Re: [OT] Portweiterleitung an transparenten Proxy

[Torsten Geile <zuhause@tippex.net>]

Micha Beyer wrote:
> Am Donnerstag, 14. Dezember 2006 20:56 schrieb Torsten Geile:
>
>   
> Richtig, das kann so nicht funktionieren, eben nur wenn Proxy und GW auf 
> derselben Maschine laufen.
>
> Mit iproute2 kannst Du das Szenario umsetzen.
>
> Zuerst werden alle Paket mit Zielport 80 markiert.
>
> iptables -t mangle -A PREROUTING -p tcp -i eth0 --dport 80 -j MARK --set-mark 
> 3
>
> Die markierten Pakete werden an den Proxy geschickt.
>
> ip ro add default via <Proxy-IP> table 102
> ip rule add fwmark 3 table 102
>
> Zu guter letzt musst Du noch sicherstellen das alle Pakete vom Proxy auch 
> durch das GW durchgeschleift werden und nicht wieder zum Proxy gelangen.
>
> iptables -t mangle -A PREROUTING -j ACCEPT -p tcp --dport 80 --source 
> <Proxy-IP>
>
> Alles klar, so sollte das passen.
>   

Danke für den Tipp, aber leider funktioniert es so bei mir nicht.

Iptables -t mangle -L spuckt dies aus

Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
PORTFWMANGLE  all  --  anywhere             anywhere

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination

Chain PORTFWMANGLE (1 references)
target     prot opt source               destination
MARK       tcp  --  192.168.2.0/24       
dynadsl-080-228-205-211.ewetel.net tcp dpt:https MARK set 0x1
MARK       tcp  --  192.168.2.0/24       
dynadsl-080-228-205-211.ewetel.net tcp dpt:oms MARK set 0x1
MARK       udp  --  192.168.2.0/24       
dynadsl-080-228-205-211.ewetel.net udp dpt:rfa MARK set 0x1
MARK       udp  --  192.168.2.0/24       
dynadsl-080-228-205-211.ewetel.net udp dpts:ndmp:dnp MARK set 0x1

Daher habe ich die rules in die chain PORTWFMANGLE geschrieben. Den 
Dansguardian habe ich auf Port 80 umkonfiguriert.


Mein Browser am Client meldet mir dann "Looking up www.xxxxx.de"
Am Proxy kommt nichts an, jedenfalls laut /var/log/dansguardian/access.log
TCPDUMP auf dem Proxy meldet auch keinen Verkehr auf Port 80.
Tippe ich die rules in die PREROUTING chain, dann verschwindet auch die 
ssh connection zum Router.

Gruß, Torsten