Как настроить работу прокси сервера с mikrotik'ом?

Question

[Максим Носков]

Здравствуйте!
Стоял в одной организации proxy сервер со сквидой, самс2 и одним провайдером. Ходили все через прокси, всё работало хорошо и стабильно. Потом добавили туда второго провайдера в качестве резервного. Поставили микротик RB1100AHx2. Первые 2 порта заняли провайдеры, остальные - локалка. Но обязательным условием было наличие прокси сервера с самсой. Сервер на freebsd. Решили оставить его. В маршрутах прокси сервера прописали в качестве шлюза микротик, а у пользователей в качестве шлюза - прокси сервер + настройки браузера. Но в таком формате достаточно снять галку "использовать прокси" в браузерах и трафик будет проходить мимо сквиды. AD в организации нет. Как реализуют организации работу с прокси в таком режиме? Т.е. когда необходимо следить за трафиком пользователей и контролировать ежемесячные нормы.

Answer 1

[Андрей]

Все просто, настроить прозрачный прокси.

/ip firewall nat
add action=redirect chain=dstnat dst-address=!192.168.0.0/16 dst-port=80,3128,8080,8081 protocol=tcp src-address=!АДРЕС_ПРОКСИ to-ports=3128

/ip proxy
set cache-administrator=[e-mail] cache-path=web-proxy1 enabled=yes max-cache-size=none parent-proxy=АДРЕС_ПРОКСИ parent-proxy-port=3128 port=3128
/ip proxy access
add src-address=192.168.0.0/16

Забыл еще один ньюанс, при такой схеме микротик добавляет заголовок X-Forwarded-For в котором адрес клиента, чтобы сквид мог читать его, нужно добавить в его конфигурацию следующее:

acl mikrotik_gw src АДРЕС_МИКРОТИКА
follow_x_forwarded_for allow mikrotik_gw
follow_x_forwarded_for deny all

Comments

[Максим Носков]

Можно теперь построчно разберу? А то есть несколько вопросов...
/ip firewall nat add action=redirect chain=dstnat dst-address=!192.168.0.0/16 dst-port=80,3128,8080,8081 protocol=tcp src-address=!АДРЕС_ПРОКСИ to-ports=3128
здесь получается мы весь входящий трафик по перечисленным портам направляем на прокси-сервер на 3128 порт. Указываем что трафик нужен, который не предназначается для локальной сети и на какие порты пришёл. Источником является не прокси-сервер. Нигде вроде не ошибся? Т.е. получается это правило для входящего трафика?

/ip proxy set cache-administrator=[e-mail] cache-path=web-proxy1 enabled=yes max-cache-size=none parent-proxy=АДРЕС_ПРОКСИ parent-proxy-port=3128 port=3128
здесь мы указывает адрес техподдержки, включаем режим прокси на микротике, указываем куда перенаправлять все запросы для прокси и на какой порт. Правильно?

/ip proxy access add src-address=192.168.0.0/16
здесь указывается лист, кому разрешён переход по прокси микротику. Правивильно?

Т.е. получается что весь исходящий трафик, в случае если он не прошёл через сквиду будет идти по прокси микротика на сквиду и уже потом в интернет?
А если вообще на всех компах убрать упоминание про прокси в браузерах, микротик всех будет перенаправлять на сквиду?

По поводу нюанса: в сквиде представляю как это сделать, а вот с привязанной к нему самсой сложности. Самса же будет постоянно менять конфиг.

[Андрей]

Все верно, это режим прозрачного прокси, когда клиенты настраивать нет необходимости.
Ну тут ничего не сделаешь, так как если не добавить эти строки в конфиг сквида, то все будет работать, только не будет разделения пользователей, будет один пользователь - микротик. Так что, надо искать выход. Тут не подскажу, так как SAMS никогда не использовал.

[Максим Носков]

А в такой системе авторизация по ip, ncsa работать будет?

[Андрей]

Пока не добавятся настройки, которые я выше привел, авторизации по IP не будет. Что такое ncsa?

[Максим Носков]

авторизация по логину/паролю

[Андрей]

Максим Носков: хм, ну если я правильно понял, и это типичный HTTP basic authentication, то будет работать