Newsgroup: it.comp.os.linux.debian
Titolo: Squid non accetta connessioni su 127.0.0.1 dall'esterno

Salve
su una debian sarge ho installato squid; e' impostato come trasparent proxy
(o almeno dovrebbe esserlo).
Il problema e' che se imposto la porta d'ascolto su 127.0.0.1, pur operando
su iptables con un redirect, non funziona (in locale invece funziona).
Se invece nel file di configurazione metto come http_port l'indirizzo ip
della scheda di rete (192.168.3.11) funziona perfettamente.
C'e' forse qualche setting particolare da effettuare ?
La regola di iptables che uso e' questa:
iptables -t nat -A PREROUTING -i eth0 -p tcp -s 
192.168.2.0/24
 --dport 80 -j
REDIRECT --to-port 3128
(ho tentato anche con DNAT --to 
127.0.0.1:3128
 ma il risultato e' lo
stesso).
quello che segue e' il file di configurazione di squid:
http_port 
127.0.0.1:3128
hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
hosts_file /etc/hosts
refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern .               0       20%     4320
acl all src 
0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 
127.0.0.1/255.255.255.255
acl to_localhost dst 
127.0.0.0/8
acl purge method PURGE
acl CONNECT method CONNECT
http_access allow 1
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow to_localhost
acl our_networks src 
192.168.3.0/24
http_access allow our_networks
http_access allow localhost
http_access deny all
http_reply_access allow all
visible_hostname debian.localhost.localdomain
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
coredump_dir /var/spool/squid
Qualcuno sa come risolvere la situazione ?
Ringrazio anticipatamente.

 Qualcuno sa come risolvere la situazione ?
Ascoltando sull'indirizzo corretto.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 Ascoltando sull'indirizzo corretto.
 
Per alcuni pare sia corretto:
http://tinyurl.com/2k3p5y
Ripeto, se tu ne sai di piu' di chiunque abbia scritto quei tutorial sono
benvenute le considerazioni e precisazioni.
Grazie.

 potrebbero connettersi alla 3128 bypassando la 80.
Hai iptables.
iptables -I INPUT -s xxx -p tcp --dport 3128 -j DROP


> potrebbero connettersi alla 3128 bypassando la 80.
Peraltro che ti importa????
Tanto passano comunque da quella parte, rediretti o diretti, quindi non
vedo dove sia il problema. Anzi, può essere utile per tutta quella
miriade di programmi del c...o che non funzionano con un proxy trasparente.


 trasparente.
Vedi sopra. 

 iptables -I INPUT -s xxx -p tcp --dport 3128 -j DROP
Gia' provato e non funziona, ed e' palese.
Se la richiesta arriva sulla porta 80 e viene redirezionata sulla 3128, ma
la 3128 e' stata chiusa, e' normale che il pacchetto venga droppato, come
da policy.

 REDIRECT --to-port 3128
Ma la tua rete e' 
192.168.2.0/24
 (iptables) o 
192.168.3.0/24
 (squid.conf) ?
La tua ACL attuale consente solo client in 
192.168.3.0/24
 e localhost.
Bye
Guido

 ? La tua ACL attuale consente solo client in 
192.168.3.0/24
 e localhost.
Mio errore di digitazione, la policy che ho applicato e' questa:
iptables -t nat -A PREROUTING -i eth0 -p tcp -s 
192.168.3.0/24
 --dport 80 -j
REDIRECT --to-port 3128.
Grazie.


Fammi capire meglio, cosa significa "Sulla 80 gira un servizio di 
identificazione" ? Che roba e' e come funziona ?
Hai verificato se il tuo problema si presenta anche senza usarlo ?
Bye
Guido

 Hai verificato se il tuo problema si presenta anche senza usarlo ?
Il problema si presenta *solo* senza usarlo dato che ancora non e' stato
installato, finche' non riesco a far funzionare il proxy come si deve non
vado avanti.;-)

 cut
Ciao,
Probabilmente non mi e' chiaro il problema, ma 127.0.0.1 non e' un 
indirizzo riservato che identifica il computer stesso (localhost)?
Non mi pare che accedendo a questo indirizzo i dati vengano inviati in rete.
Ciao
Giuseppe

 
in INPUT è aperto il traffico su 127.0.0.1?
$IPTABLES -A INPUT -i lo -j ACCEPT

 stesso).
E la catena di INPUT come èmessa?
-- 
Words are very unnecessary
They can only do harm

 E la catena di INPUT come èmessa?
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

 $IPTABLES -A INPUT -i lo -j ACCEPT
Chain INPUT (policy ACCEPT)


 Qualcuno sa come risolvere la situazione ?
Non si sa mai:
cat /proc/sys/net/ipv4/ip_forward
se sta a 0, portalo a 1 con:
echo 1 >/proc/sys/net/ipv4/ip_forward
Ciao ;)