Как прикрутить SQUID?

[Cell]

Да я бы с радостью попросил в зале, только не вижу в нем аншлага. Прозрачный прокси сервер штука весьма часто применяемая и стандартная. Странно что здесь совсем ничего не предусмотренно на эту тему.

Видимо, при нынешних скоростях прокси никто не применяет )

Не  вижу ничего смешного, поверь, что не везде так хорошо со скоростями, ой далеко не везде!!!!

[Efendy]

Код:

#!/bin/sh -
f='/sbin/ipfw'

ifOut='em0'

${f} -f flush

${f} add 50 allow tcp from any to me 22
${f} add 51 allow tcp from me 22 to any

${f} add 110 allow ip from any to any via lo0
${f} add 120 skipto 1000 ip from me to any
${f} add 130 deny icmp from any to any in icmptype 5,9,13,14,15,16,17
${f} add 160 skipto 2000 ip from any to me

${f} add 170 allow ip from any to any via ${ifOut} out
${f} add 200 skipto 32500 ip from any to any via ${ifOut}

${f} add 300 skipto 4500 ip from any to any in

${f} add 400 skipto 450 ip from any to any recv ${ifOut}
${f} add 420 divert 1 ip from any to any
${f} add 450 divert 2 ip from any to any
${f} add 490 skipto 32500 ip from any to any

${f} add 1000 allow udp from any 53,7723 to any
${f} add 1010 allow tcp from any to any setup keep-state
${f} add 1020 allow udp from any to any keep-state
${f} add 1100 allow ip from any to any

${f} add 2000 check-state
${f} add 2010 allow icmp from any to any
${f} add 2020 allow tcp from any to any 80,443
${f} add 2050 deny ip from any to any via ${ifOut}
${f} add 2060 allow udp from any to any 53,7723

${f} add 2100 deny ip from any to any

${f} add 32490 deny ip from any to any

Что-то типа такого. Проверь

[Efendy]

Хотя для белых ip трафик на клиента будет шейпится дважды. Чтоб не шейпился, надо

${f} add 170 allow ip from any to any via ${ifOut} out
${f} add 200 skipto 32500 ip from any to any via ${ifOut}

заменить на

${f} add 170 allow ip from any to any via ${ifOut}

но при этом весь мусор с инета будет  проходить первую заслону фаервол и убиваться на 2й, что допустимо, но не есть гуд

[Efendy]

А, все ок) Надо

${f} add 170 allow ip from any to any via ${ifOut} out
${f} add 200 skipto 32500 ip from any to any via ${ifOut}

заменить на

${f} add 170 allow ip from any to any via ${ifOut} out
${f} add 200 allow ip from any to "table(0)" via ${ifOut}

[Cell]

Перестал цепляться VPN, правило 2020 изменено таким образом:
${f} add 2020 allow tcp from any to any 80,443,1723
не помогает. Ошибка вылетает на стадии выдачи ip.

[elite]

Перестал цепляться VPN, правило 2020 изменено таким образом:
${f} add 2020 allow tcp from any to any 80,443,1723
не помогает. Ошибка вылетает на стадии выдачи ip.

gre забыл

[Cell]

Перестал цепляться VPN, правило 2020 изменено таким образом:
${f} add 2020 allow tcp from any to any 80,443,1723
не помогает. Ошибка вылетает на стадии выдачи ip.

gre забыл

протупил, сорри, впн поднялся, но больному легче не стало, трафик не http едет а http не едет

#===============
00050 allow tcp from any to me dst-port 22
00051 allow tcp from me 22 to any
00110 allow ip from any to any via lo0
00120 skipto 1000 ip from me to any
00130 deny icmp from any to any in icmptypes 5,9,13,14,15,16,17
00160 skipto 2000 ip from any to me
00170 allow ip from any to any via fxp0 out
00200 allow ip from any to table(0) via fxp0
00300 skipto 4500 ip from any to any in
00400 skipto 450 ip from any to any recv fxp0
00420 divert 1 ip from any to any
00450 divert 2 ip from any to any
00490 skipto 32500 ip from any to any
01000 allow udp from any 53,7723 to any
01010 allow tcp from any to any setup keep-state
01020 allow udp from any to any keep-state
01100 allow ip from any to any
02000 check-state
02010 allow icmp from any to any
02012 allow gre from any to any
02020 allow tcp from any to any dst-port 67,68,80,443,1723
02050 deny ip from any to any via fxp0
02060 allow udp from any to any dst-port 53,67,68,123,7723
02100 deny ip from any to any
05000 deny ip from not table(0) to any
05001 skipto 5010 ip from table(127) to table(126)
05002 skipto 5030 ip from any to not table(2)
05003 deny ip from any to not table(1)
05004 pipe tablearg ip from table(21) to any
05005 deny ip from any to any
05010 pipe tablearg ip from table(127) to any
05030 deny tcp from table(15) to any dst-port 25
05400 pipe tablearg ip from table(11) to any
31997 divert 1 ip from table(0) to any
31998 fwd 127.0.0.1,3128 tcp from table(0) to any dst-port 80
31999 allow ip from table(0) to any
32000 deny ip from any to any
32490 deny ip from any to any
33000 pipe tablearg ip from table(126) to table(127)
33001 skipto 33010 ip from not table(2) to any
33002 pipe tablearg ip from any to table(20)
33003 allow ip from any to table(0)
33004 deny ip from any to any
33400 pipe tablearg ip from any to table(10)
65535 allow ip from any to any
#======================================

[Efendy]

ipfw add 2030 allow tcp from any 80 to any via fxp0

P.S. Хотя по check-state должно и без этого правила работать. Завтра подумаю

[Efendy]

проверь сначала, что сквид работает:
ipfw add 10 allow ip from any to any out
ipfw add 20 allow ip from any to any via fxp0
ipfw add 30 fwd 127.0.0.1,3128 tcp from any to any 80
ipfw add 40 allow ip from any to any

[Cell]

ipfw add 2030 allow tcp from any 80 to any via fxp0

P.S. Хотя по check-state должно и без этого правила работать. Завтра подумаю

Все правильно, заработало и без него. Огромное спасибо. Чуть позже в финальном посте выложу все изменения разом для прикручивания squid

[Cell]

Итак, что надо сделать чтобы прикрутить SQUID, чтобы все считалось и шейпилось как положенно:
изменяем файл rc.firewall на следующий:

Код:

#!/bin/sh -

f='/sbin/ipfw'

ifOut='fxp0'

# Сети, в/из которых трафик блокируем
${f} table 120 flush
${f} table 120 add 224.0.0.0/4

${f} -f flush

${f} add 50 allow tcp from any to me 22
${f} add 51 allow tcp from me 22 to any

${f} add 110 allow ip from any to any via lo0
${f} add 120 skipto 1000 ip from me to any
${f} add 130 deny icmp from any to any in icmptype 5,9,13,14,15,16,17
${f} add 160 skipto 2000 ip from any to me

${f} add 170 allow ip from any to any via ${ifOut} out
${f} add 200 allow ip from any to "table(0)" via ${ifOut}

${f} add 300 skipto 4500 ip from any to any in

${f} add 400 skipto 450 ip from any to any recv ${ifOut}
${f} add 420 divert 1 ip from any to any
${f} add 450 divert 2 ip from any to any
${f} add 490 skipto 32500 ip from any to any

${f} add 1000 allow udp from any 53,7723 to any
${f} add 1010 allow tcp from any to any setup keep-state
${f} add 1020 allow udp from any to any keep-state
${f} add 1100 allow ip from any to any

${f} add 2000 check-state
${f} add 2010 allow icmp from any to any
${f} add 2012 allow gre from any to any
${f} add 2020 allow tcp from any to any 80,443
${f} add 2050 deny ip from any to any via ${ifOut}
${f} add 2060 allow udp from any to any 53,7723

${f} add 2100 deny ip from any to any

${f} add 32490 deny ip from any to any

Обязательно добавляем параметр net.inet.ip.fw.one_pass=0 в файл sysctl.conf
Далее необходимо изменять непосредственно nofire.pl
Ищем строки

$NumIpfw=$End_num_ipfw;
&SetIpfwRule(qq{deny ip from any to any});

и заменяем на

 $NumIpfw=$End_num_ipfw-3;
 &SetIpfwRule(qq{divert 1 ip from table(0) to any});
 &SetIpfwRule(qq{fwd 127.0.0.1,3128 tcp from table(0) to any dst-port 80});
 &SetIpfwRule(qq{allow ip from table(0) to any});
 &SetIpfwRule(qq{deny ip from any to any});

Затем чуть ниже ищем

&SetIpfwRule(qq{deny ip from any to any});

и перед этой строкой добавляем

&SetIpfwRule(qq{allow ip from any to table(0)});

Вот собственно и все. Огромное спасибо Efendy за помощь и участие.

[serojperoj]

сквид мне тож нужен как воздух)
токо у меня траблы с такими правиламы...
в nofire.pl раньше ниразу не трогал. rc.firewall тоже.
сделал все как было написано.
после перезагрузки пропал свзяь с миром! не только http но и остлное стало недоступно.

собственно вопрос - быть может дело в том что у меня все через пппое? Freebsd => Mikrotik=> клиенты

Nodeny 50.28 все по дефолту

[Cell]

телепаты отдыхают. пппое тут ни при чем

[serojperoj]

не знаю кто там отдыхает, но все-же интересно , кроме автора у кого-то получился прикрутить сквид с такими изменениями?

[Cell]

не знаю кто там отдыхает, но все-же интересно , кроме автора у кого-то получился прикрутить сквид с такими изменениями?

у мну )))  я не афтар )