Squid transparent http

[dqdima]

Конфиг Сквида  главной прокси

This file is automatically generated by pfSense

Do not edit manually !

http_port 192.168.0.1:3128
http_port 127.0.0.1:3128 intercept
icp_port 0
digest_generation off
dns_v4_first off
pid_filename /var/run/squid/squid.pid
cache_effective_user squid
cache_effective_group proxy
error_default_language af
icon_directory /usr/local/etc/squid/icons
visible_hostname localhost
cache_mgr admin@xxxxx01
access_log /var/squid/logs/access.log
cache_log /var/squid/logs/cache.log
cache_store_log none
netdb_filename /var/squid/logs/netdb.state
pinger_enable on
pinger_program /usr/local/libexec/squid/pinger

logfile_rotate 90
debug_options rotate=90
shutdown_lifetime 3 seconds

Allow local network(s) on interface(s)

acl localnet src  192.168.0.0/24
forwarded_for on
uri_whitespace strip

acl dynamic urlpath_regex cgi-bin ?
cache deny dynamic

cache_mem 64 MB
maximum_object_size_in_memory 256 KB
memory_replacement_policy heap GDSF
cache_replacement_policy heap LFUDA
minimum_object_size 0 KB
maximum_object_size 4 MB
cache_dir ufs /var/squid/cache 100 16 256
offline_mode off
cache_swap_low 90
cache_swap_high 95
cache allow all

Add any of your own refresh_pattern entries above these.

refresh_pattern ^ftp:    1440  20%  10080
refresh_pattern ^gopher:  1440  0%  1440
refresh_pattern -i (/cgi-bin/|?) 0  0%  0
refresh_pattern .    0  20%  4320

#Remote proxies

Setup some default acls

ACLs all, manager, localhost, and to_localhost are predefined.

acl allsrc src all
acl safeports port 21 70 80 210 280 443 488 563 591 631 777 901  3128 3129 1025-65535
acl sslports port 443 563

acl purge method PURGE
acl connect method CONNECT

Define protocols used for redirects

acl HTTP proto HTTP
acl HTTPS proto HTTPS
http_access allow manager localhost

http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !safeports
http_access deny CONNECT !sslports

Always allow localhost connections

http_access allow localhost

request_body_max_size 0 KB
delay_pools 1
delay_class 1 2
delay_parameters 1 -1/-1 -1/-1
delay_initial_bucket_level 100
delay_access 1 allow allsrc

Reverse Proxy settings

Custom options before auth

Setup allowed ACLs

Allow local network(s) on interface(s)

http_access allow localnet

Default block all to be sure

http_access deny allsrc

[Shumaher]

Похожая, но другая ситуация.
Кальмар работает всегда в режиме непрозрачного прокси.
Но с галочкой Transparent, перестают грузиться http.

Где собака порылась?
В /tmp/rules.debug написано:

Setup Squid proxy redirect

no rdr on fxp0 proto tcp from { 192.168.0.0/24 } to any port 80
rdr pass on fxp0 proto tcp from any to !(fxp0) port 80 -> 127.0.0.1 port 3128

Setup squid pass rules for proxy

pass in quick on fxp0 proto tcp from any to (fxp0) port {3128,3129} flags S/SA keep state

Не очень силён, помогите!!!

[werter]

Если у вас обоих сквид натравлен на фильтрацию только http, то на ЛАН в fw должно быть правило, разрешающее ходить вашей сети и по httpS.

[dqdima]

Фаервол настроен по умолчанию  , пробовал на втором сервере , все разрешить  , все также работает .
Сайты пингуються , трассируются , днс отвечает , но не открывается

TCP_MISS/403 http://moskva.fm/

[dqdima]

Тоесть получается , сайты https  у меня открываются , потому как  идут в обход сквида .

Но я не понимаю , почему на запрос от меня вываливается  ошибка с первого прокси сервера .
Первый прокси сервер работает  нормально .

Вопрос - а сквид сервер  работает самостоятельно ,  или в обязательной связке c NAT  ?

Если кому интересно - соберите  у себя тестовый стенд - будет  ли у вас  работать интернет у пользователей которые находятся за вторым pfsense

[werter]

Блокирование серых сетей на ВАН откл ?

[dqdima]

Доброго  времени суток  , спасибо  за внимание  к  моему эксперименту.

На первом "главном" pfsense 2.3 все настройки по умолчанию , на  втором в фаерволе всё открыто .
На втором  сервере переустановил  заново pfsense , результат  такойже  - страница ошибки прилетает  с первого pfsense.
Отключаю на первом pfsense сквид - за вторым все начинает  адекватно  работать  .

Не могу понять, что  не нравиться  первому  , почему не пропускает  трафик  по http

[werter]

На первом есть сквид\гвард ?

[dqdima]

На первом  есть сквид  , но  гарда  не стоит  на обоих
В сети  нашел  инфу , мол  два сквида  в одной сети но в разных подсетях ,  не работают ???

Запрос  идет через второй  на первый  по HTTP
Вот думаю , может  , дело в портах

[werter]

На первом сеть второго в разрешенные - внесена ?

[dqdima]

На первом в фаерволе , сеть со стороны клиентов  , открыта полностью

Или , что  вы имеете ввиду  ?  где  должно  стоять разрешение  ?
Где то  на первом  сквиде  ?

[werter]

Догадливый )

[Shumaher]

@werter:

Если у вас обоих сквид натравлен на фильтрацию только http, то на ЛАН в fw должно быть правило, разрешающее ходить вашей сети и по httpS.

У меня тока один pfsense .
https не идут пока через прокси и они открываются без проблем.
Не работает прозрачный режим. То есть перестают открываться http.
Ошибки не даёт, в логах активности нет.
Если в браузере поставить не прозрачный 3128, всё при этом работает.

Я понимаю так, что не добавлено правило для заворачивания 80 порта на кальмара?
Автоматом после установки галочки Transparent?
Куда его воткнуть и как оно должно выглядеть?

[dqdima]

@werter:

Догадливый )

Ок - делаю так  :  в главной прокси в пункте acl – Allowed Subnets -- пишу свою  подсеть 192.168.100.0/24

В конфиге  автоматом  добавляется настройка  acl allowed_subnets src 192.168.100.0/24

Сохраняю - перезагружаю - НЕ РАБОТАЕТ !!!

[dqdima]

@Shumaher:

@werter:

Если у вас обоих сквид натравлен на фильтрацию только http, то на ЛАН в fw должно быть правило, разрешающее ходить вашей сети и по httpS.

У меня тока один pfsense https не идут пока через прокси и они открываются без проблем.
Не работает прозрачный режим. То есть перестают открываться http.
Ошибки не даёт, в логах активности нет.
Если в браузере поставить не прозрачный 3128, всё при этом работает.

Я понимаю так, что не добавлено правило для заворачивания 80 порта на кальмара?
Автоматом после установки галочки Transparent?
Куда его воткнуть и как оно должно выглядеть?

Тут такая сложность , нельзя на прямую править конфиги у pfsene , после перезагрузки он их перепишет
в соответствии с вебмордой .
Если  галка стоит  Transparent HTTP Proxy  , то должно работать ., если не работает - то дело не в этом
Посмотрите , что в настройках сети вообще стоит , может тупо адрес шлюза не указан на котором ваш pfsense  крутиться .

[dqdima]

Доброго времени суток  уважаемые специалисты , помогите , что я только не делал - мой эксперимент потерпел ФИАСКО

Подскажите один сквид через другой  , вообще может работать  или  в сети наличие  двух сквидов невозможно в принципе ?

[pigbrother]

В  System-Advanced-Miscellaneous есть настройки вышестоящего прокси.
Вдруг это то, что вам нужно?

[dqdima]

@pigbrother:

В  System-Advanced-Miscellaneous есть настройки вышестоящего прокси.
Вдруг это то, что вам нужно?

Спасибо большое , но это не то . Меня рубит первый сквид на первом прокси
Все настройки на первом прокси делал , подсеть добавлял , но болт

[Shumaher]

@werter:

Тут такая сложность , нельзя на прямую править конфиги у pfsene , после перезагрузки он их перепишет
в соответствии с вебмордой .
Если  галка стоит  Transparent HTTP Proxy  , то должно работать ., если не работает - то дело не в этом
Посмотрите , что в настройках сети вообще стоит , может тупо адрес шлюза не указан на котором ваш pfsense  крутиться .

А вот это поможет понять, что не так?
/usr/local/etc/squid/squid.conf

This file is automatically generated by pfSense

Do not edit manually !

http_port 192.168.0.3:3128
http_port 127.0.0.1:3128 intercept
icp_port 0
digest_generation off
dns_v4_first on
pid_filename /var/run/squid/squid.pid
cache_effective_user squid
cache_effective_group proxy
error_default_language ru
icon_directory /usr/local/etc/squid/icons
visible_hostname localhost
cache_mgr it@ventatrans.ru
access_log /var/squid/logs/access.log
cache_log /var/squid/logs/cache.log
cache_store_log none
netdb_filename /var/squid/logs/netdb.state
pinger_enable on
pinger_program /usr/local/libexec/squid/pinger

logfile_rotate 5
debug_options rotate=5
shutdown_lifetime 3 seconds

Allow local network(s) on interface(s)

acl localnet src  192.168.0.0/24
forwarded_for on
uri_whitespace strip

acl dynamic urlpath_regex cgi-bin ?
cache deny dynamic

cache_mem 400 MB
maximum_object_size_in_memory 256 KB
memory_replacement_policy heap GDSF
cache_replacement_policy heap LFUDA
minimum_object_size 0 KB
maximum_object_size 4 MB
cache_dir ufs /var/squid/cache 3000 16 256
offline_mode off
cache_swap_low 90
cache_swap_high 95
cache allow all

Add any of your own refresh_pattern entries above these.

refresh_pattern ^ftp:    1440  20%  10080
refresh_pattern ^gopher:  1440  0%  1440
refresh_pattern -i (/cgi-bin/|?) 0  0%  0
refresh_pattern .    0  20%  4320

#Remote proxies

Setup some default acls

ACLs all, manager, localhost, and to_localhost are predefined.

acl allsrc src all
acl safeports port 21 70 80 210 280 443 488 563 591 631 777 901  3128 3129 1025-65535
acl sslports port 443 563

acl purge method PURGE
acl connect method CONNECT

Define protocols used for redirects

acl HTTP proto HTTP
acl HTTPS proto HTTPS
acl allowed_subnets src 192.168.0.54/32
http_access allow manager localhost

http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !safeports
http_access deny CONNECT !sslports

Always allow localhost connections

http_access allow localhost

request_body_max_size 0 KB
delay_pools 1
delay_class 1 2
delay_parameters 1 -1/-1 -1/-1
delay_initial_bucket_level 100
delay_access 1 allow allsrc

Reverse Proxy settings

Custom options before auth

Setup allowed ACLs

Allow local network(s) on interface(s)

http_access allow allowed_subnets
http_access allow localnet

Default block all to be sure

http_access deny allsrc

И 192.168.0.3 это собственно адрес шлюза.

[Shumaher]

Забросили тему. Памагите….