mikrotik + squid linux

Estou com problemas para utilizar o mikrotik com squid em linux, não sei se estou fazendo alguma cosia errada, tentei utiliza a opção de parent proxy e o mesmo problema ocorreu, quando a pouco clientes a navegação fica boa mas no momento em que há muitas requisições de acesso a páginas a navegação fica lenta.
Aparentemente os pedidos de conexão ao squid são passados um a um e quando utilizo ele direto na interface dos clientes as requisições parecem entrar mais rapidamente no squid.
Utilizo o squid na interface de entrada do link externo.
Se alguém souber o motivo desse problema, por favor postem ai.

Muito Obrigado.

Citação:

---

Postado originalmente por mtmax

Estou com problemas...

---

Olha amigo,
Você pode usar o mikrotik com proxy paralelo ao linux, segue o link:
Linux: Proxy em paralelo com o mikrotik [Artigo]

Qualquer dúvida...

Citação:

---

Postado originalmente por Mr. RG

Olha amigo,
Você pode usar o mikrotik com proxy paralelo ao linux, segue o link:
Linux: Proxy em paralelo com o mikrotik [Artigo]

Qualquer dúvida...

---

Bem mencionado, no entanto...

não sei se apenas impressão minha, mas quando o mk trabalha com parent proxy, parece que fica mais lento, pra contornar o problema eu acabei marcando todas requisições a porta 80 por rota e redirecionei para o meu servidor linux. Ai sim ficou show de bola

Blz então.
Mas no caso do proxy paralelo ao linux, você não iria habilitar o web-proxy, deixando, assim, o seu mikrotik mais leve.

JHONNE, se possível poderia postar as regras que vc utilizou para fazer a marcação de pacotes e em que inerface vc stá utilizando o server linux.

Quando utilizo a opção de proxy na versão 2.9, aparentemente funciona melhor que quando configurado na opção de web proxy na versão 3.0, mas como foi falado pelo amigo JHONNE, acredito também que vai ficar muito mais rápido se fizer um simples redicionamento de pacotes, o problema é que já tentei fazer isso, mas como meu conhecimento é limitado não consegui, se for possivel alguém postar as regras eu fico agradecido.

Citação:

---

Postado originalmente por mtmax

JHONNE, se possível poderia postar as regras que vc utilizou para fazer a marcação de pacotes e em que inerface vc stá utilizando o server linux.

---

desculpe, postar regras não, mas posso te explicar direitinho, prefiro ensinar a pescar a lhe passar o peixe

no meu caso,

meu MK tem 4 placas de rede:

interface 200.xxx.xxx.180 conectada a meu link de internet;
interface 10.50.50.1 conecta os clientes
interface 10.100.100.2 conectada ao servidor linux cache squid
interface 10.200.200.1 também conectada ao servidor cache squids

gateway default ou seja 0.0.0.0 é o 200.xxx.xxx.180
segundo gateway 0.0.0.0 10.100.100.1 router mark nova

em firewall tabela mangle prerouting
para todos os pacotes tcp com destino a porta 80 marque a rota como nova

no linux
interface 1 conectada ao MK 10.100.100.1
interface 2 conectada ao MK 10.200.200.2

gateway 0.0.0.0 10.200.200.1

nesta maquina linux está sendo feito o proxy transparente, portano não necessidade de redirecionamento da porta no MK

sei que não necessessárias 2 interfaces de rede conectadas ao linux, mas cada doido tem suas manias (queria ter um controle sem nenhuma confusão de tudo que entra e que sai pelo meu cache, tipo bato o olho e vejo o ganho real de link)

* essas são apenas as regras referente ao proxy paralelo, no se esqueça do mascaramento etc...

JHONNE muito obrigado, não sei se endenti direito, mas vou tentar implementar oque vc passou, pelo que entendi vc receita marcar os pacotes da porta 80 como mark routing e depois direcionar os pacotes marcados dentro do routers para o servidor linux.
Se não for isso, por favor me ajude, mas eu estva fazendo diferente, vou tentar implementar conforme vc me falo e fazer um teste.

Desde de já agradeço sua atenção.

amigos o que esta de errado com essas regras ??

ip das interfaces:

0 10.0.0.1/16 10.0.0.0 10.0.255.255 Saida-wireless
1 ;;; REDE INTERNA
192.168.2.1/24 192.168.2.0 192.168.2.255 Rede interna
2 ;;; LINK BALANCE
10.3.3.2/24 10.3.3.0 10.3.3.255 Link 01
3 ;;; LINK PARA PROXY
10.2.2.2/24 10.2.2.0 10.2.2.255 Link 02



ip firewall mangle

2 ;;; ROTAS
chain=prerouting protocol=tcp dst-port=80 action=mark-routing new-routing-mark=rota_nova_http passthrough=yes
3 chain=prerouting routing-mark=rota_nova_http action=mark-routing new-routing-mark=rota_http passthrough=yes


ip route

0 ADC 10.0.0.0/16 10.0.0.1 Saida-wireless
1 ADC 10.2.2.0/24 10.2.2.2 Link 02
2 ADC 10.3.3.0/24 10.3.3.2 Link 01
3 ADC 192.168.2.0/24 192.168.2.1 Rede interna
4 ADC 201.67.92.254/32 189.31.132.208 pppoe-out1
5 A S 0.0.0.0/0 r 10.2.2.1 Link02
6 A S 0.0.0.0/0 r 10.3.3.1 Link01

nat

1 ;;; NAT SOMENTE PARA PACOTES DA ROTA
chain=srcnat routing-mark=rota_http action=src-nat to-addresses=10.2.2.2 to-ports=0-65535



no link02 routing mark = rota_http, agora o mais interresante, os pacotes da rede interna faz marcaçao certinho e manda pra rota_http e sai pelo link02 normal, mas a wireless nao sai nem a pau e pelo que vi parece que marca certinho...ajudae galera...vlw

Citação:

---

Postado originalmente por romeubisso

amigos o que esta de errado com essas regras ??

ip das interfaces:

0 10.0.0.1/16 10.0.0.0 10.0.255.255 Saida-wireless
1 ;;; REDE INTERNA
192.168.2.1/24 192.168.2.0 192.168.2.255 Rede interna
2 ;;; LINK BALANCE
10.3.3.2/24 10.3.3.0 10.3.3.255 Link 01
3 ;;; LINK PARA PROXY
10.2.2.2/24 10.2.2.0 10.2.2.255 Link 02


ip firewall mangle

2 ;;; ROTAS
chain=prerouting protocol=tcp dst-port=80 action=mark-routing new-routing-mark=rota_nova_http passthrough=yes
3 chain=prerouting routing-mark=rota_nova_http action=mark-routing new-routing-mark=rota_http passthrough=yes


ip route

0 ADC 10.0.0.0/16 10.0.0.1 Saida-wireless
1 ADC 10.2.2.0/24 10.2.2.2 Link 02
2 ADC 10.3.3.0/24 10.3.3.2 Link 01
3 ADC 192.168.2.0/24 192.168.2.1 Rede interna
4 ADC 201.67.92.254/32 189.31.132.208 pppoe-out1
5 A S 0.0.0.0/0 r 10.2.2.1 Link02
6 A S 0.0.0.0/0 r 10.3.3.1 Link01

nat

1 ;;; NAT SOMENTE PARA PACOTES DA ROTA
chain=srcnat routing-mark=rota_http action=src-nat to-addresses=10.2.2.2 to-ports=0-65535



no link02 routing mark = rota_http, agora o mais interresante, os pacotes da rede interna faz marcaçao certinho e manda pra rota_http e sai pelo link02 normal, mas a wireless nao sai nem a pau e pelo que vi parece que marca certinho...ajudae galera...vlw

---

vc esta usando hotspot na interface wireless?

é importante saber por causa do proxy interno do hotspot!

JHONNE, tentei implementar o esquema que vc passou e não consegui, ai estou usando uma simples regra de dst-nat, poderia me dizer se tem algum problema em usar essa regra?

Citação:

---

Postado originalmente por mtmax

JHONNE, tentei implementar o esquema que vc passou e não consegui, ai estou usando uma simples regra de dst-nat, poderia me dizer se tem algum problema em usar essa regra?

---

Esta regra, redireciona o tráfego para o destinho informado em To Address e To Port, não sei se é tão eficaz quanto as outras maneiras apresentadas aqui.

Citação:

---

Postado originalmente por Mr. RG

Esta regra, redireciona o tráfego para o destinho informado em To Address e To Port, não sei se é tão eficaz quanto as outras maneiras apresentadas aqui.

---

Realmente não é eficaz. Com certeza terá problemas!! pois vc está alterando o destino dos pacotes ou seja quem tinha como destino 200.xxx.xxx.xxx agora tem como destino seu proxy. Posso afirmar que gera inconsistências porque já testei.

Citação:

---

Postado originalmente por mtmax

JHONNE, tentei implementar o esquema que vc passou e não consegui, ai estou usando uma simples regra de dst-nat, poderia me dizer se tem algum problema em usar essa regra?

---

coloque as regras que vc criou aqui, explique sua rede, é uma forma de te ajudar a aprender

Citação:

---

Postado originalmente por JHONNE

vc esta usando hotspot na interface wireless?

é importante saber por causa do proxy interno do hotspot!

---

estou usando sim amigao.. como faço ?

Citação:

---

Postado originalmente por romeubisso

estou usando sim amigao.. como faço ?

---

o problema é que o hotspot tem um proxy interno. Para desativá-lo para o cliente desmarque a opção "transparent proxy" em cada "user profile".

*A nova configuração só terá efeito quando o cliente logar-se novamente

Não analisei suas regras ainda, mas pelo que vc disse estar acontecendo, deve ser isto!

Por favor poste o resultado.

amigao, cinceramente eu nao acredito que era somente isso....rs :) valeu abraços funcionou legal com essas regras que postei ae galera.

valeu abraços.

Citação:

---

Postado originalmente por JHONNE

o problema é que o hotspot tem um proxy interno. Para desativá-lo para o cliente desmarque a opção "transparent proxy" em cada "user profile".

*A nova configuração só terá efeito quando o cliente logar-se novamente

Não analisei suas regras ainda, mas pelo que vc disse estar acontecendo, deve ser isto!

Por favor poste o resultado.

---

desmarcar o transparente proxy, certo.
e o open status page como seto ele? deixo aways ou http login ?

Citação:

---

Postado originalmente por romeubisso

desmarcar o transparente proxy, certo.
e o open status page como seto ele? deixo aways ou http login ?

---

Ainda não li sobe isso, mas me parece que serve para especificar o seguinte:

Se você quer a pagina de status da sua conexão abra só quando você loga ou se pode acessá-la a qualquer momento.

Para acesar pagina de status basta o cliente digitar http://ip_do_hospot. Faça os testes e descubra pra gente ai como funciona.

De qualquer forma, isso não influi na qualidade da conexão.

rede externa -> eth1
rede interna I -> eth2
rede intenra II -> eth3

dst-address=0.0.0.0/0 gateway=10.0.0.252 interface=ether1
gateway-state=reachable scope=255 target-scope=10
routing-mark=http-routing

chain=prerouting src-address=192.168.0.0/24 protocol=tcp dst-port=80 action=mark-routing new-routing-mark=http-routing passthrough=yes

essas duas regras foram as que adicionei, eu também criei as regras de firewall que existem no wiki da mikrotik internacional para proteção, ai criei uma regra forward no inicio das regras para liberar o tráfego na porta 80 para o servidor squid.

ok ok problema resolvido.

Citação:

---

Postado originalmente por JHONNE

desculpe, postar regras não, mas posso te explicar direitinho, prefiro ensinar a pescar a lhe passar o peixe

no meu caso,

meu MK tem 4 placas de rede:

interface 200.xxx.xxx.180 conectada a meu link de internet;
interface 10.50.50.1 conecta os clientes
interface 10.100.100.2 conectada ao servidor linux cache squid
interface 10.200.200.1 também conectada ao servidor cache squids

gateway default ou seja 0.0.0.0 é o 200.xxx.xxx.180
segundo gateway 0.0.0.0 10.100.100.1 router mark nova

em firewall tabela mangle prerouting
para todos os pacotes tcp com destino a porta 80 marque a rota como nova

no linux
interface 1 conectada ao MK 10.100.100.1
interface 2 conectada ao MK 10.200.200.2

gateway 0.0.0.0 10.200.200.1

nesta maquina linux está sendo feito o proxy transparente, portano não necessidade de redirecionamento da porta no MK

sei que não necessessárias 2 interfaces de rede conectadas ao linux, mas cada doido tem suas manias (queria ter um controle sem nenhuma confusão de tudo que entra e que sai pelo meu cache, tipo bato o olho e vejo o ganho real de link)

* essas são apenas as regras referente ao proxy paralelo, no se esqueça do mascaramento etc...

---

olá amigo, tentei seguir seu esquema, mas não rolou certo instalei o bfw adicionei os ips, como vc mostrou , mas não deu em nada, consegui dar ping pelo mikrotik no ip do BFW e tudo mais, oBFE tbm, mas não pinga no gateway 10.200.200.1, que seria o gateway fornecido pelo MKT, o que eu faço ?? e como terrei certeza de que está funcionando??? obrigado desde!!!!

Citação:

---

Postado originalmente por georgegomes

olá amigo, tentei seguir seu esquema, mas não rolou certo instalei o bfw adicionei os ips, como vc mostrou , mas não deu em nada, consegui dar ping pelo mikrotik no ip do BFW e tudo mais, oBFE tbm, mas não pinga no gateway 10.200.200.1, que seria o gateway fornecido pelo MKT, o que eu faço ?? e como terrei certeza de que está funcionando??? obrigado desde!!!!

---

Cara primeiro vc precisa ter certeza que a conexão com o bfw tá correnta, coloque um computador conecado ao bfw e vê se navega.

Segundo: Tenha cuidado quando for marcar a rota para a porta 80 tenha certeza que não está incluindo a rede que vem do bfw no router mark, senão vai criar um ciclo sem fim.

Citação:

---

Postado originalmente por JHONNE

Cara primeiro vc precisa ter certeza que a conexão com o bfw tá correnta, coloque um computador conecado ao bfw e vê se navega.

Segundo: Tenha cuidado quando for marcar a rota para a porta 80 tenha certeza que não está incluindo a rede que vem do bfw no router mark, senão vai criar um ciclo sem fim.

---

bom olhei aqui pelo meu conheçimento está do do jeito que vc me descreveu, não sei mais o que olhar, olhe aqui as configurações:

MKT está recebendo um gateway que criei no MKT principal atravez de um switch, só pra teste mesmo, criei as calsses 10.100.100.0 , 10.200.200.0 e o gateway 10.100.100.1 na interface squid que é ligada a ether0. a ether1 fica como a interface que recebe a net do MKT.

No BFW coloquei duas placas sendo a ether0 com ip 10.100.100.1, configuração da net ether1 com o ip 10.200.200.2 e mask 255.255.255.x/30, pra limitar os ips configurei os dns com os da operadora. em dhcp deixei como está.

meu msn é [email protected]

Citação:

---

Postado originalmente por JHONNE

Cara primeiro vc precisa ter certeza que a conexão com o bfw tá correnta, coloque um computador conecado ao bfw e vê se navega.

Segundo: Tenha cuidado quando for marcar a rota para a porta 80 tenha certeza que não está incluindo a rede que vem do bfw no router mark, senão vai criar um ciclo sem fim.

---

bom deixei tudo ok agora, se comunicando tudo certo, finalmente, só estou tendo um problema, o dns sempre falha, não entendo por mudei fiz o que podia, Quando tiro o desvio de rota ele funciona bom demais, mas quando coloco ele não navega mais, o BFW está configurado tudo certo, mas como disse sempre dá o falha no dns.

e ai alguem já passou por isso ai, ou tem uma solução.

Citação:

---

Postado originalmente por georgegomes

bom deixei tudo ok agora, se comunicando tudo certo, finalmente, só estou tendo um problema, o dns sempre falha, não entendo por mudei fiz o que podia, Quando tiro o desvio de rota ele funciona bom demais, mas quando coloco ele não navega mais, o BFW está configurado tudo certo, mas como disse sempre dá o falha no dns.

e ai alguem já passou por isso ai, ou tem uma solução.

---

Crie um dns estático e coloque ele para os clientes conectados no mikrotik, isto poderá ajudar.

Citação:

---

Postado originalmente por Mr. RG

Crie um dns estático e coloque ele para os clientes conectados no mikrotik, isto poderá ajudar.

---

valeu mesmo, mas usei opendns, ficou bom, só o redirecionamento que não rola de jeito nehuma, desativei o dhcp do bfw pra colocar um ip estatico no mkt, mas ele não navega nem com a porra, ai quando tiro a regra funfa bom demais.

estranho!

opa galera eu queria saber como fica nos logs do squid, se fica o ip do cliente que acessou o site, ou o ip do servidor, pois agora a justiça vai obrigar a nós provedores a guardar logs de clientes por 3 anos.

web-proxy,debug,packet 1214364140.519 19 192.168.16.25 TCP_IMS_HIT/304 216 GET http://www.bb.com.br/docs/home/inst/...ntaPessoal.gif - NONE/- image/gif in 24-Jun 23:22:27.75 from 192.168.10.1

podemos perceber ai que aparece o ip 192.168.16.25 solicitando o site do bb, se eu bota pra fazer um parent proxy, qual ip vai? do cliente ou do servidor?