Re: Instalación de Squid con 2 placas de red

[Guimi <listas@guimi.net>]

ciracusa escribió:
> Guimi wrote:
> > ciracusa escribió:
> > > Hola Lista.
> > (...)
> > > Quisiera instalar un squid detrás de este cable modem para controlar 
> > > la navegación de los usuarios.
> > > (...)
> > > La idea de esto es que un usuario con conocimientos no pueda saltarse 
> > > el proxy definiendo como GW la ip del Cablemodem.
> >
> > Tendrás que limitar la navegación directa. Lo más recomendable es 
> > poner un proxy transparente para no tener que hacer cambios en los 
> > clientes.
> >
> > http://www.guimi.net/index.php?pag_id=tec-docs/firewall/fw-instalacion.html 
> > (...)
>
> Hola Güimi, muchas gracias por tu respuesta!
>
> He leido el enlace que me enviaste -que por cierto es muy bueno- y
> quería hacerte algunas consultas:
>
> - En un escenario de squid 2.6.5-6 como proxy transparente (de HTTP), en 
> los clientes, configuré el default gateway con la IP del proxy¿?

No tiene que ver el servicio de proxy web con el servicio de gateway.
Aunque es muy normal, y es lo que está descrito en el enlace, que el 
servicio de gateway y el de proxy estén en la misma máquina.

Pero hay que entender que lo bueno del proxy transparente es que no hay 
que tocar nada en los clientes.

Como default gateway en los clientes tienes que poner la IP del firewall 
(que en el ejemplo está en la misma máquina, pero podría no estarlo).

> Luego, hice lo siguiente para los demás protocolos (POP3, IRC, etc):
>
> iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE

Con esto en principio permites hacer NAT de salida, es decir que los 
clientes salgan a través del gw usando la ip real del gw.
Pero digo "en principio" porque también dependerá del resto de reglas 
iptables que tengas.

> echo "1" >/proc/sys/net/ipv4/ip_forward

Esto solo tienes que hacerlo una vez, para que permita reenviar tráfico 
(-> hacer de gw).

> Esto es correcto?

*En principio* sí. El mejor modo de saberlo es probarlo ;-)

En la página tienes indicadas unas líneas para poder hacer debug de 
iptables, por si tienes algún problema.
Ten en cuenta que al estar con políticas por defecto DROP es más difícil 
de configurar y mantener, pero más seguro (si se hace bien).

Si te surge algún problema concreto, no dudes en escribir (tras buscar 
en google ;-).

> Muchas Gracias.
> Salu2.

De nada
Saludos
Güimi
http://guimi.net
--
Por el bien de todos respetemos las normas de la lista:
http://wiki.debian.org/NormasLista