Прозрачный squid + microtik. Как настроить перенаправление траффика?

Question

[ChiPer]

Есть есть.
Mikrotik выступает в качестве роутера. IP 192.168.1.1
Внутрь смотрит 192.168.1.0/24

Есть настроенный squid, работающий в режиме transparent.
IP: 192.168.1.2
Порт: 3128

Как сделать так, чтобы для всех клиентов локальной сети, http траффик на 80 порт заворачивался на машину с кальмаром, на порт 3128.

На данный момент имеется правило:

ip firewall nat add chain=dstnat action=dst-nat protocol=tcp src-address-list=clients dst-port=80 to-addresses=192.168.1.2 to-ports=3128

client-list указан 192.168.1.10 - 192.168.1.55 (т.е. те, на кого это правило должно распространяться)

Пакеты ходят, до сервака со сквидом доходят. TCPDUMP их видит, но сквид не отрабатывает, в логах пусто и сайты не открываются. Причем, если у клиента, в настройках браузера, прокси указать вручную и снять параметр transparent в конфиге кальмара, то все прекрасно работает.

Сразу оговорюсь, что сервак со сквидом у меня стоит не в разрыве сети и не имеет кучи интерфейсов, а подключен к общему свитчу и имеет 1 сетевую карту.

Вот конфиг кальмара:

http_port 3128 transparent

acl localnet src 192.168.1.0/24
acl officenet src 192.168.0.0/24



acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT


http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports

http_access allow localhost
http_access allow localnet
http_access allow officenet

http_access deny all
icp_access deny all
htcp_access deny all

cache_dir ufs /var/spool/squid3 4096 32 256
coredump_dir /var/spool/squid3

url_rewrite_program /usr/bin/squidGuard -c /etc/squidguard/squidGuard.conf

refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320

Решил сделать, как в этой статье:
adminnote2.blogspot.ru/2014/05/mikrotik-squida.html

Трафик на сквид пошел, но сайты не открывает: TCP_MISS_ABORTED/

Answer 1

[Андрей]

Доброго времени суток. Встала передо мной аналогичная задача и погуглив у меня всё получилось.
Работает без тормозов.
По сути, я банально консолидирую множественные решения в своём ответе.

Дано: mikrotik + squid с одной сетевой картой.

В микротик добавил правила:

/ip firewall mangle

chain=prerouting action=mark-routing new-routing-mark=SQUID passthrough=yes protocol=tcp 
      src-address=!192.168.адрес.проки dst-port=80 log=no log-prefix=""

и

/ip route
add comment=FOR_SQUID_TEST distance=1 gateway=192.168.адрес.проки routing-mark=SQUID

Далее на убунте был установлен сквид.
его конфиг практически пустой конфиг, т.к. нет нужды ничего ограничивать:

http_port 3128 intercept
acl mylocalnet src all
http_access allow mylocalnet

так же в файле /etc/sysctl.conf разрешил пересылку пакетов:
net.ipv4.ip_forward = 1

и добавил правило в фаервол

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 j DNAT --to 192.168.адрес.прокси:3128

Answer 2

[Рустем]

вообще в таком виде должно заработать в первом приближении (скопировал вашу же строку в конфиг - пакеты до сервера летят), пакеты точно до сервера не доходят? что то типа
tcpdump -i eth0 dst port 3128 -vv делали?

Comments

[ChiPer]

Да, Вы были правы, действительно пакеты приходят. Но свкид, почему-то не хочет их воспринимать.

[Рустем]

ChiPer: наверное он что то в логах пишет или еще как то ругается, если в логах нет ничего значит копайте в сторону iptables возможно они что то режут или не так настроены

[Антон]

я так думаю, что раз клиенты стучатся на микротик, то он у них стоит шлюзом по дефолту и получается что он и раздает адреса по dhcp? а вы поставьте в настройках dhcp шлюзом адрес кальмара - вся толпа будет идти туда, а редким избранным уже в обход, что намного проще сделать

[Рустем]

можно вообще сервер не трогать, включить встроенный прокси в микротике и на него всех отправлять, еще проще будет ) вопрос в том зачем автору сквид

[ChiPer]

У нас стоит статика. dhcp на микротике отключен. Везде прописана статика. Шлюзом является микротик. Прикол именно в том, что хотелось бы, не перенастраивая все клиентские компы, перекинуть весь http трафик на кальмар, который работает в прозрачном режиме.

[Рустем]

ChiPer: тогда копайте сервер иптаблес, логи и т.д.

Answer 3

[Дмитрий Лупонос]

Я хочу посоветовать взлететь squid без acl, пропуск трафика и все. Если в этой конфе не работает роем переадресацию. Если работает, ковыряем конфиг squid

Comments

[ChiPer]

Проблема явно в редиректе. Я проверял. Только я не пойму, где косяк.

Answer 4

[JustSoul]

Присоединяюсь к вопросу.
При dst-nat сквид не отрабатывает, но такой вариант в любом случае не будет давать правильную статистику.
При маркировании и роуте все работает но адски медленно происходит соединение. Т.е. после запроса идет задержка секунд в 5-10 и страничка моментом загружается, но чуть новый запрос - и снова ждём...

Comments

[John Doe]

Подскажите, а вы уже настроили Mikrotik в связке с squid3, неделю бьюсь бесталку

[JustSoul]

kavabangaungava: Работает, но нереально тормозит. Выяснить причину пока не удалось. Бьёмся сами :(

[John Doe]

JustSoul: Если вам не сложно, киньте правила микротика и конфиг кальмара на почту [e-mail], буду крайне благодарен.

[ChiPer]

Ну я так и не смог заставить эту связку корректно работать. Причем парадокс заключался в том, что пакеты на порт сервака со сквидом шли, и netstat их видел, но сквид их упорно не хотел воспринимать. Мистика какая-то. В итоге просто заблокировал траффик на 80, 8080 и 443 для всех ip кроме сквида, и вручную везде выставил прокси.

Answer 5

[Andrey]

Здравствуйте. Мучаюсь с такой-же проблемой второй день. Вы справились с настройками сквида (или микротика)?
Везде написано что после маркировки трафика и заворачивания его на ip сквида всё должно взлететь. Но чтё-то нифига подобного...
Если на машине вручную указать прокси-сервер, то всё отлично работает