Re: [gentoo-user-br] [OFF-TOPIC] Bypass Squid

[Diego Alberto Ramponi]

Na verdade, acho que o problema ainda é baseada apenas na questão
firewall/proxy. Nos roteadores, você apenas muda o caminho, não passando por
outra rede, esse tipo de coisa, mas quando chegar no firewall/proxy as
regras que lá estão é que fazem a diferença. Se você tiver acesso ao
servidor e firewall, ou se ele não existir você pode adicionar isso na
máquina do squid

em /etc/sysctl.conf

descomente ou adicione

net.ipv4.ip_forward =  1    #permite a passagem de dados de uma interface
para outra

nas regras de iptables você adidiona antes da regra abrangente

iptables -t nat -A POSTROUTING -s 170.0.0.0/16 -d ${IP_CEF} --dport 443
--jump MASQUERADE

com esta regra apenas as requisições para  porta 443 nao passarão pelo
proxy.

enquanto

iptables -A PREROUTING -p tcp -t nat --dport 80 -o ${IFACE_OUT} --jump
REDIRECT --to ${IP_SQUID}:${P_SQUID} ou --to-port ${P_SQUID}

faz o resto do trablaho

acho que a regra está certa, já faz um tempo que eu não trampo com iptables

[]'s

2006/9/18, Edilson Lima <ledilson@×××××.com>:
>
> Você sabe dizer se é possivel configurar um roteador cisco no caso o
> 170.0.0.1 que tem gw com 160.0.0.1, pra ter uma uma rota especial só
> para os ips XYZ(No caso ips da caixa)?
>
> Isso tambêm resolveria não é?
>
> On 9/18/06, Diego Alberto Ramponi <diego.ramponi@×××××.com> wrote:
> > Depende da quantidades de acesso, sabe como é quanto mais nós, mas
> difícil
> > de gerenciar os pacotes, e ter a rota para 180 não é uma má idéia,  a
> não
> > ser que a 170 e a 160 compartilhem softwares, banco de dados e essas
> coisas,
> > a rota esta apropriada, uma vez que a carga de programas eh maior que a
> da
> > internet...
> >
> > Mesmo com com a rota do jeito que tah, se tiver um firewall iptables, vc
> > pode fazer a aquilo que eu disse anteriormente.
> >
> > blz
> >
> > []'s
> >
> > 2006/9/18, Edilson Lima < ledilson@×××××.com>:
> > > Sim, concordo plenamente que é necessario redesenhar toda a rede...
> > >
> > > Na verdade a 160 é um datacenter, a 170 um escritório e a 180 outro
> > escritório.
> > > A 170 nao tem proxy e usa o proxy da 180.
> > >
> > > Só a 180 tem link. acho que o gw padrão da 170 deveria ser a e não a
> 180
> > certo?
> > > Acho que só isso ja resolveria o problema todo...
> > > o ideal seria colocar tb um proxy na 170 cascateando pra o da 180 não
> é
> > mesmo?
> > >
> > > Só problemas!!! rs
> > >
> > > Valeu galera
> > >
> > > On 9/18/06, Diego Alberto Ramponi < diego.ramponi@×××××.com> wrote:
> > > > Kra, até onde eu entendi, você acessa a rede 180 normalmente.... mas
> > para a
> > > > internet entra o proxy correto? Onde especificamente está o seu
> proxy?
> > > > Existe um na 170 e outro na 180? Na 180 você usa squid também, tem
> > firewall
> > > > lá?
> > > >
> > > >  Pelo seguinte, se você jogar um pacote na da 170 (rota 160) com
> destino
> > a
> > > > 200.221... a 160 usa a rota padrão, pois ela não conheçe essa rede,
> mas
> > sabe
> > > > que conheçe ;)... a 180, daí a 180 recebe o pacote e tenta
> encaminhar...
> > > > para algun lugar certo ? no caso, ou dá rota desconhecida ou vai
> para
> > def.
> > > > gw.
> > > >
> > > >  A restrição é feita pelo firewall, ou a triagem é feita por outro
> poxy.
> > > >
> > > >  neste caso se o proxy está na sua rede, usa um iptables para não
> enviar
> > > > para o proxy as requisições do site da caixa. na outra ponta a mesma
> > > > coisa...  daí só e somente os sites da caixa não passam pelo squid o
> > resto
> > > > com distino a 80 vai para para o proxy.
> > > >
> > > >  (end pacote origem = 170 end destino = caixa.gob.br dport= 443)
> -->mask
> > end
> > > > origem to ip-real
> > > >
> > > > a porta 443 é a sua única dor de cabeça, pois os end. que necessitam
> da
> > > > porta 80 funcionaman normalmente, e também é bom não tirar do proxy,
> > > > questões de relatório de acesso e essas coisas.
> > > >
> > > >
> > > > Os roteadores apenas passam a informação de um lugar para outro, e
> se
> > foi a
> > > > telefonica que configurou, provavelmente não tem nenhuma restiação
> por
> > acls.
> > > > seu único perrenge são firewalls e proxys configurados pelo meio do
> > caminho.
> > > >
> > > >  E concordo com o Bruno, um projeto de reestruturação é
> necessário...
> > > >
> > > >  blz..
> > > >
> > > >
> > > > 2006/9/8, Edilson Lima <ledilson@×××××.com>:
> > > > >
> > > >  Oi pessoal!
> > > >
> > > > Estou passando por um probleminha. Ainda não achei nenhuma
> > alternativa...
> > > >
> > > > Tenho 3 redes
> > > >
> > > > 160.0.0.0/255.255.0.0
> > > >  170.0.0.0/255.255.0.0
> > > > 180.0.0.0/255.255.0.0
> > > >
> > > > o roteador da 170.0.0.0 tem como rota padrão a 160.0.0.0 porem o meu
> > > > link de internet fica na rede 180.0.0.0.
> > > >
> > > > Todos na rede 170.0.0.0 usam um proxy da 180.0.0.0.
> > > >
> > > > Até esse ponto tudo bem!
> > > >
> > > > Agora entra o software da caixa economica (Conectividade social).
> que
> > > > não pode passar por proxy...
> > > >
> > > > Geralmente eu configuro o meu firewall que com proxy transparente
> para
> > > > não fazer redirect dos ips da caixa... porem... neste caso só saio
> da
> > > > 170.0.0.0 pra 180.0.0.0 (onde está meu link) pelo proxy...
> > > >
> > > > A dúvida é? tem como fazer o squid nao passar as solicitações de
> > > > alguns sites pelo proxy?
> > > >
> > > > Desde já,
> > > >
> > > > Grato,
> > > >
> > > >
> > > > Edilson Lima
> > > >
> > > > --
> > > > gentoo-user-br@g.o mailing list
> > > >
> > > >
> > > >
> > > >
> > > >
> > > > --
> > > > KISS:
> > > >     Keep
> > > >       it
> > > >         simple,
> > > >            stupid!
> > >
> > > --
> > > gentoo-user-br@g.o mailing list
> > >
> > >
> >
> >
> >
> >
> > --
> > KISS:
> >    Keep
> >       it
> >         simple,
> >            stupid!
>
> --
> gentoo-user-br@g.o mailing list
>
>


-- 
KISS:
   Keep
      it
        simple,
           stupid!