Proxy Squid no funciona en modo transparente.

metacircuit

Hola a todos, tengo instalado pfsense 2.2 en un equipo con 3 tarjetas de red.

1.- LAN .- 192.168.1.1/24
2.- WAN .- 100.100.100.1/24
3.- WAN2 .- 100.100.200.1/24

Estoy intentando configurar un proxy squid transparente para todos los equipos que lleguen a la LAN, pero cuando activo la casilla de transparente no funciona. Viendo la configuración del archivo /usr/pbi/squid-i386/etc/squid/squid.conf he visto que al activar la casilla pone :

* http_port 192.168.1.1:3128
* http_port 127.0.0.1:3128 transparent <–-- Creo que este es el problema y no se que hacer. Me ha activado la loopback como interface transparente en vez de la que yo he seleccionado.

bellera

@metacircuit:

http_port 192.168.1.1:3128
* http_port 127.0.0.1:3128 transparent

Desactiva el proxy para localhost. Debes dejarlo activado sólo para LAN.

Y ponlo en modo transparente.

metacircuit

Eso ya lo he hecho y nada. Con la configuración siguiente: Tengo en squid.conf : http_port 192.168.1.1:3128, si activo la casilla Transparent proxy es cuando tengo :

http_port 192.168.1.1:3128
http_port 127.0.0.1:3128 transparent

PROXY.png_thumb

bellera

Raro

Activa loopback
Guarda cambios
Desactiva loopback
Guarda cambios

A ver si hay suerte

metacircuit

Buenos días, estoy llegando a la conclusión que es un error del configurador web. Le pongo 3 capturas de pantalla, cuando configuro el proxy en modo transparente, y que es lo que tiene squid.conf y rules.debug.

Gracias, porque todo lo que pruebo nada.

confproxy.png_thumb

archivosquidconf.png_thumb

confrulesdebug.png_thumb

bellera

Efectivamente… hace esto y es correcto. Comprobado en un pfSense que tengo de pruebas.

Código para squid 2.x

if (($settings['transparent_proxy'] == 'on')) {
	$conf .= "http_port 127.0.0.1:" . $settings['proxy_port'] . " transparent\n";
}

https://github.com/pfsense/pfsense-packages/blob/master/config/squid/squid.inc#L634

Para squid 3.x el código es parecido, simplemente cambia transparent por intercept

El problema tiene que ser otro…

bellera

La explicación es que todo el tráfico en tu interfase msk0 con destino TCP 80 va a ser redireccionado a localhost puerto 3128

rdr on msk0 inet proto tcp from any to ! (msk0) port = http -> 127.0.0.1 port 3128

Es por eso que se usa 127.0.0.1 en modo transparent

bellera

Postea, por favor, reglas en LAN

metacircuit

Perdón que no había visto, sus ultimas contestaciones, seguía haciendo pruebas.

[2.2.2-RELEASE][admin@pfSense.localdomain]/root: pfctl -sn
no nat proto carp all
nat-anchor "natearly/*" all
nat-anchor "natrules/*" all
nat on em0 inet from 127.0.0.0/8 to any port = isakmp -> 10.9.128.183 static-port
nat on em0 inet from 192.168.4.0/29 to any port = isakmp -> 10.9.128.183 static-port
nat on em0 inet from 127.0.0.0/8 to any -> 10.9.128.183 port 1024:65535
nat on em0 inet from 192.168.4.0/29 to any -> 10.9.128.183 port 1024:65535
no rdr proto carp all
rdr-anchor "relayd/*" all
rdr-anchor "tftp-proxy/*" all
rdr on msk0 inet proto tcp from any to ! (msk0) port = http -> 127.0.0.1 port 3128
rdr-anchor "miniupnpd" all

bellera

No me cuadran los NAT salientes.

Por favor, topología.

em0 192.168.4.0/29 ¿Qué subred es?

msk0 ¿Qué rango? ¿Qué subred es?

10.9.128.183 ¿WAN por defecto? ¿En qué tarjeta?

@metacircuit:

1.- LAN .- 192.168.1.1/24
2.- WAN .- 100.100.100.1/24
3.- WAN2 .- 100.100.200.1/24

metacircuit

Es verdad, discúlpeme, es que para hacer las pruebas, configuré las tarjetas de red con las redes de trabajo reales.

Tengo :

LAN : 192.168.4.2/29 -> gateway 192.168.4.1/29 (msk0)
WAN : 10.9.128.183/24 -> gateway 10.9.128.10 (em0)
WAN1 : 192.168.1.1/24 -> gateway 192.168.1.1 (em1)

Es que con tantas pruebas ya no se que probar.

bellera

@metacircuit:

LAN : 192.168.4.2/29 -> gateway 192.168.4.1/29 (msk0)

Supongo que 192.168.4.2 es el PC de pruebas y 192.168.4.1 la LAN de pfSense, que le hace de puerta, ¿ no ?

¿ Cuáles son las reglas en LAN ?

@bellera:

Postea, por favor, reglas en LAN

j.sejo1

Saludos

Yo tengo un problema idéntico pero es cuando instalo por USB (sea de 32 o 64 bits) Es como si la imagen estuviera mala. Ya que probé una instalación con CD y funciona sin problemas.

El problema es que el Proxy transparente no funciona, verifique los squid.conf, las configuraciones, las reglas de firewall por consola. etc, y nada. es como si el nat interno de que todo lo que va por el 80 lo pase por el 3128 no tuviera efecto.

Es un caso atípico.

Saludos.