squid iptables squid

Воспользуйтесь каскадированием прокси через опцию cache_peer.

Пробовал чего не заработало. Не понял что за порт3120. Поставил вместо него 0. В логах второго увидел опять запросы только IP от первого сквида.

чего не заработало

порт в файрволе открыл? icp_port в конфиге вышестоящего squid задал?

Без логов сложно сказать что у тебя там пошло не так

Можно было и без icp:

Icp_port
Used for querying neighbor caches about objects. To have a non- ICP neighbor specify '7' for the ICP port and make sure the neighbor machine has the UDP echo port enabled in its /etc/inetd.conf file.

Но так как у ТС оба прокси - squid, то лучше конечно настроить icp.

Разве по icp передаётся src-адрес клиента?

Проброс через iptables:

2019/06/12 09:01:38.029 kid1| 33,2| client_side.cc(832) swanSong: local=10.12.1.158:80 remote=10.12.1.34:55857 f
lags=1 

2019/06/12 11:30:03.629 kid1| 33,2| client_side.cc(832) swanSong: local=10.12.1.158:80 remote=10.12.1.34:50879 f
lags=1
 

http_port 80  transparent
#cache_peer 10.12.1.158  parent 80 3130 no-query default
cache_peer 10.12.1.158  parent 80 0 no-query
        prefer_direct off
never_direct allow all 

Раньше не передавался. ICP - протокол взаимодействия кэшей, соответственно запрос содержал адреса дочернего и родительских кэшей (т.е. дочернего и родительского squid). Сейчас не знаю - может что-то поменялось.

Кстати оба сквида стоят рядом. У каждого еще по две свободные сетевухи. Может чегонибудь через них замутить? Ничего в голову дельного не приходит.

Если я правильно понял, что нужно ТС, то ему нужно пустить трафик через тестовый squid, чтобы проверить, что все acl и пр. работает, и чтобы в случае чего можно было легко откатить всё назад.

ИМХО, ему нужно просто настроить маршрутизацию — убрать тестовый прокси из адресного пространства локальной сети.

Какова конечная цель мероприятия? Оставить работать оба прокси сервера в связке? Или ввести в эксплуатацию новый и вывести старый? Приведён конфиг squid старого сервера или нового? Нужен вывод iptables (и ip a) со шлюза и с серверов если они самостоятельно редиректят трафик.

cache_peer в две строчки настраивается, информация о src в любом случае не по ICP передаётся. ИМХО ТС не смог просто ICP отключить. Сейчас он полные конфиги выложит и посмотрим.

Сейчас он полные конфиги выложит и посмотрим.

Выше конфиг.

Кстати оба сквида стоят рядом.

Тупо обменять им IP?

Какова конечная цель мероприятия?

Старый загасить. Новый в работу. Я бы конечно просто сей поменял IP в локалке. Но, на старом еще крутится фтп-сервер и самба и пара скриптов самопальных..

Приведён конфиг squid старого сервера

Конфиг старого.

ИМХО, ему нужно просто настроить маршрутизацию — убрать тестовый прокси из адресного пространства локальной сети.

У меня в сети не настроен DHCP.

Но, на старом еще крутится фтп-сервер и самба и пара скриптов самопальных..

Они как-то привязаны к ip ?

Вариант костылестроения. Зачем сетевки? Можно отдельную сеть алиасами поднять.

Да привязан фтп к IP. Планировал перенос позже.

Ну раз временное решение, как писал выше поднять отдельную сетку алиасами, и ваш способ1

поднять отдельную сетку алиасами

Не подскажете как?

ip a add $IP/$PREFIX dev $IFNAME

Ни фика честно не понял. :)

ip a add 192.168.0.1/24 dev eth0
Так понятнее?

наверное речь шла о доп.сети L3 в параллели к оcновной.
Типа основная 10.12.1.0, дополнительная 192.168.0.0
ХЗ как это поможет

ХЗ как это поможет

Еще как поможет. Смотрим топик.

1 способ: простой проброс. Но, оба кальмара в одной сетке. Поэтому новый сквид ответки возвращает напрямую клиенту. Обмен замирает.

В случае второй сети dnat нормально отработает, т.е. не будет прямого ответа клиенту.
2ТС видимо забыл пояснить, на первом кальмаре алиас, второго кальмара отправляем только в отдельную сеть.

В случае второй сети dnat нормально отработает, т.е. не будет прямого ответа клиенту.
2ТС видимо забыл пояснить, на первом кальмаре алиас, второго кальмара отправляем только в отдельную сеть.

Тут запутался я. По вашей схеме:

1 кальмар: 192.168.1.1 (алиас) Делаем с него проброс на второй сквид 192.168.1.2 (единственная для него локалка).

На втором кальмаре gateway прописан шлюз провайдера. Тогда ответ клиенту 10.12.1.199 попрется в Инет. Никак не в сеть 192.168.1.0. Добавить дополнительно на второй машине?

up route add -net 10.0.0.0 netmask 255.0.0.0 gw 192.168.1.1 dev p4p1

Пардон. Тогда получится ответ клиенту с обратным IP второго кальмара.

Я предпологал другую схему.
Все оставляем как у вас есть. Только добавляем.
1. Первый кальмар алиас 192.168.1.1
2. Второй кальмар единственный интерфейс 192.168.1.2, defgw первый кальмар 192.168.1.1
3. На роутере добавить роут до сети 192.168.1.0 через первый кальмар.
4. Прописываем dnat на первом кальмаре на второй кальмар.

PS
Вот на этом моменте задумался

10.0.0.0 netmask 255.0.0.0

У вас такая большая сеть или у вас несколько сетей? Если второе то схема возможно усложниться.
PSS
Лучше приложить схемку хоть в текстовом варианте. А то одно дело как я догадался на основании описанного в топике, а по факту может быть все по другому. И мой совет окажется не верным.

0.0.0.0 netmask 255.0.0.0

У вас такая большая сеть или у вас несколько сетей? Если второе то схема возможно усложниться.

Действительно сетка как грится от Сахалина до Калиниграда. Но у нашего «филиала» только две подсетки пользующие сквид. Ползание в циске-маршрутизаторе не одобряется админами из Москвы. Хотел обойтись без этого. Забыл сказать: оба кальмара имеют вторую сетевуху с белыми IP. То есть инет они получают напрямую от провайдера. (без локального шлюза).

Эм очень интересно. Т.е. у вас три подключения к инету
1. Киска
2. Сквид1
3. Сквид2
у клиентов defgw киска?

А у самих клиентов не прозрачный прокси прописан, я правильно понял?

Совершенно верно. Правда есть еще и др. машины с IP публичными. cisco3825 рулит подсетками и есть гатевей. Правда она пересылает кому надо на 0.0.0.0 через ar750s (с ним мне проще). Но, таких мало. Меня жаба душит пускать напрямую в Инет ::))

Чего-то я сам ступил. В моем предложении squid iptables squid (комментарий) пункт 3 не нужен.