ae pessoal gostaria de saber da opniao de vcs a respeito dessa solucao, ou se alguem ja tenha feito.
Linux: Proxy em paralelo com o mikrotik [Artigo]
Versão Imprimível
ae pessoal gostaria de saber da opniao de vcs a respeito dessa solucao, ou se alguem ja tenha feito.
Linux: Proxy em paralelo com o mikrotik [Artigo]
Se é boa eu não sei amigo, mais q muita gente usa dessa forma, isso usa, ate eu vou usar agora, pois so me faltava esse manual, valeu mesmo amigo!
Já até postei minha experiência aki. O meu ficou show de bolaCitação:
Postado originalmente por rogeriodj
Servidor brazilfw com squid
agora seguinte não uso proxy em cascata do tipo webproxy com parent proxy
o que fiz foi desviar de rota todas as conexões à porta 80 para o servidor paralelo
É isto mesmo amigo,Citação:
Postado originalmente por diegovilela01
Usar proxy em paralelo com o linxu é muito bom.
Outra coisa nesse artigo, fala sobre a versão 3.x do MK, para versão 2.9.51 é a mesma coisa, ou tem alguma diferença?
E ai JHONNE, teria como vc dar mais detalhes de como vc fez com o BrazilFW + MK, pois ja estou tentando fazer isso a muio tempo mais sem sucesso, e usar o BFW como Squid+Sarg seria bem mais facil, se puder postar mais detalhes de como proceder eu agradeço!!!
e a mesma coisa amigo ambas versoes.
Ai galera aproveitando o tópico .... eu gostaria de que alguém me indicasse a solução pro meu caso: Tenho um Link de Fibra que entra no meu mikrotik através do Ip 192.168.254.252 ( esse um ip ficticio antes que perguntem ) .... nesta mesma interface tenho tb um servidor Linux Debian junto com o Switch ... o ip do servidor eh : 192.168.254.251 .... bom no meu mikrotik eu tenho o Famoso Parent PRoxy .... nesta mesma interface eu tenho o link backup q responde por 192.168.1.1 ..........
BOm .... essa semana tive uns problemas com meu link de fibra ... ele caiu duas vezes ... e fiquei na mao ... pois bem .... fiz um script .... a função do script eh .... desativar a rota do Link de Fibra .... e ativar a rota do Reserva ... mudar o DNS .... e setar o valor do parent proxy para 0.0.0.0:0000 pq no caso ele iria desativar o parent proxy .... e deixaria soh no webproxy do mikrotik .... o X da questão :
Tem como eu fazer essa mudança sem ter que desativar o parent proxy ? PQ no meu caso o Linux continuaria com o gateway do link de fibra ativado ai toda vez que o mikrotik consultasse o parent proxy daria que está fora do ar jah que o Gateway do Linux está fora do ar.
desde jah agradeço a ajuda dos colegas...
Seguinte montei um servidor bfw conectado ao mesmo link de internet que o mikrotik através de um switch
em mangle marquei por rota todos os pacotes destinados a porta 80
criei em routes um gateway para esses pacotes marcados (o gateway é o servidor bfw)
Citação:
Postado originalmente por rogeriodj
Acho q entendi, vou tentar fazer aqui, depois posto aqui o resultado.
Belo material, será muito útil, pois estou montando uma maquina para montar o proxy e esse material com certeza irá ajudar.
Citação:
Postado originalmente por JHONNE
Jhonne olá cara, brother estou tentando fazer o mesmo que vc a, mas estou tendo umas duvidas, como adiciono esse gateway para os pacotes? essa regra do mangle são as mesmas que tem pro proxy do MKT, no caso mudamos somente aa porta?? desde já obrigado.
Este gateway(route) para os pacotes é criado em /ip route.Citação:
Postado originalmente por georgegomes
Primeiro deve-se marcar os pacotes com destino a porta 80 e na ação colocar um new routing para a mesma, em /ip route criar o gateway.
Ex:
/ip firewall mangle add chain=prerouting src-address=192.168.100.0/24 protocol=tcp dst-port=80 action=mark-routing new-routing-mark="porta80" passthrough=yes disabled=no comment="marcacao para porta 80"
/ip route add gateway=192.168.1.1 routing-mark=porta80
Com isto aí ele marca tudo o que passa pela porta 80 e coloca em um gateway específico, pode ser um link separado ou uma rede criada somente para atender a este serviço, no linux ou mikrotik.
É isto aí.
Qualquer coisa...
rapaz vc me deu a luz que falatava, muito obrigado mesmo é sempre bom achar pessoas que estão disposta a compartilhar conheçimento , mas olha só vi em um outro post, do proprio Jhonne e lá ele usou o termo prerouting. estou na duvida só enquanto a isso, e em chain, escolho output ou prerouting e na classe de ip que vc usou, aqui uso 2 classe de ips pra os clientes, como faço pra que todos passem pela marquação?Citação:
Postado originalmente por Mr. RG
olhe a esplicação dele [https://under-linux.org/forums/mikro...d-linux-2.html[/link]
[quote=georgegomes;327451]... estou na duvida ...em chain, escolho output ou prerouting e na classe de ip que vc usou, aqui uso 2 classe de ips pra os clientes, como faço pra que todos passem pela marquação?[quote]
Amigo,
É prerouting mesmo, foi um erro de digitação. Para que todos os ips passem pela regra é colocar 0.0.0.0/0 ou deixar em branco.
Obs: faltou informar o protocol=tcp na regra acima.
/ip firewall mangle add chain=prerouting src-address=0.0.0.0/0 protocol=tcp dst-port=80 action=mark-routing new-routing-mark="porta80" passthrough=yes disabled=no comment="marcacao para porta 80"
Qualquer coisa...
[quote=Mr. RG;327456][quote=georgegomes;327451]... estou na duvida ...em chain, escolho output ou prerouting e na classe de ip que vc usou, aqui uso 2 classe de ips pra os clientes, como faço pra que todos passem pela marquação?Citação:
Amigo,
É prerouting mesmo, foi um erro de digitação. Para que todos os ips passem pela regra é colocar 0.0.0.0/0 ou deixar em branco.
Obs: faltou informar o protocol=tcp na regra acima.
/ip firewall mangle add chain=prerouting src-address=0.0.0.0/0 protocol=tcp dst-port=80 action=mark-routing new-routing-mark="porta80" passthrough=yes disabled=no comment="marcacao para porta 80"
Qualquer coisa...
Mr. MG pow brother, fiz tudinho como vc me disse e segui tbm o esqueminha do Jhonne, mas não consegui navegar, não sei o que tem de errado?
mas valews pelas dicas.
[quote=georgegomes;327598][quote=Mr. RG;327456]posta as regras ai, quem sabe agente acha o erro!Citação:
Postado originalmente por georgegomes
te add no msn confomre mp.
[quote=JHONNE;327599][quote=georgegomes;327598]nos ips ficou assim no MKTCitação:
Postado originalmente por Mr. RG
/ ip address
add address=10.100.100.2/29 network=10.100.100.0 broadcast=10.100.100.7 \
interface=SQUID comment="IP´s Squid" disabled=no <-- interface 1
add address=10.200.200.1/30 network=10.200.200.0 broadcast=10.200.200.3 \
interface=SQUIFOUT comment="" disabled=no <--interface 2
add address=172.19.100.110/28 network=172.19.100.96 broadcast=172.19.100.111 \
interface=WAN comment="gateway net" disabled=no
no mangle :
/ ip firewall mangle
add chain=prerouting protocol=tcp dst-port=80 action=mark-routing \
new-routing-mark="Porat 80" passthrough=yes comment="" disabled=no
e no route assim :
ip route
add dst-address=0.0.0.0/0 gateway=172.19.100.100 scope=255 target-scope=10 \
comment="" disabled=no
add dst-address=0.0.0.0/0 gateway=10.100.100.1 scope=255 target-scope=10 \
routing-mark="Porat 80" comment="" disabled=no
configurei os ips no BFW como está no esquema, cloquei até as placas como vc usa e tudo mais.
pow amigo se vc puder add mesmo, fico muito grato e pago até se for preciso, estava usando aqui um webproxy do MT, tudo indo bem, mas depois ficou uma merda.
agradeço muito.
[quote=georgegomes;327611][quote=JHONNE;327599]Citação:
Postado originalmente por georgegomes
crie a rota marcada primeiro que as outras
[quote=JHONNE;327832][quote=georgegomes;327611]Jhonne pows brother valews mesmo, olha é o seguinte o problemas é o seguinte quando ligo meu laptop no BFW e coloco recebendo via dhcp ele funfa legal acesso todos os sites bom mesmo, mas quando plugo no MKT ele não funfa pois não está dhcp, e o dns dele fica como o ip do BFW, agora tenho é que fazer o MKt pegar o ip via dhcp ou ajeitar o ip nomkt mas não estou ligado como, outra coisa comom tenho certeza que o squid esta cacheando tudo?? tentei aqui assim ligado direto no bfw, baixei um arquivo de 4MB, depois apaguei e deletei os arquivos temporarios, baixei novamente, masnão notei diferença, jpa que está tudo sem controle de banda.Citação:
Postado originalmente por JHONNE
valews seu esquema funfa massa mesmo, mas pra pessoas como eu que estõ começando é phoda!
[quote=georgegomes;327856][quote=JHONNE;327832]Cara quanto ao bfw é preciso ter certeza que o transparent proxy do squid está ativado, senão realmente o cache não vai funcionar. Volte ao wizard do bfw e verfique a faixa de ip que vc colocou na rede, desative o dhcp e coloque o ip manualmente mesmo no mkCitação:
Postado originalmente por georgegomes
[quote=JHONNE;328101][quote=georgegomes;327856]Citação:
Postado originalmente por JHONNE
aqui etá tudo ok!! transparencia ativada, fazendo cache, quando ligo o notebook no bfw funfa bem ,quando ligo no mkt sem a regra funfa bem dom mesmo jeito, é a questão do redirecionamento que não está funcionando, como disse anteriormente quando ativo a regra, ele para de navegar, quando desligo e ele volta a o normal, porq ai no caso ele usa o gateway do mkt mesmo.
esquema de ligação ::
BFW - 10.100.100.1
Link ---->>> (clientes) 172.246.100.0/24
Mikrotik - 10.100.100.2
o bfw tem um ip valido (200.x.x.x) e o miktoik tbm tem um (200.x.x.x)
o ip que o mikrotik pega do bfw é o 10.100.100.2 com gate 10.100.100.1 no caso o do redirecionamento.
as regras eztão assim
/ip firewall mangle add chain=output src-address=172.246.100.0/24 dst-port=80 action=mark-routing new-routing-mark="porta80" passthrough=yes disabled=no comment="marcacao para porta80"
/ip route add gateway=10.100.100.1 routing-mark=porta80
no mais é só
valews ai pela ajuda !!!!!
Citação:
Postado originalmente por georgegomes
Olá amigo,
Dá um print nos routes para ver como tá.
/ip route print detail
/ip route print detailCitação:
Postado originalmente por Mr. RG
Flags: X - disabled, A - active, D - dynamic,
C - connect, S - static, r - rip, b - bgp, o - ospf
0 ADC dst-address=10.100.100.0/30 pref-src=10.100.100.2 interface=SQUID
scope=10 target-scope=0
1 ADC dst-address=172.19.100.0/24 pref-src=172.19.100.100 interface=WAN
scope=10 target-scope=0
2 ADC dst-address=172.246.100.0/24 pref-src=172.246.100.100 interface=WLAN-EW
scope=10 target-scope=0
3 ADC dst-address=200.165.138.88/29 pref-src=200.165.138.90 interface=WAN
scope=10 target-scope=0
4 A S dst-address=0.0.0.0/0 gateway=200.165.138.89 interface=WAN
gateway-state=reachable scope=255 target-scope=10
5 A S dst-address=0.0.0.0/0 gateway=10.100.100.1 interface=SQUID
gateway-state=reachable scope=255 target-scope=10
routing-mark=Redire_pota_80
Vejamos desta forma:Citação:
Postado originalmente por georgegomes
Marcaremos os pacotes para a porta 80 e o que não passarão pela mesma:
/ip firewall mangle add chain=prerouting src-address=172.100.10.0/24 protocol=tcp dst-port=80 action=mark-routing new-routing-mark=porta80 passthrough=no
/ip firewall mangle add chain=prerouting src-address=172.100.10.0/24 protocol=tcp dst-port=!80 action=mark-routing new-routing-mark=outra passthrough=no
Adicionaremos os routes para as marcações:
/ip route add dst-address=0.0.0.0/32 gateway=172.0.0.1 interface=internet gateway-state=reachable scope=255 target-scope=10 routing-mark=outra
/ip route add dst-address=0.0.0.0/0 gateway=192.168.1.1 interface=internet gateway-state=reachable scope=255 target-scope=10 routing-mark=porta80
Troque as faixas de rede.
Os clientes estão conectados somente no mikrotik ou também no linux?
[quote=georgegomes;328319][quote=JHONNE;328101]Citação:
Postado originalmente por georgegomes
tente colocar a regra de marcan;áo na chain prerouting, porque senão nao vai funcionar, porque seu ip ja estara mascado
apenas no mikrotik os clientes recebem os ip atravez do mkt!!!Citação:
Postado originalmente por Mr. RG
Lembrando que você pode entrar com os dois ips válidos no mikrotik e usar o linux para proxy. Estes dois artigos da uma introdução de como fazer.Citação:
Postado originalmente por georgegomes
Linux: Proxy em paralelo com o mikrotik [Artigo]
Linux: Balanceamento de carga com 2 links no MikroTik [Artigo]
Qualquer dúvida...
Parceiro, estou tentando fazer mais sem sucesso, vi mensagens de outras pessoas e falaram que funcionou. Mesmo sendo facil seguir o tutorial to tendo duvidas e gostaria que vcs me ajudassem.
1ª Duvida: Tenho que cadastrar o Mac e o Ip do Debian no ARP do Mikrotik?
2ª Duvida: Na parte de configuraçao do squid tem umas linhas que nao entendi
#permissão de acesso ao proxy, troque 0.0.0.0/0 pela sua
#classe de rede ou classes separadas por espaços.
acl redelocal src 192.168.10.1
Meus clientes usam os Ips 192.168.1.0/24 entao devo deixar:
acl redelocal src 192.168.1.0/24 ???
3ª Duvida: em IP- FIREWALL NAT tem uma configuraçao que pede o IP VALIDO DO SERVIDOR, mais uso adsl e nao tenho ip valido o que devo colocar?
Conto com ajuda de vcs e desculpas tantas perguntas...
Olha amigo,Citação:
Postado originalmente por simprao
Não será necessário cadastrar o ip e mac, mas o artigo informa que são 3 placas de rede, se estiver usando duas e com a opção ARP= reply-only ele não vai passar.
No squid, só será necessário informar a classe de rede entre o mikrotik e o linux.
Não será necessário ter um ip válido, já que a classe de rede é criada por você.
opa galera eu queria saber como fica nos logs do squid, se fica o ip do cliente que acessou o site, ou o ip do servidor, pois agora a justiça vai obrigar a nós provedores a guardar logs de clientes por 3 anos.
web-proxy,debug,packet 1214364140.519 19 192.168.16.25 TCP_IMS_HIT/304 216 GET http://www.bb.com.br/docs/home/inst/...ntaPessoal.gif - NONE/- image/gif in 24-Jun 23:22:27.75 from 192.168.10.1
podemos perceber ai que aparece o ip 192.168.16.25 solicitando o site do bb, se eu bota pra fazer um parent proxy, qual ip vai? do cliente ou do servidor?