси прозрачный стал толи они каким то другим способом интренет раздают... не говорят...

Просто кошмарный беспредел какой то

Буду рад любой помощи

у меня OpenSUSE 10.3 на моём сервере

оба сервера в разных подсетях, следовательно у клиентов либо маска подсети, допустим, /16 либо ваш сервер выступает в роли маршрутизатора.
что из выше перечисленного верно?

1. Попробую представить сеть:

LAN (192.168.1.0/24) < --- > (192.168.1.254) Server1 (192.168.0.102)< --- >(192.168.0.254) Server2 (81.88.192.2) <->INTERNET

Верно?

2. На сервере 1 дефолтный маршрут как раз и должен показывать на сервер2. То есть все пакеты, про которые он не знает куда направить, надо направлять на сервер2, он умный, разберется.

3. Если верно по п.1, то что я никак не могу понять, зачем надо пользователям в настройках обозревателя вписывать прокси-сервер. Гораздо проще настроить squid как прозрачный proxy средствами iptables, например так:

-A PREROUTING -i $LOCAL_IF -s $LOCALNET -p tcp --dport 80 -j REDIRECT --to-port 3128 ! -d 192.168.1.254

4. А сейчас, скорее всего, на сервере1 настроен форвардинг 80-го порта, а сквид ждет эти пакеты на своем 3128-м порту. Вот и направь эти пакеты на нужный порт.

Спасибо большое за отклики

osorkon


По поводу маски подсети я не очень понимаю что значит /16, извиняюсь)))

У всех пользователей она 255.255.255.0

Айпи-Адреса вида 192.168.1.....

Основной шлюз 192.168.1.254

Предпочитаемый ДНС сервер 192.168.0.254

Мой сервер выступает в роли "пустого места" незнаю как проверить маршрутизатор ли он
но по замыслу он должен просто в роли прокси сервера работать там squid и sams настроены
squid настроен как дочерний прокси 192.168.1.254:3128 через cache peer на родительский 192.168.0.254:8080
а сейчас так подозреваю что у них там может даже и не прокси но мой сквид ошибку бы тогда дал об отсутсвии родителя
странно
почта идёт если предпочитаемый ДНС сервер 192.168.0.254, если это стереть почта не работает на моём сервере
и ни укого из пользователей. Но и интернет идёт тогда правильно - только через мой прокси 1.254
но пользователи легко прописывают себе днс обратно, уже узнали слабое место


Cruiser78

1. По первому пункту как то так получается...

INTERNET (81.88.192.2) <-> (192.168.0.254) к этой сетевой подкл сервер 2 <-> (192.168.0.102) а с этой уже в сеть(192.168.1.254)

сеть вида:
LAN (192.168.1.0/24) < --- > (192.168.1.254)

извиняюсь если туповато излагаю мысли, но опыта в этом маловато очень, нумерация серверов думаю особого значения не имеет

И тут как бы выразиться точнее... задача стоит... перекрыть внешний сервер, похоже что он сам прозрачный или там вобще не проксисерверная раздача.

Непонятно почему адрес даже из другой подсети 192.168.0.254 да ещё и в качестве ДНС прописанный, даёт интернет всем кто стирает настройки браузера.


Форвардинг не настроен, в панели управления сервера есть галочка "Включить IP форвардинг" но она не отмечена

надо смотреть правила на " (192.168.0.102) а с этой уже в сеть(192.168.1.254)".

iptables -L -n -v