Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Squid transparent http

    Scheduled Pinned Locked Moved Russian
    38 Posts 8 Posters 3.1k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • D
      dqdima
      last edited by

      На первом  есть сквид  , но  гарда  не стоит  на обоих
      В сети  нашел  инфу , мол  два сквида  в одной сети но в разных подсетях ,  не работают ???

      Запрос  идет через второй  на первый  по HTTP
      Вот думаю , может  , дело в портах

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by

        На первом сеть второго в разрешенные - внесена ?

        1 Reply Last reply Reply Quote 0
        • D
          dqdima
          last edited by

          На первом в фаерволе , сеть со стороны клиентов  , открыта полностью

          Или , что  вы имеете ввиду  ?  где  должно  стоять разрешение  ?
          Где то  на первом  сквиде  ?

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            Догадливый )

            1 Reply Last reply Reply Quote 0
            • S
              Shumaher
              last edited by

              @werter:

              Если у вас обоих сквид натравлен на фильтрацию только http, то на ЛАН в fw должно быть правило, разрешающее ходить вашей сети и по httpS.

              У меня тока один pfsense .
              https не идут пока через прокси и они открываются без проблем.
              Не работает прозрачный режим. То есть перестают открываться http.
              Ошибки не даёт, в логах активности нет.
              Если в браузере поставить не прозрачный 3128, всё при этом работает.

              Я понимаю так, что не добавлено правило для заворачивания 80 порта на кальмара?
              Автоматом после установки галочки Transparent?
              Куда его воткнуть и как оно должно выглядеть?

              1 Reply Last reply Reply Quote 0
              • D
                dqdima
                last edited by

                @werter:

                Догадливый )

                Ок - делаю так  :  в главной прокси в пункте acl – Allowed Subnets -- пишу свою  подсеть 192.168.100.0/24

                В конфиге  автоматом  добавляется настройка  acl allowed_subnets src 192.168.100.0/24

                Сохраняю - перезагружаю - НЕ РАБОТАЕТ !!!

                1 Reply Last reply Reply Quote 0
                • D
                  dqdima
                  last edited by

                  @Shumaher:

                  @werter:

                  Если у вас обоих сквид натравлен на фильтрацию только http, то на ЛАН в fw должно быть правило, разрешающее ходить вашей сети и по httpS.

                  У меня тока один pfsense https не идут пока через прокси и они открываются без проблем.
                  Не работает прозрачный режим. То есть перестают открываться http.
                  Ошибки не даёт, в логах активности нет.
                  Если в браузере поставить не прозрачный 3128, всё при этом работает.

                  Я понимаю так, что не добавлено правило для заворачивания 80 порта на кальмара?
                  Автоматом после установки галочки Transparent?
                  Куда его воткнуть и как оно должно выглядеть?

                  Тут такая сложность , нельзя на прямую править конфиги у pfsene , после перезагрузки он их перепишет
                  в соответствии с вебмордой .
                  Если  галка стоит  Transparent HTTP Proxy  , то должно работать ., если не работает - то дело не в этом
                  Посмотрите , что в настройках сети вообще стоит , может тупо адрес шлюза не указан на котором ваш pfsense  крутиться .

                  1 Reply Last reply Reply Quote 0
                  • D
                    dqdima
                    last edited by

                    Доброго времени суток  уважаемые специалисты , помогите , что я только не делал - мой эксперимент потерпел ФИАСКО

                    Подскажите один сквид через другой  , вообще может работать  или  в сети наличие  двух сквидов невозможно в принципе ?

                    1 Reply Last reply Reply Quote 0
                    • P
                      pigbrother
                      last edited by

                      В  System-Advanced-Miscellaneous есть настройки вышестоящего прокси.
                      Вдруг это то, что вам нужно?

                      1 Reply Last reply Reply Quote 0
                      • D
                        dqdima
                        last edited by

                        @pigbrother:

                        В  System-Advanced-Miscellaneous есть настройки вышестоящего прокси.
                        Вдруг это то, что вам нужно?

                        Спасибо большое , но это не то . Меня рубит первый сквид на первом прокси
                        Все настройки на первом прокси делал , подсеть добавлял , но болт

                        1 Reply Last reply Reply Quote 0
                        • S
                          Shumaher
                          last edited by

                          @werter:

                          Тут такая сложность , нельзя на прямую править конфиги у pfsene , после перезагрузки он их перепишет
                          в соответствии с вебмордой .
                          Если  галка стоит  Transparent HTTP Proxy  , то должно работать ., если не работает - то дело не в этом
                          Посмотрите , что в настройках сети вообще стоит , может тупо адрес шлюза не указан на котором ваш pfsense  крутиться .

                          А вот это поможет понять, что не так?
                          /usr/local/etc/squid/squid.conf

                          This file is automatically generated by pfSense

                          Do not edit manually !

                          http_port 192.168.0.3:3128
                          http_port 127.0.0.1:3128 intercept
                          icp_port 0
                          digest_generation off
                          dns_v4_first on
                          pid_filename /var/run/squid/squid.pid
                          cache_effective_user squid
                          cache_effective_group proxy
                          error_default_language ru
                          icon_directory /usr/local/etc/squid/icons
                          visible_hostname localhost
                          cache_mgr it@ventatrans.ru
                          access_log /var/squid/logs/access.log
                          cache_log /var/squid/logs/cache.log
                          cache_store_log none
                          netdb_filename /var/squid/logs/netdb.state
                          pinger_enable on
                          pinger_program /usr/local/libexec/squid/pinger

                          logfile_rotate 5
                          debug_options rotate=5
                          shutdown_lifetime 3 seconds

                          Allow local network(s) on interface(s)

                          acl localnet src  192.168.0.0/24
                          forwarded_for on
                          uri_whitespace strip

                          acl dynamic urlpath_regex cgi-bin ?
                          cache deny dynamic

                          cache_mem 400 MB
                          maximum_object_size_in_memory 256 KB
                          memory_replacement_policy heap GDSF
                          cache_replacement_policy heap LFUDA
                          minimum_object_size 0 KB
                          maximum_object_size 4 MB
                          cache_dir ufs /var/squid/cache 3000 16 256
                          offline_mode off
                          cache_swap_low 90
                          cache_swap_high 95
                          cache allow all

                          Add any of your own refresh_pattern entries above these.

                          refresh_pattern ^ftp:    1440  20%  10080
                          refresh_pattern ^gopher:  1440  0%  1440
                          refresh_pattern -i (/cgi-bin/|?) 0  0%  0
                          refresh_pattern .    0  20%  4320

                          #Remote proxies

                          Setup some default acls

                          ACLs all, manager, localhost, and to_localhost are predefined.

                          acl allsrc src all
                          acl safeports port 21 70 80 210 280 443 488 563 591 631 777 901  3128 3129 1025-65535
                          acl sslports port 443 563

                          acl purge method PURGE
                          acl connect method CONNECT

                          Define protocols used for redirects

                          acl HTTP proto HTTP
                          acl HTTPS proto HTTPS
                          acl allowed_subnets src 192.168.0.54/32
                          http_access allow manager localhost

                          http_access deny manager
                          http_access allow purge localhost
                          http_access deny purge
                          http_access deny !safeports
                          http_access deny CONNECT !sslports

                          Always allow localhost connections

                          http_access allow localhost

                          request_body_max_size 0 KB
                          delay_pools 1
                          delay_class 1 2
                          delay_parameters 1 -1/-1 -1/-1
                          delay_initial_bucket_level 100
                          delay_access 1 allow allsrc

                          Reverse Proxy settings

                          Custom options before auth

                          Setup allowed ACLs

                          Allow local network(s) on interface(s)

                          http_access allow allowed_subnets
                          http_access allow localnet

                          Default block all to be sure

                          http_access deny allsrc

                          И 192.168.0.3 это собственно адрес шлюза.

                          1 Reply Last reply Reply Quote 0
                          • S
                            Shumaher
                            last edited by

                            Забросили тему. Памагите….

                            1 Reply Last reply Reply Quote 0
                            • T
                              ToXaNSK
                              last edited by

                              Если IP второго pfSense добавить в исключения SQUID в первом pfSense вы сможите проверить живут ли друг за другом два SQUID.

                              Say what you mean, mean what you say. (Interstate 60)

                              1 Reply Last reply Reply Quote 0
                              • S
                                Shumaher
                                last edited by

                                А у меня? У меня один то не работает. Вон конфиг выложил.

                                1 Reply Last reply Reply Quote 0
                                • First post
                                  Last post
                                Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.