AJUDA! Firewall separado do Squid!

eduardosec
(usa Debian)

Enviado em 02/12/2018 - 15:24h

Boa tarde a todos!

Necessito de uma ajuda!

Uso o Squid 4.4. no Centos 7, testei o Squid em vários quadros funcionando perfeitamente com SSL BUMP (Inclusive para liberar sites do BUMP sem necessidade de iptables), segue os quadros:

- Squid não transparente: OK
- Squid Transparente juntamente com o Firewall Iptables: OK
- Squid TRansparente em um servidor separado do firewall: PROBLEMA!

Então, eu direciono as portas com as regras:

#Regras de proxy: (10.0.0.1=fw e 10.0.0.2=squid):
iptables -t nat -A PREROUTING ! -d 10.0.0.2 -p tcp -m tcp --dport 80 -j DNAT --to-destination 10.0.0.2:3126
iptables -t nat -A PREROUTING ! -d 10.0.0.2 -p tcp -m tcp --dport 443 -j DNAT --to-destination 10.0.0.2:3127
iptables -t nat -A POSTROUTING -p tcp --dport 3126 -j MASQUERADE
iptables -t nat -A POSTROUTING -p tcp --dport 3127 -j MASQUERADE

Se eu deixar um tcpdump rodando nas portas do Squid ele está recebendo dados! mas ao acessar páginas http ele apresenta o erro: "A Conexão foi redefinida", e https: "Falha na conexão segura".

Os certificados estão instalados no navegador! não é um erro de certificado, já que o mesmo proxy, se eu deixa-lo no modo não transparente, ele navega perfeitamente.

--- ERRO EM squid/cache.og ---

2018/12/02 22:27:38 kid1| ERROR: NF getsockopt(ORIGINAL_DST) failed on local=10.0.0.2:3127 remote=10.0.0.1:53381 FD 9 flags=33: (92) Protocol not available
2018/12/02 22:27:38 kid1| ERROR: NAT/TPROXY lookup failed to locate original IPs on local=10.0.0.2:3127 remote=10.0.0.1:53381 FD 9 flags=33
2018/12/02 22:27:38 kid1| ERROR: NF getsockopt(ORIGINAL_DST) failed on local=10.0.0.2:3127 remote=10.0.0.1:53382 FD 9 flags=33: (92) Protocol not available
2018/12/02 22:27:38 kid1| ERROR: NAT/TPROXY lookup failed to locate original IPs on local=10.0.0.2:3127 remote=10.0.0.1:53382 FD 9 flags=33
2018/12/02 22:27:38 kid1| ERROR: NF getsockopt(ORIGINAL_DST) failed on local=10.0.0.2:3127 remote=10.0.0.1:53383 FD 9 flags=33: (92) Protocol not available
2018/12/02 22:27:38 kid1| ERROR: NAT/TPROXY lookup failed to locate original IPs on local=10.0.0.2:3127 remote=10.0.0.1:53383 FD 9 flags=33

--------

Alguém já viu isso?

WBaluz
(usa Arch Linux)

Enviado em 04/12/2018 - 01:41h

Opa brother tranquilo?
então cara.. pelo visto pode ser algo em relação as regras do iptables.... por esses logs mostra exatamente isso..
da uma olhada nesses links, acredito q irão te ajudar...
https://wiki.squid-cache.org/ConfigExamples/Intercept/LinuxDnat
http://tldp.org/HOWTO/TransparentProxy-6.html