Proxy em paralelo com o mikrotik

[georgegomes]

[quote=JHONNE;328101][quote=georgegomes;327856]

Cara quanto ao bfw é preciso ter certeza que o transparent proxy do squid está ativado, senão realmente o cache não vai funcionar. Volte ao wizard do bfw e verfique a faixa de ip que vc colocou na rede, desative o dhcp e coloque o ip manualmente mesmo no mk

aqui etá tudo ok!! transparencia ativada, fazendo cache, quando ligo o notebook no bfw funfa bem ,quando ligo no mkt sem a regra funfa bem dom mesmo jeito, é a questão do redirecionamento que não está funcionando, como disse anteriormente quando ativo a regra, ele para de navegar, quando desligo e ele volta a o normal, porq ai no caso ele usa o gateway do mkt mesmo.

esquema de ligação ::

BFW - 10.100.100.1
Link ---->>> (clientes) 172.246.100.0/24
Mikrotik - 10.100.100.2

o bfw tem um ip valido (200.x.x.x) e o miktoik tbm tem um (200.x.x.x)
o ip que o mikrotik pega do bfw é o 10.100.100.2 com gate 10.100.100.1 no caso o do redirecionamento.
as regras eztão assim


/ip firewall mangle add chain=output src-address=172.246.100.0/24 dst-port=80 action=mark-routing new-routing-mark="porta80" passthrough=yes disabled=no comment="marcacao para porta80"


/ip route add gateway=10.100.100.1 routing-mark=porta80

no mais é só

valews ai pela ajuda !!!!!

[Raniel]

...

Olá amigo,
Dá um print nos routes para ver como tá.

/ip route print detail

[georgegomes]

Olá amigo,
Dá um print nos routes para ver como tá.

/ip route print detail

/ip route print detail
Flags: X - disabled, A - active, D - dynamic,
C - connect, S - static, r - rip, b - bgp, o - ospf
0 ADC dst-address=10.100.100.0/30 pref-src=10.100.100.2 interface=SQUID
scope=10 target-scope=0

1 ADC dst-address=172.19.100.0/24 pref-src=172.19.100.100 interface=WAN
scope=10 target-scope=0

2 ADC dst-address=172.246.100.0/24 pref-src=172.246.100.100 interface=WLAN-EW
scope=10 target-scope=0

3 ADC dst-address=200.165.138.88/29 pref-src=200.165.138.90 interface=WAN
scope=10 target-scope=0

4 A S dst-address=0.0.0.0/0 gateway=200.165.138.89 interface=WAN
gateway-state=reachable scope=255 target-scope=10

5 A S dst-address=0.0.0.0/0 gateway=10.100.100.1 interface=SQUID
gateway-state=reachable scope=255 target-scope=10
routing-mark=Redire_pota_80

[Raniel]

...

4 A S dst-address=0.0.0.0/0 gateway=200.165.138.89 interface=WAN
gateway-state=reachable scope=255 target-scope=10

5 A S dst-address=0.0.0.0/0 gateway=10.100.100.1 interface=SQUID
gateway-state=reachable scope=255 target-scope=10
routing-mark=Redire_pota_80

Vejamos desta forma:

Marcaremos os pacotes para a porta 80 e o que não passarão pela mesma:

/ip firewall mangle add chain=prerouting src-address=172.100.10.0/24 protocol=tcp dst-port=80 action=mark-routing new-routing-mark=porta80 passthrough=no

/ip firewall mangle add chain=prerouting src-address=172.100.10.0/24 protocol=tcp dst-port=!80 action=mark-routing new-routing-mark=outra passthrough=no

Adicionaremos os routes para as marcações:

/ip route add dst-address=0.0.0.0/32 gateway=172.0.0.1 interface=internet gateway-state=reachable scope=255 target-scope=10 routing-mark=outra

/ip route add dst-address=0.0.0.0/0 gateway=192.168.1.1 interface=internet gateway-state=reachable scope=255 target-scope=10 routing-mark=porta80

Troque as faixas de rede.
Os clientes estão conectados somente no mikrotik ou também no linux?

[JHONNE]

[quote=georgegomes;328319][quote=JHONNE;328101]

aqui etá tudo ok!! transparencia ativada, fazendo cache, quando ligo o notebook no bfw funfa bem ,quando ligo no mkt sem a regra funfa bem dom mesmo jeito, é a questão do redirecionamento que não está funcionando, como disse anteriormente quando ativo a regra, ele para de navegar, quando desligo e ele volta a o normal, porq ai no caso ele usa o gateway do mkt mesmo.

esquema de ligação ::

BFW - 10.100.100.1
Link ---->>> (clientes) 172.246.100.0/24
Mikrotik - 10.100.100.2

o bfw tem um ip valido (200.x.x.x) e o miktoik tbm tem um (200.x.x.x)
o ip que o mikrotik pega do bfw é o 10.100.100.2 com gate 10.100.100.1 no caso o do redirecionamento.
as regras eztão assim


/ip firewall mangle add chain=output src-address=172.246.100.0/24 dst-port=80 action=mark-routing new-routing-mark="porta80" passthrough=yes disabled=no comment="marcacao para porta80"


/ip route add gateway=10.100.100.1 routing-mark=porta80

no mais é só

valews ai pela ajuda !!!!!

tente colocar a regra de marcan;áo na chain prerouting, porque senão nao vai funcionar, porque seu ip ja estara mascado

[georgegomes]

Vejamos desta forma:

apenas no mikrotik os clientes recebem os ip atravez do mkt!!!

[Raniel]

apenas no mikrotik os clientes recebem os ip atravez do mkt!!!

Lembrando que você pode entrar com os dois ips válidos no mikrotik e usar o linux para proxy. Estes dois artigos da uma introdução de como fazer.

Linux: Proxy em paralelo com o mikrotik [Artigo]
Linux: Balanceamento de carga com 2 links no MikroTik [Artigo]

Qualquer dúvida...

[simprao]

Parceiro, estou tentando fazer mais sem sucesso, vi mensagens de outras pessoas e falaram que funcionou. Mesmo sendo facil seguir o tutorial to tendo duvidas e gostaria que vcs me ajudassem.
1ª Duvida: Tenho que cadastrar o Mac e o Ip do Debian no ARP do Mikrotik?

2ª Duvida: Na parte de configuraçao do squid tem umas linhas que nao entendi
#permissão de acesso ao proxy, troque 0.0.0.0/0 pela sua
#classe de rede ou classes separadas por espaços.
acl redelocal src 192.168.10.1
Meus clientes usam os Ips 192.168.1.0/24 entao devo deixar:
acl redelocal src 192.168.1.0/24 ???

3ª Duvida: em IP- FIREWALL NAT tem uma configuraçao que pede o IP VALIDO DO SERVIDOR, mais uso adsl e nao tenho ip valido o que devo colocar?
Conto com ajuda de vcs e desculpas tantas perguntas...

[Raniel]

Parceiro, estou tentando fazer mais sem sucesso, vi mensagens de outras pessoas e falaram que funcionou. Mesmo sendo facil seguir o tutorial to tendo duvidas e gostaria que vcs me ajudassem.
1ª Duvida: Tenho que cadastrar o Mac e o Ip do Debian no ARP do Mikrotik?

2ª Duvida: Na parte de configuraçao do squid tem umas linhas que nao entendi
#permissão de acesso ao proxy, troque 0.0.0.0/0 pela sua
#classe de rede ou classes separadas por espaços.
acl redelocal src 192.168.10.1
Meus clientes usam os Ips 192.168.1.0/24 entao devo deixar:
acl redelocal src 192.168.1.0/24 ???

3ª Duvida: em IP- FIREWALL NAT tem uma configuraçao que pede o IP VALIDO DO SERVIDOR, mais uso adsl e nao tenho ip valido o que devo colocar?
Conto com ajuda de vcs e desculpas tantas perguntas...

Olha amigo,
Não será necessário cadastrar o ip e mac, mas o artigo informa que são 3 placas de rede, se estiver usando duas e com a opção ARP= reply-only ele não vai passar.
No squid, só será necessário informar a classe de rede entre o mikrotik e o linux.
Não será necessário ter um ip válido, já que a classe de rede é criada por você.

[iuredaluz]

opa galera eu queria saber como fica nos logs do squid, se fica o ip do cliente que acessou o site, ou o ip do servidor, pois agora a justiça vai obrigar a nós provedores a guardar logs de clientes por 3 anos.

web-proxy,debug,packet 1214364140.519 19 192.168.16.25 TCP_IMS_HIT/304 216 GET http://www.bb.com.br/docs/home/inst/...ntaPessoal.gif - NONE/- image/gif in 24-Jun 23:22:27.75 from 192.168.10.1

podemos perceber ai que aparece o ip 192.168.16.25 solicitando o site do bb, se eu bota pra fazer um parent proxy, qual ip vai? do cliente ou do servidor?