Redirecionar 80 para 3128 porem nao a DMZ [RESOLVIDO]

1. Redirecionar 80 para 3128 porem nao a DMZ [RESOLVIDO]

manoel-ramos
(usa Debian)

Enviado em 02/03/2011 - 11:29h

Bom dia galera!

Seguinte, estou com um problema crítico.

Possuo um Firewall netfilter/iptables com 4 placas de rede, sendo:

eth0 - Link1
eth1 - Link2
eth2 - DMZ
eth3 - Rede Local (LAN)

Neste firewall, também está instalado o Squid, autenticado no AD.

- Está tudo funcioando perfeitamente, porta 80 redirecionada para 3128, bloqueios! tudo perfeito! O problema está em:

Neste firewall também possui uma aplicação de gerenciamento do squid via web e na DMZ eu tenho outro servidor Web.
Internamente eu não estou conseguindo acessar tanto a aplicação web do firewall, quanto o site hospedado na DMZ.
Quando eu tiro o redirecionamento, tudo funciona perfeitamente. Já pesquisei muito, mas infelizmente não estou conseguindo resolver este problema.

O que eu preciso é bloquear o acesso para rede interna sem o proxy, ou seja, somente quem está com o proxy configurado, navega. Porém, também preciso acessar a aplicação e o site da DMZ internamente.

Segue o inicio do meu script de firewall

# REDIRECIONA A REDE A PORTA 80 PARA A 3128
iptables -t nat -A PREROUTING -i eth3 -p tcp --dport 80 -j REDIRECT --to-port 3128

# NAT DA REDE - COMPARTILHAMENTO DE CONEXAO
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward

Espero que me deem uma luz!!

0 0

Quote

2. MELHOR RESPOSTA

lejoso
(usa Debian)

Enviado em 02/03/2011 - 11:48h

Cria essas regras

iptables -t nat -I PREROUTING -i eth3 -d ip_servidor_aplicacao -p tcp --dport 80 -j RETURN
iptables -t nat -I PREROUTING -i eth3 -d ip_eth3 -p tcp --dport 80 -j RETURN

Obs:

- O alvo RETURN serve para não ser aplicada as regras da chain (Nesse caso a chain PREROUTING)
- As regras devem estar acima da sua regra de redirect (iptables -t nat -A PREROUTING -i eth3 -p tcp --dport 80 -j REDIRECT --to-port 3128). Por isso foi utilizado a opção -I ao invés de -A.
- Nas duas regras, a unica diferença é o ip de destino. Na primeira é o ip do servidor de aplicação, e na segunda o próprio ip da interface eth3.

0 0

Quote