лог squid ошибка :: В помощь системному администратору

romandan88
Это не ошибка, так и должно работать. Механизм dst-nat подобен srt-nat, т.е. маршрутизатор принимает подключение на интерфейс, нумерует его, меняет в заголовке пакета данные отправителя на свои и посылает пакет дальше по направлению, когда приходит ответ маршрутизатор по выставленному номеру отправляет данные, тому кто их изначально запрашивал. Вам следует воспользоваться таблицей роутов для реализации связки Макротик+Свикд с адресом отправителя.
Разберём на примере:

#На Микротике есть два интерфейса:

Код:

/ip address
add address=192.168.0.1/24 disabled=no interface=ether1 network=192.168.0.0
add address=192.168.1.2/24 disabled=no interface=ether2 network=192.168.1.0

#Включаем резолв DNS

Код:

/ip dns set allow-remote-requests=yes cache-max-ttl=1w cache-size=8000KiB max-udp-packet-size=512 servers=192.168.1.1

#Маркируем весь трафик на TCP-80

Код:

/ip firewall nat
add action=accept chain=srcnat disabled=no dst-port=80 protocol=tcp
/ip firewall mangle
add action=mark-routing chain=prerouting disabled=no dst-port=80 new-routing-mark=http passthrough=yes protocol=tcp

#Маскарадим весь трафик на ether2 (я надеюсь, Вы обратили внимание, что в таблице NAT у нас два правила и правило маскарада имеет более низкий приоритет по отношению с разрешающим правилом для 80-того TCP, это связано с тем, что мы не будем маскарадить данные на этом порту).

Код:

add action=masquerade chain=srcnat disabled=no out-interface=ether2

#Добавляем в таблицу роутов нужные маршруты (192.168.0.2 - адрес Сквида)

Код:

/ip route
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.0.2 routing-mark=http scope=30 target-scope=10
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.1.1 scope=30 target-scope=10

На Сквиде:
#Включаем прозрачный режим:

Код:

http_port 8080 transparent
acl mylocalnet src 0.0.0.0/0.0.0.0
http_access allow mylocalnet

#Включаем перенаправление в iptables на Сквиде (ведь он у нас поднят на порту 8080, а трафик приходит на порт 80)

Код:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.0.2:8080

Всё. Теперь на прокси мы будем видеть адреса клиентов, а не маршрутизатора.

P.S. Есть тема для Микротика.

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR
Версия для печати • Подписаться • Добавить в закладки