Linux Forum — iptables проксификация

Re: iptables проксификация

null@example.com (Kettler) — Fri, 10 Jun 2011 20:49:14 +0000

Acuk пишет:

Еще вопрос: А если IP адрес, который нужно исключить из проксирования не один, а несколько(Пусть штук 10) и все из разных диапазонов, как быть?
Добавлено:
Курил FAQ но нашел только как сделать несколько IP из одного диапазона (-m iprange) так что вопрос в силе.

iptables -t nat -I PREROUTING 1 -p tcp -s 192.168.1.3 -d 93.158.134.0/24 --dport 80 -j ACCEPT
iptables -t nat -I PREROUTING 2 -p tcp -s 192.168.1.3 -d 93.158.135.0/24 --dport 80 -j ACCEPT
iptables -t nat -I PREROUTING 3 -p tcp -s 192.168.1.3 --dport 80 -j DNAT --to-destination 192.168.131.111:888

Re: iptables проксификация

null@example.com (Acuk) — Sun, 05 Jun 2011 19:06:19 +0000

Еще вопрос: А если IP адрес, который нужно исключить из проксирования не один, а несколько(Пусть штук 10) и все из разных диапазонов, как быть?
Добавлено:
Курил FAQ но нашел только как сделать несколько IP из одного диапазона (-m iprange) так что вопрос в силе.

Re: iptables проксификация

null@example.com (Kettler) — Fri, 03 Jun 2011 20:50:19 +0000

А я тут ещё накидал

nano /etc/iproute2/rt_tables

10 provider10

ip rule add from 93.158.134.0 table provider10
ip route add default via 172.16.0.254 table provider10

где 172.16.0.254 - шлюз провайдера

#!/bin/bash
$ipsquid=10.213.1.1
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -I PREROUTING 1 -t mangle -s 192.168.1.0/24 -d 93.158.134.0/24 -p tcp --dport 80 -j MARK --set-mark 10
iptables -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 --dport 80 -j DNAT --to-destination $ipsquid:80
ip rule add from all fwmark 10 table provider10

Может кому нибудь пригодиться

Re: iptables проксификация

null@example.com (Kettler) — Fri, 03 Jun 2011 18:51:28 +0000

вывод покажи
ifconfig
и
ip route show

щас что нибудь сообразим

Re: iptables проксификация

null@example.com (Acuk) — Fri, 03 Jun 2011 18:38:53 +0000

к тому просто добавить ! -d 93.158.134.3

не помогает почему-то
Сейчас это выглядит так:
iptables -t nat -A PREROUTING -p tcp -s 192.168.1.3 ! -d 93.158.134.4 --dport 80 -j DNAT --to-destination 83.172.2.8:888

Добавлено:
Разобрался. Был назначен неверный ip - поправил и все заработало.
Спасибо еще раз.

Re: iptables проксификация

null@example.com (Kettler) — Fri, 03 Jun 2011 18:24:48 +0000

к тому просто добавить ! -d 93.158.134.3

Re: iptables проксификация

null@example.com (Acuk) — Fri, 03 Jun 2011 18:22:59 +0000

iptables -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 --dport 80 ! -d 93.158.134.3 -j DNAT --to-destination $ipsquid:80

увы, не помогло. Восклицательный знак тут явно лишний =)
Это правило надо писать до/после основного? Или непринципиально?

Re: iptables проксификация

null@example.com (Kettler) — Fri, 03 Jun 2011 17:46:52 +0000

Неуверен что сработает

#!/bin/bash
$ipsquid=10.213.1.1
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 --dport 80 ! -d 93.158.134.3 -j DNAT --to-destination $ipsquid:80
iptables -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 --dport 443 -j DNAT --to-destination $ipsquid:443

Re: iptables проксификация

null@example.com (Acuk) — Fri, 03 Jun 2011 17:17:52 +0000

спасибо за ответы. Причина была в отсутствии правила output для 80 порта.
443 порт действительно нужен лишь для аутентификации в сервисах - пустил его напрямую.
Теперь возник еще один вопрос:
Из проксирования надо исключить все пакеты, идущие на 93.158.134.3:80, то есть пакеты на этот ip должны идти напрямую, минуя прокси.

Re: iptables проксификация

null@example.com (Kettler) — Wed, 01 Jun 2011 18:16:33 +0000

Forward accept не вскрыть а вот INPUT это да) а OUTPUT всё таки советую закрывать)

Re: iptables проксификация

null@example.com (zenon) — Wed, 01 Jun 2011 18:11:26 +0000

Ну если мы порты внутрь прокинули то мы попадем как-раз в пункт назначения.
ы. как-бы из меня взломщик не особо удался... это надо на счет тестирования к этим обращаться ну сам знаешь... smile

Re: iptables проксификация

null@example.com (Kettler) — Wed, 01 Jun 2011 18:07:30 +0000

А тут сам подумай мы прокинули порты во внутрь чтоб их ломать? или как можно?

Re: iptables проксификация

null@example.com (zenon) — Wed, 01 Jun 2011 18:02:52 +0000

Kettler, эмм forward же открыт и доступ во внутреннюю сетку тоже никто вроде не закрыл, хотя имхо так и паранойю можно заработать. :lol:

Re: iptables проксификация

null@example.com (Kettler) — Wed, 01 Jun 2011 18:00:50 +0000

smile да ладно что в роутере ломать

Re: iptables проксификация

null@example.com (zenon) — Wed, 01 Jun 2011 17:59:12 +0000

По=ходу мало кто о P DROP задумывается - ну и раздолье имеем для взлома.... smile