DEVICE=eth0
BOOTPROTO=static
IPADDR=122.22.22.22
NETMASK=255.255.255.252
ONBOOT=yes

DEVICE=eth1
BOOTPROTO=static
BROADCAST=10.0.0.255
IPADDR=10.0.0.1
NETMASK=255.255.255.0
NETWORK=10.0.0.0
ONBOOT=yes

http_port 10.0.0.1:3128 transparent
hierarchy_stoplist cgi-bin, chat
cache_mem 128 MB
maximum_object_size 128 MB
ftp_user anonymous
negative_ttl 1 minutes
positive_dns_ttl 1 hours
negative_dns_ttl 5 minutes
visible_hostname gateway
emulate_httpd_log off
access_log /var/log/squid/access.log squid
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log
cache_dir ufs /var/spool/squid 1024 32 128
acl all src  0.0.0.0/0.0.0.0
acl inet_user src 10.0.0.0/24 192.168.1.0/24
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https, snews

acl CONNECT method CONNECT
http_access allow inet_user
http_access deny all

error_directory /usr/share/squid/errors/English

ddns-update-style none;
ignore client updates;

subnet 10.0.0.0 netmask 255.255.255.0 {
option routers 10.0.0.1;
option subnet-mask 255.255.255.0;
option domain-name-servers 10.0.0.1;
default-lease-time 3600;
max-lease-time 25200;
range 10.0.0.50 10.0.0.254;
}

nameserver 10.0.0.1

options {
directory "/var/cache/bind";
listen-on port 53 {
10.0.0.1;
};
forwarders {
122.22.22.2;
122.22.23.24;
};
};
logging {
category lame-servers {null; };
category edns-disabled { null; };
};

IPTABLES="/sbin/iptables"

# Отчищаем все правила в таблицах filter, nat и mangle
$IPTABLES -t filter -F
$IPTABLES -t nat -F
$IPTABLES -t mangle -F

# Удаляем все пользовательские цепочки в таблицах filter, nat и mangle
$IPTABLES -t filter -X
$IPTABLES -t nat -X
$IPTABLES -t mangle -X

# Задаем политики по умолчанию
$IPTABLES -t filter -P INPUT DROP
$IPTABLES -t filter -P FORWARD DROP
$IPTABLES -t filter -P OUTPUT DROP

# Создаем пользовательские цепочки.
$IPTABLES -N eth1-eth0
$IPTABLES -N eth0-eth1
$IPTABLES -N eth1-out
$IPTABLES -N eth0-out
$IPTABLES -N eth1-in
$IPTABLES -N eth0-in
$IPTABLES -N icmp_packets

# Направляем все входящие пакеты в соответствующие цепочки.
$IPTABLES -A OUTPUT -s 122.22.22.22 -j eth0-out
$IPTABLES -A OUTPUT -s 10.0.0.1 -j eth1-out

# Разрешаем весь трафик с петлевого интерфейса.
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A OUTPUT -o lo -j ACCEPT

# Разрешаем следующие типы icmp пакетов.
$IPTABLES -A icmp_packets -p icmp --icmp-type 0 -j ACCEPT
$IPTABLES -A icmp_packets -p icmp --icmp-type 3 -j ACCEPT
$IPTABLES -A icmp_packets -p icmp --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p icmp --icmp-type 11 -j ACCEPT


# Для удобства фильтрации, направляем все транзитные пакеты, в соответствующие цепочки.
$IPTABLES -A FORWARD -i eth1 -o eth0 -j eth1-eth0
$IPTABLES -A FORWARD -i eth0 -o eth1 -j eth0-eth1

# eth1-eth0. В данную цепочку попадают все транзитные пакеты,
# направленные из локальной сети в мир.
$IPTABLES -A eth1-eth0 -p icmp -j icmp_packets
$IPTABLES -A eth1-eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth1-eth0 -j DROP

# eth0-eth1. В данную цепочку попадают все транзитные пакеты,
# направленные из мира в локальную сеть.
$IPTABLES -A eth0-eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth0-eth1 -j DROP

# eth1-in. В данной цепочке открываем порты тех служб, которые
# должны быть доступны на сервере из локальной сети.
$IPTABLES -A eth1-in -p icmp -j icmp_packets
$IPTABLES -A eth1-in -p tcp --dport 22 -j ACCEPT
$IPTABLES -A eth1-in -p udp --dport 53 -j ACCEPT
$IPTABLES -A eth1-in -p udp --dport 67 --sport 68 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 3128 -j ACCEPT
$IPTABLES -A eth1-in -j DROP

# eth0-in. В данной цепочке открываем порты тех служб, которые
# должны быть доступны на сервере из мира. Например www, smtp, ftp
$IPTABLES -A eth0-in -p icmp -j icmp_packets
$IPTABLES -A eth0-in -p tcp --dport 22 -j ACCEPT
$IPTABLES -A eth0-in -p udp --dport 53 -j ACCEPT
$IPTABLES -A eth0-in -p udp --dport 87 -j ACCEPT
$IPTABLES -A eth0-in -p tcp --dport 110 -j ACCEPT
$IPTABLES -A eth0-in -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth0-in -j DROP

# eth1-out.
$IPTABLES -A eth0-out -p icmp -j icmp_packets
$IPTABLES -A eth0-out -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth0-out -j DROP

# eth0-out.
$IPTABLES -A eth0-out -p icmp -j icmp_packets
$IPTABLES -A eth0-out -p udp --dport 53 -j ACCEPT
$IPTABLES -A eth0-out -p udp --dport 87 -j ACCEPT
$IPTABLES -A eth0-out -p tcp --dport 25 -j ACCEPT
$IPTABLES -A eth0-out -p tcp -m multiport --dport 80,443,8080 -j ACCEPT
$IPTABLES -A eth0-out -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth0-out -j DROP

# Производим сетевую трансляцию адресов (NAT)
$IPTABLES -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j SNAT --to-source 122.22.22.22

# "Заварачиваем" весь http трафик на squid.

$IPTABLES -t nat -A PREROUTING -s 10.0.0.0/24 -i eth1 -p tcp -m multiport --dport 80,8080 -j REDIRECT --to-ports 3128