Iptables e proxy transparente (Squid) definitivo

embora essa (nova) regra aja corretamente, fiquei curioso e fui conferir as minhas: funcionam com a primeira delas (indicação de NIC, não da rede); então, fica a duvida no ar: funciona com alguns, e não com todos? ou (eventualmente) é o CONJUNTO de regras que define o bom ou mau funcionamento do redirecionamento?

Fala irado!! blz?
Foi muito bom vc ter comentado isso.
A versão do squid que eu usei para esse trabalho foi a 2.6 stable. E o slack foi a versão 11.
Em outras distros e outras versões dos squid não testei. Mas de ante-mão como já tinha dito: todos que usaram a definição do NIC e não da rede tiveram que setar manualmente no navegador o endereço do proxy, retirando assim sua característica de uso transparente.
Pois o squid não usa definição da placa de rede, ele faz o controle sobre os endereços do host ou da rede.

Bom dia Colegas

Fiz um teste aqui em ksa, e com nenhuma das duas opções esta funcionando a regra citada acima. segue me rc.local
# iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128

iptables -t nat -A PREROUTING -s 10.15.84.13/255.255.255.0 -p tcp --dport 80 -j REDIRECT --to-port 3128

#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.

exit 0

Pelo que entendi, esta regra acima deveria redirecionar o trafico tcp da porta 80 para a porta 3128, mas nao esta fazendo isso, preciso ir la no IE e setar o proxy manualmente. Oque pode estar acontecendo?

Obrgado

Pessoal, não esqueçam de colocar a regra:

http_port 3128 transparent

no lugar de:

http_port 3128

amigo na segunda regra quando eu colo a rede para de navega
já estou ficando sem cabelos , e nao acho nada que me ajuda.

Olá fernandofranco

Me diz aí qual é o teu problema real?
Qual a versão do squid vc tá usando?

OLá pessoal. estou tendo problemas com o tema.

quando usava o squid 2.4 transparente com redirecionamento no iptables, os sites https funcionavam sem problemas.

migrei para o squid 2.6 e fiz as auterações do iptables conforme o artigo mas mesmo assim não funciona.

coloquei essas regras o script de firewall

Na cadeia Input
$IPTABLES -A INPUT -p tcp -s $LANIP --dport 443 -j ACCEPT

Na cadeia Forward
$IPTABLES -A FORWARD -s $LANIP -p tcp --dport 443 -j ACCEPT
$IPTABLES -A FORWARD -d $LANIP -p udp --dport 443 -j ACCEPT

e
########### CHAIN PREROUTING ############################################
######### squid transparente
iptables -t nat -A PREROUTING -s 192.168.0.0/24 -p tcp --dport 80 -j REDIRECT --to-port 3128

############ CHAIN POSTROUTING ###################################
# Masqueding ligacao entre a rede interna e a externa
$IPTABLES -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
############################################################

e mesmo assim não esta funcionando.

Alguém tem uma luz...

Grato pela atenção.

Talvez seja o roteamento que não esteja ativado.

echo 1 > /proc/sys/net/ipv4/ip_forward

Muito boa a dica, agora funcionou. Salvou a pátria.

Seu artigo funcionou!!! mas estou tentou problemas relacionado a minha estrutura, tenho algumas maquinas na qual utilizo NAT, sou seja navegam na internet sem passarem pelas restrições de proxy, entretanto ao aplicar o proxy transparente as maquinas que eram para navegar pela NAT estou saindo pelo porta 3128 (porta do squid) ou seja estão navegando pelo proxy.

Veja as regras que criei para disponibilizar o serviço, e por favor me digam onde estou errando ou me deem um luz:


# Regra Nat p maquina diretor
iptables -t nat -A POSTROUTING -s 192.168.0.2\324 -o ppp0 -j MASQUERADE

# Regra direcionamento squid
iptables -t nat -A PREROUTING -s 192.168.0.0\24 -p tcp --dport 80 -j REDIRECT --to-port 3128

Lembrando que no squid habilitei a opção:
http_port 3128 transparent

Agradeço desde já

Wasleyalmeida,

Quando você habilita o proxy transparente e o firewall na mesma máquina, todos os hosts da rede vão passar pelo proxy, por padrão. A menos que você crie uma regra no proxy para não criar restrições para determinados IPs, MAC ou Usuários (depende da configuração do proxy que vc esteja usando).
Outra opção seria você usar uma regra como esta, antes da regra de Redirecionamento para o squid.

#iptables -t nat -A PREROUTING -i <INT_LOCAL> -s <IP> -p tcp --dport 80 -j ACCEPT

Espero ter ajudado.

ja apanhei por anos com esse proxy transparente e espero que esta
nova regra realmente funcione com o centos 5.9 pois ja tentei com o centos 5.4, 5.5, 5.8 e 5.9

obrigado antecipado

vinicius

ola !!
bom dia pessoal
estou um uma dificulda de deixar meu proxy transparente no debia 7
Squid Cache: Version 3.1.20
esta e minha configuracao
minha rede eth0 esta como dhcp pegando a rede interna do meu roteador
e a eth1 esta com ip static 172.16.0.1/24
# Porta do Squid
http_port 172.16.0.1:3128 intercept
# Nome do servidor
visible_hostname debian
# Cache
cache_mem 64 MB
maximum_object_size_in_memory 128 KB
maximum_object_size 512 MB # guarda em disco
minimum_object_size 0 KB # guarda em disco
cache_swap_low 90
cache_swap_high 95
cache_dir ufs /var/spool/squid3 100 16 256
# Logs de acesso
access_log /var/log/squid3/access.log squid
#coloque seu email
cache_mgr lua_feitosa@hotmail.com
# Regras acl padrão
acl manager proto cache_object
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 901 # swat
acl Safe_ports port 1025-65535 # portas altas
acl CONNECT method CONNECT # site seguranca
acl redelocal src 172.16.0.0/24 # permissao rede ocal

# Bloqueio de sites por URL
acl bloqueados url_regex -i "/etc/squid3/regras"
acl downloads_proibidos url_regex -i \.torrent \.avi\.mp3 \.flv \.mov \.w$ \.exe
#controle de bloqueio#
http_access deny bloqueados
http_access deny downloads_proibidos
# Permissões e bloqueios padrão
#http_access allow localhost manager # gerenciar o cache
#http_access deny manager
#http_access allow localhost purge # deletar arquivo do cache
#http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow redelocal

# Bloqueio de usuarios fora da rede
http_access deny all

coloqueia as regras iptables
nano /etc/init.d/rc.local

sh -e /etc/init.d/firewall
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -s 172.16.0.0/255.255.255.0 -p tcp --dport 80 -j REDIRECT --to-port 3128

a pergunda e o seguindo quando vou no navegador e retiro o proxy ele deixa passar tudo gostaria muito da ajuda de voces onde esta o meu erro desde já agradeco a todos