Перенаправить на squid

нарисуйте - непонятно

Мало инфы.

Схема:

INET-----provider------------- switch---------- another client
	  	router		                     |          	192.168.0.2
						                |
						                |
					             192.168.0.1
					              linux-router
					              10.0.0.100
						              |
						              |
			clients --------------
			10.0.0.0/24

iptables:

$IPT -A FORWARD -s 192.168.0.2 -j ACCEPT
$IPT -A FORWARD -i $LAN -s 10.0.0.0/255.255.0.0 -j ACCEPT
$IPT -t nat -A PREROUTING -i $LAN -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
$IPT -t nat -A PREROUTING -s 192.168.0.2 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
$IPT -t nat -A POSTROUTING -o $WAN -j MASQUERADE

У another client стоит default gw 192.168.0.1, но инет через squid не работает. У клиентов из 10.0.0.0 все работает.

Без сквида интернет рабоатет везде. В сквиде доступ для 192.168.0.2 разрешен.

На роутере два сетевых интерфейса?
Сделайте трассировку маршрута от 192.168.0.2 до яндекса и покажите её.

Предполагаю активизировавшийся ICMP-redirect.

3128 порт открыт ?

Да, две сетевухи. Трассировку от 0.2 сделать не могу - 0.2 железяка с web-интерфейсом.

-- bdm88

Точно не закрыт, но меня смущает что сквид висит на 10.0.0.100:3128, а запросы another client приходят на 192.168.0.1. Будет ли в таком случае нормально работать redirect?

Не совсем понял. Т.е. трафик идет в обход linux-router?

как я понял по схеме,у тебя нет вариантов сотворить прозрачный прокси. у fnother clients должен обязательно прописан прокси в настройках браузера. повторяю,если правильно понял твою схему

Я не уверен что нет вариантов, пока я не могу придумать причины почему это невозможно. Сейчас схема работает так: клиенты из 10.0.0.0 маскарадятся и http перенаправляется на прозрачный прокси. Another client пока только маскарадится. Так всё работает.

Вопрос: почему не получается перенаправлять http от another client на ту же прозрачную проксю?

-- bdm88

потому что another client выходят в инет не через линукс (по схеме)

не через роутер? разве, ведь шлюз по умолчанию 192.168.0.1. И как мне кажется проблема в том, что надо сквиду сказать слушать на 192.168.0.1:3128 и добавить правило в iptables для перенаправления.

но меня смущает что сквид висит на 10.0.0.100:3128

Ну так повесьте на 192.168.0.1 и перенаправляйте туда.

Сквид может биндится на два адреса одновременно?

-- bdm88

поднимите сквид на 192.168.0.1:3128 и перенаправьте трафик
подсети 192.168.0.0 на него.

К.О.

И схема мне ваша не нравится.
Сделайте так чтобы internet provider router был подключен к сетевому интерфейсу linux-router (нужен третий интерфейс) иначе хосту another client ничего не помешает настроиться , так чтобы ходить в интернет сразу на provider router , минуя linux router

почему тогда не сразу на 127.0.0.2:3128?

предлагаю тебе провести эксперимент - повесить на интерфейс с ip 192.168.0.1 дополнительный ip-адрес из другой сети, поменять адрес на другом клиенте, и проверить работоспособность перенаправления. Отсечёшь ICMP-redirect.

А как же клиенты из 10.0.0.0? Или Вы предлагаете два сквида?

-- bdm88

> Сделайте так чтобы internet provider router был подключен к сетевому интерфейсу linux-router (нужен третий интерфейс) иначе хосту another client ничего не помешает настроиться , так чтобы ходить в интернет сразу на provider router , минуя linux router

Схему поменять нельзя. Опасности перенастройки тоже нет.

-- bdm88

> предлагаю тебе провести эксперимент - повесить на интерфейс с ip 192.168.0.1 дополнительный ip-адрес из другой сети, поменять адрес на другом клиенте, и проверить работоспособность перенаправления. Отсечёшь ICMP-redirect.

Я не уверен что свитч на котором они весят разрешит такое. (Свитч не мой.) Но завтра попробую.

-- bdm88

Короче, все решилось указанием только порта (без ip-адреса) в конфиге сквида. Все спасибо за помощь.

-- bdm88