...ipchains und transparenter proxy -> problem...

[echo]

ola...

ich habe einen Linux (2.2.18) Rechner als Internetgateway aufgesetzt. Auf diesen GW läuft ein Squid-Proxy im Transparent-Mode und sollte über diverse ipchains-Regeln angesprochen werden...:

#!/bin/sh

#

LOC_NET=192.168.111.0/24

#

ipchains -F input

ipchains -F forward

ipchains -F output

#

echo 1 > /proc/sys/net/ipv4/ip_forward

#

ipchains -P input   DENY 

ipchains -P forward ACCEPT

ipchains -P output  ACCEPT

#

#ipchains -A input  -i lo  -p tcp -d 127.0.0.1 80 -j REDIRECT 8080

#ipchains -A output -i lo  -p tcp -s 127.0.0.1   80 -j ACCEPT ! -y

#

ipchains -A input  -i eth0 -p udp -s $LOC_NET -d 192.168.111.150 53 -j ACCEPT

ipchains -A output -i eth0 -p udp -d $LOC_NET   -s 192.168.111.150 53 -j ACCEPT

#

ipchains -A input  -i eth0 -p tcp -s $LOC_NET -d 0/0 80 -j REDIRECT 8080 

ipchains -A input  -i eth0 -p tcp -s $LOC_NET -d 0/0 80 -j ACCEPT  

ipchains -A input  -i ppp0 -p tcp -d $LOC_NET -s 0/0 80 -j ACCEPT

#  

ipchains -A input  -i eth0 -s $LOC_NET -d 0/0 -j REJECT -l

ipchains -A input  -i eth0 -d $LOC_NET -s 0/0 -j REJECT -l

ipchains -A input  -i ppp0 -s $LOC_NET -d 0/0 -j REJECT -l

ipchains -A input  -i ppp0 -d $LOC_NET -s 0/0 -j REJECT -l

...aber das funzt nicht. Nur wenn ich Default-Policy (input) auf ACCEPT (statt DENY) stelle dann gehts.

Mein naiver Sachverstand sagt mir, dass die nötigen Kerneloptionen und die Squid-Konfig passen müssten, da ja - wenn alles erlaubt - auch alles geht. Ich denke ich hab im Regelwerk irgendwas vergessen oder falsch eingestellt -> kann wer helfen...???

alo echo...

[DanielB]

Hmm...ändere mal die Zeile :

ipchains -A input  -i ppp0 -p tcp -d $LOC_NET -s 0/0 80 -j ACCEPT

in

ipchains -A input  -i ppp0 -p tcp -s 0/0 80 -j ACCEPT

Funktioniert es jetzt ?

[echo]

Original geschrieben von DanielB

Hmm...ändere mal die Zeile :

ipchains -A input  -i ppp0 -p tcp -d $LOC_NET -s 0/0 80 -j ACCEPT

in

ipchains -A input  -i ppp0 -p tcp -s 0/0 80 -j ACCEPT

Funktioniert es jetzt ?

hmm, so wie es aussieht -> JAAA

suuperdank...

[echo]

ola...

je länger ich drüber nachdenke, umso klarer wird's -> im header des eingehenden packets steht ja die externe IP und nicht die lokale -> *mannmannmann*

alo echo...