Firewall e Squid

[General Lee]

Ciao a tutti, sono un amministratore di rete che sta cercando di implementare una cosa un po' ardua per me a causa delle mio non avanzate conoscenze di linux.

Abbiamo una rete LAN che esce attraverso un firewall che altro non e' se non un pc linux con squid attivo ( http proxy in trasparent mode).

Ora quello che sto provando a fare con scarso successo e' permettere a determinati ip di bypassare squid. Praticamente che tutte le navigazioni sulla porta http 80 non vengano salvate su access.log di squid che poi viene visualizzato sul pannello del router attraverso sarg.

Ho provato a smanettare con squid.conf e riavviare il servizio ma non funziona, ho aggiunto questo
acl myip src 192.168.0.24/255.255.255.255
no_cache deny myip

e fatto una policy con
http_access allow myip url_AllowALL
.. ma non va, continua a salvare tutto sui log.

L'unica cosa che avrei trovato nel web sarebbe una regola su iptables che mi farebbe uscire direttamente l'ip in questione sulla porta 80 bypassando il passaggio sulla porta squid ma ... non riesco a capire bene come fare.

... qualche aiutino??? :(

Ciao & Grassie

[gurutech]

Ciao General Lee,

squid e iptables collaborano tra loro per far si che funzioni il proxy trasparente.
Attualmente nel firewall c'è una regola che dice che tutto il traffico diretto alla porta 80 deve essere instradato dentro squid.
Con la regola che tu hai implementato in squid.conf gli hai solo detto di non tenere la cache di navigazione e di far passare quell'IP su tutti gli indirizzi (saltando perciò altre restrizioni e filtri che potrebbero esserci). Come però hai constatato i log continua a farli ugualemente!
Per fare ciò che desideri hai letto l'informazione giusta: devi agire su iptables.
prova a fare (come root)
iptables -L -n -t nat --line-numbers
otterai una cosa del genere

Chain PREROUTING (policy ACCEPT)
num target prot opt source destination
1 REDIRECT tcp -- 192.168.1.0/24 0.0.0.0/0 tcp dpt:80 redir ports 3128


Chain POSTROUTING (policy ACCEPT)
num target prot opt source destination
1 ppp0_masq 0 -- 0.0.0.0/0 0.0.0.0/0
2 tun0_masq 0 -- 0.0.0.0/0 0.0.0.0/0

Chain OUTPUT (policy ACCEPT)
num target prot opt source destination

Chain ppp0_masq (1 references)
num target prot opt source destination
1 MASQUERADE 0 -- 192.168.4.0/24 0.0.0.0/0

Chain tun0_masq (1 references)
num target prot opt source destination
1 MASQUERADE 0 -- 192.168.4.0/24 192.168.5.1


come vedi sono una serie di tabelle (o catene, Chain) con diversi nomi. La regola che serve a fare il proxy trasparente dovrebbe trovarsi in PREROUTING ed essere tipo

num target prot opt source destination
4 REDIRECT tcp -- 192.168.1.0/24 0.0.0.0/0 tcp dpt:80 redir ports 3128

che vuol dire
la regola numero 4 dice che tutto quello che arriva da 192.168.1.0/24 diretto alla destination port (dpt) 80 lo devi redirigere alla porta 3128 (la redirezione è sempre effettuata su localhost)

tu invece vuoi che per un determinato client (es 192.168.1.7) questo non venga fatto, per cui devi prima di tutto fargli bypassare questa regola

iptables -t nat -I PREROUTING 4 --src 192.168.1.7 -j ACCEPT


adesso vedrai che
iptables -L -n -t nat --line-numbers
restituisce qualcosa tipo

Chain PREROUTING (policy ACCEPT)
num target prot opt source destination
4 ACCEPT 0 -- 192.168.1.7 0.0.0.0/0
5 REDIRECT tcp -- 192.168.1.0/24 0.0.0.0/0 tcp dpt:80 redir ports 3128


questo da solo però non basta a far navigare 192.168.1.7!
ti devi ora assicurare, sempre tramite iptables, che l'IP in questione si o mascherato, oppure nattato. Il masquerading è la tecnica più semplice:

iptables -t nat -I PREROUTING 1 --src 192.168.1.7 -j MASQUERADE

(in questo modo inserisci la regola come la numero 1 della catena, per cui è sicuro che non vi sono altre regole antecedenti che fanno altro)

se invece il firewall/proxy ha un indirizzo ip di accesso a internet statico, allora per correttezza dovresti usare il source nat, in questo modo

iptables -t nat -I PREROUTING 1 --src 192.168.1.7 -j SNAT --to-source MY.PUB.LIC.IP

(al posto di MY.PUB.LIC.IP inserisci il tuo IP pubblico)

per ultimo controlla che il port forwarding sia abilitato

server:~# cat /proc/sys/net/ipv4/ip_forward
1
server:~#

se ti restituisce 1 è abilitato, altrimenti puoi abilitarlo con

echo 1 > /proc/sys/net/ipv4/ip_forward


a questo punto togli le impostazioni del proxy dal browser di 192.168.1.7 e prova a navigare. prova anche ad aprire una riga di comando e fare ping www.google.it. Se non va il ping a google, forse non hai il DNS configurato correttamente. Per controprova prova a pingare ping 151.1.1.1. Se quest'ultimo va allora devi configuare correttamente la risoluzione dei nomi sul client (o sul tuo server DNS se ne usi uno).
Se tutto funziona dovresti salvare le regole nel tuo firewall, ma questo dipende dalla distribuzione che usi e dallo script che tira su il firewall.

Ciao
G

[General Lee]

Grazie amico ce l'ho fatta!!!!

Avevo questa situazione:


Chain AUTO_NAT_PRE (1 references)
num target prot opt source destination
1 DROP tcp -- 192.168.0.0/16 0.0.0.0/0 tcp dpt:3128
2 REDIRECT tcp -- 192.168.0.0/16 0.0.0.0/0 tcp dpt:80 redir ports 3128


Mi e' bastato aggiungere

iptables -t nat - I AUTO_NAT_PRE 1 -p tcp --dport 80 --src 192.168.0.24 -j ACCEPT


Ora ho:

Chain AUTO_NAT_PRE (1 references)
num target prot opt source destination
1 ACCEPT tcp -- 192.168.0.24 0.0.0.0/0 tcp dpt:80
2 DROP tcp -- 192.168.0.0/16 0.0.0.0/0 tcp dpt:3128
3 REDIRECT tcp -- 192.168.0.0/16 0.0.0.0/0 tcp dpt:80 redir ports 3128


... e squid non salva i log per la navigazione http dell'ip 192.168.0.24!

Grassieeeeeee!!!