Проблема с опрозрачиванием SQUID

[Labaman]

Проблема, наверное стара как мир, но все же. Пытаюсь настроить прозрачный прокси на freebsd 9 + squid 3.1.
В обычной режиме squid работает нормально, работаю права доступа итд итп.
Но как только пытаюсь сделать squid проззрачным - начинаются проблемы.
конфигурация системы:
Squid сщбирал с подержкой ipfw_, pf_ transp
ядро пресобрал с опциями:
--

Код: Выделить всё

IPFIREWALL
IPFIREWALL_FORWARD
IPFIREWALL_VERBOSE
IPFIREWALL_VERBOSE_LIMIT=100
IPFIREWALL_NAT
IPDIVERT

--

сетевые карты nfe0 - внешняя, подключена к модему в режиме роутера (IP роутера 192.168.1.1)
ue0 - смотрит в локалку
nfe0 ip 192.168.1.2 netmask 255.255.255.0 defaultgetway 192.168.1.1 (модем)
ue0 ip 192.168.0.1 netmask 255.255.255.0

В /usr/local/etc/squid/squid.conf
....

Код: Выделить всё

http_port 3128 intercept

...
Пытаюсь писать правила для ipfw

Код: Выделить всё

ipfw add fwd 127.0.0.1,3128 tcp from 192.168.0.0/24 to any 80

Тестовый компьютер с ip 192.168.0.3 шлюзом указываю 192.168.0.1
Связь с внешней сетью отсутствует. При этом в локалку пускает и на сам компьютер с фряхой доступ есть допустим 192.168.1.1/sams доступ с тестового компютера имею, но при попытке открыть какой-либо сайт получаю ошибку "Сервер не найден", т.е. даже не уведомление squid'а, а просто "сервер не найден"
В чем проблема в ipfw или в самом squid?
Как правильно составить правила в моем случае для ipfw?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[werder31]

Код: Выделить всё

http_port 3128 transparent

И гляньте в

Код: Выделить всё

 /var/log/security

[Labaman]

Код: Выделить всё

http_port 3128 transparent

И гляньте в

Код: Выделить всё

 /var/log/security

В сквид 3.1?

[werder31]

Прошу прощения) я просто 3,1 не юзал но думаю синтаксис не поменялся )

[Labaman]

Прошу прощения) я просто 3,1 не юзал но думаю синтаксис не поменялся )

Поменялся. А 2.7.9 поддерживает IPFW?

[werder31]

Поменялся. А 2.7.9 поддерживает IPFW?

Что значит Поддерживает, они работают независимо дуг от друга.
В IPFW просто редиректит запросы, а сквид приминмает их на заданом порту.
Как бы ето можно делать любым фаером...

[Labaman]

Поменялся. А 2.7.9 поддерживает IPFW?

Что значит Поддерживает, они работают независимо дуг от друга.
В IPFW просто редиректит запросы, а сквид приминмает их на заданом порту.
Как бы ето можно делать любым фаером...

Ну я понимаю. Просто решил переделать все под капризного SAMS - поставил php52 (из портов), mysql51-server, и squid 2.7.9 (да у меня теперь тоже надо писать "transparent" )
Проблема в том что при сборке squid 2.7.9 отсутствовал пункт:

Код: Выделить всё

[]SQUID_IPFW

Были только пункты:

Код: Выделить всё

[]SQUID_PF
[]SQUID_IPFILTER

Соответственно описание у этих пунктов описание "Enable transp proxing with <фаерволл>"
Вот я подозреваю, что если нет пункта Enable transp proxing with IPFW, то возможно squid 2.7.9 не будет работать в прозрачном режиме с IPFW?

[werder31]

Хочу Вас успокоить))) Прозрачный Сквид будет работать без этой опции))))

[Labaman]

Хочу Вас успокоить))) Прозрачный Сквид будет работать без этой опции))))

Ага, понятно. Теперь весь вопрос в том как правильно завернуть всю сеть 192.168.0.0/24 (вроде как 192.168.0.1-192.168.0.254 диапазон, верно?) на проксю.

[werder31]

Код: Выделить всё

/sbin/ipfw add fwd 127.0.0.1,3128 tcp from 192.168.0.0/24 to any 80 out via $Внешний интерфейс

Это правило поставте ПЕРЕД правилом Nat

[Labaman]

Код: Выделить всё

/sbin/ipfw add fwd 127.0.0.1,3128 tcp from 192.168.0.0/24 to any 80 out via $Внешний интерфейс

Это правило поставте ПЕРЕД правилом Nat

ммм правило NAT? По-подробнее можно? А то во всех статьях по данной теме пишут что достаточно прописать 1 строку и все будет работать. Про NAT нигде не упоминалось...