Squid+iptables：如何允许 https 传递并绕过 Squid？

Question

今天基本上是从 Squid 和 iptables 开始的（google 是你的朋友）。这东西会害死我的。

我在 Ubuntu 9.04 服务器上设置了 Squid3 作为透明代理。当我使用代理盒作为我的默认网关等时，它工作得很好。此设置的 iptable 规则是教程的一部分。 :P

不幸的是，我无法访问 https 网站（例如 Gmail 或基本上端口 443 上的任何内容）。这是因为 Squid 不喜欢它无法缓存的内容，在本例中是 https 流量。

我想添加一个 iptable 规则，以便我基本上可以访问 https 站点并使用 Skype。基本上允许这些类型的流量通过而不经过Squid代理？ （可以这么说，绕过它）

有人可能知道如何做到这一点，或者有任何来源的链接可以帮助我解决这个问题吗？

谢谢。

Answer 1

在真正考虑过咀嚼自己的手腕并整夜梦想着 IP + 强力谷歌搜索/尝试任何我可以用数字手指操作的东西之后，我设法将一些实际有效的东西组合在一起。我不知道其中的技术原因，所以如果您可以提供固定的解释，请这样做！ ：D

PS：解释中的所有内容都是通过命令行完成的

PS：这不是最终的解决方案，但它是回答我自己的问题的有效解决方案。

这里是：

第 1 步：必须在盒子上启用 IP 转发：

vim /etc/sysctl.conf

// 找到并取消注释以下

net.ipv4.ip_forward=1
net.ipv4.conf.all.rp_filter=1

第 2 步：添加环回规则（这更多的是当所有端口都被覆盖时） ，显然很多应用程序都需要它？

iptables -I INPUT -i lo -j ACCEPT

步骤3.添加绕过端口443的规则：（eth1是互联网接口，xxxx/eth0是LAN接口）

iptables -t filter -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -t filter -A FORWARD -i eth0 -p tcp --dport 443 -j ACCEPT

iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source x.x.x.x

步骤4.然后最后是使Squid透明的规则：（xxxx是LAN接口的IP）

iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination x.x.x.x:3128

iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128

Answer 2

iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source x.x.x.x

那是错误的。意味着您从内部 LAN 发送到 Internet 的每个数据包 TCP/UDP/etc 都将使用专用 LAN IP（可能是 192.178.xx）作为源 IP，而不是公共 IP。

可能对您有帮助：

PREROUTING == DestinationNAT -> From Internet to Intern LAN

POSTROUTING == SourceNAT -> From Intern LAN to Internet


iptables -t nat -A PREROUTING -i intern -p tcp --dport 80 -j REDIRECT --to-ports 3128
iptables -A INPUT -j ACCEPT -m state --state NEW,ESTABLISHED,RELATED -i intern -p tcp --dport 3128 
iptables -A OUTPUT -j ACCEPT -m state --state NEW,ESTABLISHED,RELATED -o extern -p tcp --dport 80
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED -i extern -p tcp --sport 80
iptables -A OUTPUT -j ACCEPT -m --state ESTABLISHED,RELATED -o intern -p tcp --sport 80

绕过 443 就足够了：

iptables -I FORWARD -p tcp --dport 443 -j ACCEPT

如果您的 system/squid/firewall 也是从您的网络到互联网的路由器，请不要忘记：

iptables -t nat -A POSTROUTING -o extern -j SNAT --to-source Public_external_IP

Answer 3

对于这些解释...

步骤 #1 将机器设置为路由器。对于任何要接受或转发发往除自身之外的计算机的 IP 流量的 Linux 计算机，这是必需的。如果没有这个，网络堆栈的最低级别将拒绝流量，NAT 甚至没有机会做它的事情。

步骤#2 与所询问的问题无关。与代理无关的路由器操作可能需要也可能不需要。

步骤#3 让机器正常中继端口 443 作为路由器。使用 MASQUERADE 代替 SNAT 可以使 POSTROUTING 规则变得更好。

步骤#4 两条线以不同的方式做同样的事情。如果您不知道 DNAT 和 REDIRECT 之间的区别，第一行可能会给您带来麻烦。为简单起见，仅使用“重定向”。

阅读http://wiki.squid-cache.org/ConfigExamples/Intercept/LinuxRedirect 可以为你省去很多麻烦。

您的设置中还缺少一个关键的 mangle 表规则，该规则在该 wiki 页面上进行了解释。