Proxy Squid com desvio de portas

[leonardoss]

Foi justamente o que detectei, ficou um trinâgulo, mas o problema é que tenho que fazer funcionar com essa topologia. Já quebrei a cabeça e ainda não achei solição para isso.

[Magnun]

Foi justamente o que detectei, ficou um trinâgulo, mas o problema é que tenho que fazer funcionar com essa topologia. Já quebrei a cabeça e ainda não achei solição para isso.

Como eu disse, para não alterar a topologia, você pode utilizar o DNAT e o SNAT porém, para o MSN-proxy "somente o gateway estará se conectando a ele". Se isso não impactar em nada no seu MSN-Proxy, então é a sua solução.

[leonardoss]

Vou fazer os testes agora pela manhã, após isso informo-lhes.

[leonardoss]

Puts,

Pior que não esta funcionando :

1ª Tentativa

Firewall
iptables -t nat -A POSTROUTING -p tcp -s ! 10.0.0.2 --dport 1863 -j SNAT --to 10.0.0.2

Msn-proxy
iptables -t nat -I PREROUTING -p tcp --dport 1863 -j REDIRECT --to-port 1863


2ª Tentativa

Firewall
iptables -t nat -A POSTROUTING -p tcp -s ! 10.0.0.2 --dport 1863 -j SNAT --to 10.0.0.2

iptables -t nat -A PREROUTING -i eth0 -s ! 10.0.0.2 -p TCP --dport 1863 -j DNAT --to 10.0.0.2


Msn-proxy
iptables -t nat -I PREROUTING -p tcp --dport 1863 -j REDIRECT --to-port 1863

[Magnun]

Puts,

Pior que não esta funcionando :

1ª Tentativa

Firewall
iptables -t nat -A POSTROUTING -p tcp -s ! 10.0.0.2 --dport 1863 -j SNAT --to 10.0.0.2

Msn-proxy
iptables -t nat -I PREROUTING -p tcp --dport 1863 -j REDIRECT --to-port 1863


2ª Tentativa

Firewall
iptables -t nat -A POSTROUTING -p tcp -s ! 10.0.0.2 --dport 1863 -j SNAT --to 10.0.0.2

iptables -t nat -A PREROUTING -i eth0 -s ! 10.0.0.2 -p TCP --dport 1863 -j DNAT --to 10.0.0.2


Msn-proxy
iptables -t nat -I PREROUTING -p tcp --dport 1863 -j REDIRECT --to-port 1863

Cara, acho que teria que ser:
iptables -t nat -A PREROUTING -i eth0 -s !MSN-Proxy -p TCP --dport portas -j DNAT --to MSN-Proxy
iptables -t nat -A POSTROUTING -s !MSN-Proxy -p TCP --dport portas --to GW

Dessa forma o destino será o MSN proxy e a origem o GW. A sua regra de prerouting DNAT tava ok, mas a de postrouting SNAT tava fazendo o pacote ficar com o os campos origem e destino iguais. As portas necessárias são somente essa 1863??

[leonardoss]

Blz, funcionou.

Firewall 10.0.0.1
iptables -t nat -A POSTROUTING -s ! 10.0.0.2 -p TCP --dport 1863 -j SNAT --to 10.0.0.1
iptables -t nat -A PREROUTING -i eth0 -s ! 10.0.0.2 -p TCP --dport 1863 -j DNAT --to 10.0.0.2

Msn-proxy 10.0.0.2
iptables -t nat -I PREROUTING -p tcp --dport 1863 -j REDIRECT --to-port 1863



Agora sim ta do jeito que eu quero, a unica coisa ruim que ficou nessa solução foi que o ip dos clients do msn-proxy ficam com o ip do firewall, mas já ta de bom tamanho pra mim.

[Magnun]

Blz, funcionou.

Firewall 10.0.0.1
iptables -t nat -A POSTROUTING -s ! 10.0.0.2 -p TCP --dport 1863 -j SNAT --to 10.0.0.1
iptables -t nat -A PREROUTING -i eth0 -s ! 10.0.0.2 -p TCP --dport 1863 -j DNAT --to 10.0.0.2

Msn-proxy 10.0.0.2
iptables -t nat -I PREROUTING -p tcp --dport 1863 -j REDIRECT --to-port 1863



Agora sim ta do jeito que eu quero, a unica coisa ruim que ficou nessa solução foi que o ip dos clients do msn-proxy ficam com o ip do firewall, mas já ta de bom tamanho pra mim.

Ae!!! Que bom! Realmente o problema desse esquema é isso. A melhor forma mesmo é ter esse MSN-proxy em uma rede diferente da local... Mas esse proxy, não gera log com base nos usuários não??

[leonardoss]

Gera, mas era a nivel de ver de onde o usuário esta se conectando, mas isso seria uma perfumaria, não vamos perder tempo com isso.

Grato pelas ajudas, foram de grande importancia.