Squid Transparente + Iptables = msn não funciona !!

[fotg]

E ai pessoal blz ??
Ve ai se algume ja se deparou com esta situação !!

Tenho aqui (na empresa) um proxy transparente rodando com squid, tudo funciona que é uma maravilha ... MENOS A AUTENTICAÇÂO DO LIXO DO MSN E DO HOTMAIL ....

Ja tentei algumas regras do squid como...

acl hotmail_domains dstdomain .hotmail.msn.com
header_access Accept-Encoding allow hotmail_domains

...e algumas outras tambem !!!

Alguem ja enfrentou um problema deste ?

[gatoseco]

No seu script de firewall vc faz nat???

[lacierdias]

Isso é um nat com proxy transparente bem simples.... vc coloca isso no seu rc.local ou junto do seu Fw
#eth1 internet
#eth0 rede_interna
modprobe ip_tables
modprobe iptable_nat
modprobe ipt_MASQUERADE
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
#Redireciona porta 80 para 3128 (squid)
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
echo "1" > /proc/sys/net/ipv4/ip_forward
agora o script do squid para vc resolver sua vida.
Ele não barra nada...não grila com msn, Hotmail, Skype....
Felicidade total....

#Squid.conf - 01/01/2005

http_port 192.168.0.1:3128

hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY

# memoria usada:
cache_mem 32 MB

#esvazia o cache:
cache_swap_low 90
cache_swap_high 93

maximum_object_size 6144 KB
minimum_object_size 0 KB

maximum_object_size_in_memory 100 KB

ipcache_size 1024
ipcache_low 90
ipcache_high 93

cache_replacement_policy lru
memory_replacement_policy lru

# disco usado:
cache_dir ufs /var/spool/squid/cache 4000 16 256

cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log

auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours

refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl rede src 192.168.0.0/255.255.255.0
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT

http_access allow localhost
http_access allow rede

http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny all

http_reply_access allow all

icp_access allow all

cache_effective_user squid
cache_effective_group squid

httpd_accel_port 80
httpd_accel_host virtual
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
# LacierDias

[fotg]

Lacierdas valeu pela atenção(acho que não fui bem claro, desculpe) mas isto que vc citou eu ja tenho rodadndo ... o problema neste caso é a autenticação do msn e do portal do hotmail ... que usao um tipo diferente de cabeçalho do protocolo http (ou algo do tipo) e ai da zica quando se esta usando o proxy transparente.

MAS PESQUISANDO DESCOBRI QUE ESTE ERRO ACONTECE SOMENTE COM O IEXPLORER E COM O MSN 6.2 C/ A NOVA VERSAO DO MSN 7.0 BETA (ahhhh que medo de usar betas by MicoSoft), E NO CASO DO IE PROCUREI ATUALIZACAO NO SITE DO MICRO E NAO ACHEI NADA, MAS COM OUTROS NAVEGADORES ISTO NAO OCORRE !!!

***** MOÇADA MAS VALEU MESMO PELA ATENÇÃO ******

Isso é um nat com proxy transparente bem simples.... vc coloca isso no seu rc.local ou junto do seu Fw
#eth1 internet
#eth0 rede_interna
modprobe ip_tables
modprobe iptable_nat
modprobe ipt_MASQUERADE
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
#Redireciona porta 80 para 3128 (squid)
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
echo "1" > /proc/sys/net/ipv4/ip_forward
agora o script do squid para vc resolver sua vida.
Ele não barra nada...não grila com msn, Hotmail, Skype....
Felicidade total....

#Squid.conf - 01/01/2005

http_port 192.168.0.1:3128

hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY

# memoria usada:
cache_mem 32 MB

#esvazia o cache:
cache_swap_low 90
cache_swap_high 93

maximum_object_size 6144 KB
minimum_object_size 0 KB

maximum_object_size_in_memory 100 KB

ipcache_size 1024
ipcache_low 90
ipcache_high 93

cache_replacement_policy lru
memory_replacement_policy lru

# disco usado:
cache_dir ufs /var/spool/squid/cache 4000 16 256

cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log

auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours

refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl rede src 192.168.0.0/255.255.255.0
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT

http_access allow localhost
http_access allow rede

http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny all

http_reply_access allow all

icp_access allow all

cache_effective_user squid
cache_effective_group squid

httpd_accel_port 80
httpd_accel_host virtual
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
# LacierDias

[galego]

Ola,

Faça o seguinte:

# Nas suas regras
iptables -t nat -A PREROUTING -p tcp -s 0/0 -d 64.4.0.0/16 --dport 80 -j ACCEPT -v

# No squid.conf
acl hotmail_domains dstdomain .hotmail.msn.com
header_access Accept-Encoding deny hotmail_domains

[lacierdias]

mano tenho um monte de cliente q tem até o Msn 4.0 rodando...rsrs...e nunca tive problema com ele...não sei oq pode está havendo...
Mas se vc resolveu isso q importa;....