squid怪異問題

squawell

先描述一下環(huán)境：
1.客戶端的網(wǎng)段很多：192.168.x.0/24 其設(shè)定的gateway均為192.168.x.254
2.router中把所有客戶端上來的連線均導(dǎo)至192.168.1.254再往防火牆送
3.防火牆的IP為192.168.1.251.防火牆上有筆靜態(tài)路由192.168.0.0/16往192.168.1.254送

現(xiàn)在防火牆與router中間擺放一臺(tái)透通模式的 squid雙網(wǎng)卡採用橋接模式連接.並使用以下shell

1. 
   
2. #!/bin/bash
   
3. IPTABLES=/sbin/iptables
   
4. IFCONFIG=/sbin/ifconfig
   
5. BRCTL=/usr/sbin/brctl
   
6. ROUTE=/sbin/route
   
7. LANIPS=192.168.0.0/16
   
8. MANAGEMENTIP=192.168.1.245
   
9. MANAGEMENTGATEWAY=192.168.1.251
   
10. 
    
11. $IPTABLES -F
    
12. $IPTABLES -X
    
13. $IPTABLES -F -t mangle
    
14. $IPTABLES -t mangle -X
    
15. $IPTABLES -F -t nat
    
16. $IPTABLES -t nat -X
    
17. 
    
18. modprobe ip_tables
    
19. modprobe iptable_nat
    
20. modprobe iptable_filter
    
21. modprobe ip_conntrack
    
22. modprobe ip_conntrack_ftp
    
23. modprobe ip_nat_ftp
    
24. echo 1 > /proc/sys/net/ipv4/ip_forward
    
25. 
    
26. # shut down our Ethernet devices
    
27. $IFCONFIG eth0 down
    
28. $IFCONFIG eth1 down
    
29. # bring the Ethernet devices back up with no IP addresses
    
30. $IFCONFIG eth0 up 0.0.0.0
    
31. $IFCONFIG eth1 up 0.0.0.0
    
32. 
    
33. # create our bridge device, and add our Ethernet devices
    
34. $BRCTL addbr br0
    
35. $BRCTL addif br0 eth0
    
36. $BRCTL addif br0 eth1
    
37. 
    
38. # add an IP address to the bridge device, this is for management purposes only
    
39. $IFCONFIG br0 $MANAGEMENTIP
    
40. $ROUTE add default gw $MANAGEMENTGATEWAY
    
41. $ROUTE add -net 192.168.0.0 netmask 255.255.0.0 gw 192.168.1.254 dev br0
    
42. $IPTABLES -t nat -A PREROUTING -i br0 -p tcp --destination-port 80 -m iprange --src-range 192.168.2.0-192.168.254.254 -j REDIRECT --to-port 3128
    

復(fù)制代碼

目前遭遇到的問題：
客戶端進(jìn)出無異�！�唯獨(dú)http通訊埠（80）再防火牆上看不到客戶端的IP都變成squid這臺(tái)機(jī)器的IP也就是變成用NAT的模式出去了....一直百思不得其解..想請(qǐng)教大家若要讓客戶端走80埠出去且再防火牆上能看到客戶端自己的IP該做怎樣的修正呢？謝謝

cryboy2001

這很正常。

squid代理的一個(gè)重要安全功能，就是隱藏內(nèi)網(wǎng)ip地址，從應(yīng)用層隔離內(nèi)外網(wǎng)。

如要在防火墻上看到內(nèi)網(wǎng)的ip，又達(dá)到高速緩存目的，只能是先經(jīng)過防火墻，再到squid代理。

squawell

cryboy2001 發(fā)表于 2014-09-19 07:55
這很正常。

squid代理的一個(gè)重要安全功能，就是隱藏內(nèi)網(wǎng)ip地址，從應(yīng)用層隔離內(nèi)外網(wǎng)。

就前幾篇的文章中所提到的作法，其實(shí)已經(jīng)可以達(dá)到我最終要的結(jié)果，不過後來有個(gè)對(duì)外的系統(tǒng)一直無法使用所以都在找原因出在哪邊？這幾天突然想到該系統(tǒng)使透過 AD帳號(hào)來作單一登錄
，每次都會(huì)卡在輸入完帳號(hào)登入時(shí)就停住了，而再squid中預(yù)設(shè)允許的port好像不包含AD會(huì)用到的port，不知道是不是這個(gè)原因所導(dǎo)致的？？可能需要再驗(yàn)證看看了～

cryboy2001

試試acl加上ad的使用端口看看，沒用過。

squawell

cryboy2001 發(fā)表于 2014-09-24 15:47
試試acl加上ad的使用端口看看，沒用過。

我也有這樣想過～晚點(diǎn)建個(gè)環(huán)境測(cè)試看看

action08

繁體字如何轉(zhuǎn)成簡體呀