Squid - Conectividade Social funciona, mas DPI não!

Olá galera, consegui resolver o esquema pra fazer a conectividade social funcionar, mas utilizo um programa do governo goiano que não funfa, é o DPI2003, da sefaz de Goiás. O fato é que eu to tentando fazer com ele o mesmo que eu fiz na conectividade, mas nas regras do firewall não da certo. Pra Conectividade, eu fiz isso e funfou:

iptables -A FORWARD -p tcp -s 198.164.1.0/24 -d 200.201.174.0/24 --dport 80 -j ACCEPT
iptables -A FORWARD -p tcp -d 198.164.1.0/24 -s 200.201.174.0/24 --dport 80 -j ACCEPT
iptables -A FORWARD -p tcp -s 198.164.1.0/24 -d 200.201.174.0/24 --dport 2631 -j ACCEPT
iptables -A FORWARD -p tcp -d 198.164.1.0/24 -s 200.201.174.0/24 --dport 2631 -j ACCEPT
# Redireciona porta 80 e 8080 para 3128 (squid)
iptables -t nat -A PREROUTING -i eth0 -p tcp -d ! 200.201.174.207 --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i eth0 -p tcp -d ! 200.201.174.207 --dport 8080 -j REDIRECT --to-port 3128


Assim sendo, liguei para o suporte da DPI e eles me informaram que o programa usa as portas 21 e 24001, e o ip que o programa usa é 200.230.57.43, ai montei estas regras:

iptables -A FORWARD -p tcp -s 198.164.1.0/24 -d 200.230.57.0/24 --dport 24001 -j ACCEPT
iptables -A FORWARD -p tcp -d 198.164.1.0/24 -s 200.230.57.0/24 --dport 24001 -j ACCEPT
iptables -A FORWARD -p tcp -s 198.164.1.0/24 -d 200.230.57.0/24 --dport 21 -j ACCEPT
iptables -A FORWARD -p tcp -d 198.164.1.0/24 -s 200.230.57.0/24 --dport 21 -j ACCEPT
iptables -A FORWARD -p tcp -s 198.164.1.0/24 -d 200.230.57.0/24 --dport 20 -j ACCEPT
iptables -A FORWARD -p tcp -d 198.164.1.0/24 -s 200.230.57.0/24 --dport 20 -j ACCEPT

Mas ai veio o complicado, nas regras de redirecionar a porta 80 pra 3128 do squid, já tem um endereço ip indicado pra não ser redirecionado (o da conectividade), eu tentei colocar o ip da dpi junto, mas dá erro, então pensei em colocar a regra abaixo antes das outras, mas tbm não funfou:

iptables -t nat -A POSTROUTING -o eth0 -p tcp -d 200.230.57.43 -j MASQUERADE

Tipo, agora fiquei na dúvida, eu uso proxy transparente, não redireciono o ftp pro squid, porém estas regras não funcionaram, o programa conecta e fica enviando o relatório, mas este envio nunca termina, este é o erro, só lembrando, ele usa as portas 24001, 21 e o ip é 200.230.57.43.

Abraços Cordiais,
Eduardo Henrique.

Pô galera, se alguém saka de iptables ai me da uma força, não consigo pensar em uma alternativa e talvez alguém possa me ajudar, relembrando, preciso fazer 1 estação da rede rodar o programa DPI2003 do governo de Goiás, este programa usa as portas 24001 e 21 do ftp, o ip do servidor do programa é 200.230.57.43. Uso proxy transparente. Se alguém dispor de tempo, fico mtooooo grato!!!

Abraços,
Eduardo.

cara..

dah uma verificada ae, o programa usa somente portas TCP ???

Não tem nenhuma porta UDP??

atente-se para isso... pois o resto parece estar bl'z...

dando certo ou nao, posta ae depois...

valew
[]'s

adicionei as msmas regras com porta udp, tbm não resolveu, uma pergunta, é só uma máquina da rede que precisa usar esse programa, não há como eu redirecionar direto pra esta estação que vai usar o programa?

cara... que tipo de conexão vc usa? ADSL?

se for ADSL, o modem está em modo router ou não?

muito estranho isso que está acontecendo...

seria uma idéia um pouco cretina, mas quem sabe colocar o modem, no caso de adsl, diretamente na maquina que usa este programa, apenas para teste...

se funcionar eh configuração no firewall, mas se tbm nao funcionar ae o caso muda....

valew
[]'s

desculpa a falta de informação, desse jeito eu tenho que fazer vcs ficarem adivinhando, =), mas respondendo, o modem ta como router sim, e o programa funcionava normalmente quando o modem era ligado direto no computador, acontece que implementamos um proxy/firewall, com o squid rodando transparente, ai tive problemas com a conectividade social e a DPI, a conectividade eu arrumei, soh q to tomando um coro da dpi, ah, outra coisa, o modem redireciona todas as portas para a maquina q ta de firewall, dessa forma, acredito que é alguma configuração no firewall msm. (Ah, o modem tem ip fixo, o pessoal do suporte da DPI disse que é necessário uma conexão direta, e que ele não roda sob proxy, eles nem sabem informar nada sobre firewall no linux).

Vlws,
Eduardo.

cara...
um dos problemas é o pessoal do suporte não saber nem como o programa funciona...

existem algumas aplicações que não aceitam NAT, será que não seria o caso desta que vc está utilizando?

valew

kra, se eu tiver dando bobeira me corrija, mas um colega tentou me dar uma mão dizendo pra eu tentar fazer uma regra usando SNAT, mas não consegui, vc tem alguma idéia? tipo, por a máquina estação se comunicar direto com a porta 24001 q o programa usa e deixar a 21 em masquarade?