removido
(usa Nenhuma)
Enviado em 10/07/2007 - 09:48h
Identifiquei que meu iptables não ta redirecionando os acessos pra porta 3128, do squid.
qdo acesso por ex
www.terra.com.br, ele entra. porém, qdo acesso forçando a porta do squid (
www.terra.com.br:3128) dá pau de time out, procurando acesso via proxy, e nao passa.
o estranho é que o squid tá logando tudo que acesso, e quando derrubo ele, não acesso nada.
Ah, meu iptables eh versao 1.3.5, e tá dando um erro "unknown error 294967295". Queria saber se alguém já pegou esse pau, ou mesmo se tem como atualizar o iptables, uma vez que já tem a versao 1.3.8 liberada.
MEU IP TABLES
srv-linux:~ # cat /etc/init.d/start_firewall
##################################
#Script com regras iptables #
#Autor: Andre Custodio #
#Ultima atualizacao: 04.07.2007 #
#################################
# ----------------------------------------------------------------------------------
# INICIA FIREWALL IPTABLES
modprobe iptable_nat
modprobe ip_nat_ftp
modprobe xt_tcpudp
modprobe xt_state
modprobe xt_limit
modprobe iptable_mangle
modprobe iptable_filter
modprobe ip_nat_irc
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_conntrack_irc
# -----------------------------------------------------------------------------------
# LIMPANDO REGRAS ATUAIS
iptables -F
iptables -F -t nat
iptables -F -t mangle
iptables -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
# -----------------------------------------------------------------------------------
# HABILITA FORWARD
echo "1" >/proc/sys/net/ipv4/ip_forward
# -----------------------------------------------------------------------------------
# COMPARTILHA NET P LAN / REDIRECT P SQUID 3128
iptables -t nat -A POSTROUTING -s eth1 -j MASQUERADE
iptables -A FORWARD -i eth2 -j ACCEPT
iptables -t nat -A PREROUTING -i eth2 -p tcp --dport 80 -j REDIRECT --to-port 3128
# -----------------------------------------------------------------------------------
# PROTECAO CONTRA TCP SYNFLOOD
echo "1" >/proc/sys/net/ipv4/tcp_syncookies
iptables -A FORWARD -p tcp -m limit --limit 1/s -j ACCEPT
# PROTECAO CONTRA ICMP BROADCASTING
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
# BLOQUEIA TRACEROUTE
iptables -A INPUT -p udp --dport 33435:33525 -j DROP
# BLOQUEIA PING
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all
# PROTECAO CONTRA IP SPOOFING
echo "1" > /proc/sys/net/ipv4/conf/default/rp_filter
# NAO REPASSA PACOTES SUSPEITOS PARA LAN
iptables -A FORWARD -m unclean -j DROP
# -----------------------------------------------------------------------------------
# ABRE PORTAS WEB PARA LAN / BLOQUEIA ACESSO EXTERNO AO SERVIDOR
# iptables -A INPUT -s 192.168.0.0/24 -j ACCEPT
# iptables -A INPUT -p tcp --syn -j DROP
# -----------------------------------------------------------------------------------
# OTIMIZANDO SERVICOS TELNET, WWW, SMTP, POP3, E FTP
iptables -t mangle -A OUTPUT -p tcp --dport 22 -j TOS --set-tos Minimize-Delay
iptables -t mangle -A OUTPUT -p tcp --dport 23 -j TOS --set-tos Minimize-Delay
iptables -t mangle -A OUTPUT -p tcp --dport 110 -j TOS --set-tos Minimize-Delay
iptables -t mangle -A OUTPUT -p tcp --dport 80 -j TOS --set-tos Minimize-Delay
MEU SQUID.CONF
srv-linux:~ # cat /etc/squid/squid.conf
# -----------------------------------------------------------------------------
# SCRIPT SQUID CACHE
# Criado por Andre Custodio
# Ultima atualizacao: 05.07.2007
# -----------------------------------------------------------------------------
# DEFINICOES BASICAS
http_port 3128
cache_mem 64 MB
visible_hostname Proxy.SQUID
#------------------------------------------------------------------------------
#PROXY TRANSPARENTE
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
# -----------------------------------------------------------------------------
# CONFIGURACAO DO CACHE
maximum_object_size_in_memory 128 KB
maximum_object_size 300 MB
minimum_object_size 0 KB
cache_swap_low 90
cache_swap_high 95
cache_dir ufs /var/cache/squid 2048 16 256
# -----------------------------------------------------------------------------
# LOG
cache_access_log /var/log/squid/access.log
# -----------------------------------------------------------------------------
# MENSAGENS DE ERRO EM PORTUTUES
error_directory /usr/share/squid/errors/Portuguese
# -----------------------------------------------------------------------------
# OTIMIZAR DESEMPENHO
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
# -----------------------------------------------------------------------------
# DEFINICOES DE ACLs
acl all src 0.0.0.0/0.0.0.0
http_access allow all
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
# acl BLOQUEIO url_regex -i "/etc/squid/filtros_proxy/sites_bloqueados"
# http_access deny BLOQUEIO
acl SSL_ports port 443 563
acl to_localhost dst 127.0.0.0/8
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 3128 # Squid Port
acl PURGE method PURGE
acl CONNECT method CONNECT
#------------------------------------------------------------------------------
# REGRAS GERAIS
http_access allow manager localhost
http_access deny manager
http_access allow PURGE localhost
http_access deny PURGE
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
#------------------------------------------------------------------------------
# REGRAS DEFINIDAS PELA POLITICA DE FILTRO DA NOSSA REDE
acl LAN src 192.168.0.0/24
http_access allow localhost
http_access allow LAN
# acl BLOQUEIO url_regex -i "/etc/squid/sites_bloqueados"
# http_access deny BLOQUEIO
http_access deny all
