В общем после применения squid -z на последнем этапе установки кальмара - хоронит безгеморойную установку других версий параллельно.
Теперь по установке системы с флешки любой UBUNTU, использовал для записи образа на флешку ultraiso во всех опытах, в результате при установке выявлены особенности. Хрен его знает может где и описано такое, но запишу.
При установке на железо начиная с 2015 года с uefi биосом, при установке с флешки!!!
Установка происходит без проблем если у вас записан образ:
- либо не серверная версия (десктопную версию грузим в режиме livecd и далее ставим без проблем), но не наш случай.
- либо версия netinstall (mini.iso), любая версия.
Провереный метод работает (но бесит, заменен на netinstall из за большей простоты):
либо с гемороем и подмонтированием записаного на ту же флешку, что и установочные файлы исо-файл, в процессе установки, так как при установке из образа стандартного, стянутого с офф сайта, в процессе установки начинает требовать cdrom .
- не проверял но есть образ для флешки, возможно комуто проще его запиливать на флешку.
но сложилось, что любой образ на флешку записываю с ultraiso и после этого обычно нет проблемм с установкой, метод работает для всех систем виндовс (остальные варианты после проверки признаны мной не стабильными и забил на них).
Добавлено: [time]Ср 10 янв 2018 09:05:35[/time]
снес все, использовал для начала вариант 2 Без подмены сертификатов
линкhttps_://imbicile.pp.ru/ubuntu-16-04-prozrachnyj-squid-https/
все встало согласно инструкции
выполнил все кроме настройки iptables
первый запуск :
cache.log
2018/01/10 09:03:49 kid1| ERROR: No forward-proxy ports configured.
2018/01/10 09:03:49 kid1| ERROR: No forward-proxy ports configured.
2018/01/10 09:03:49 kid1| Finished loading MIME types and icons.
2018/01/10 09:03:49 kid1| HTCP Disabled.
2018/01/10 09:03:49 kid1| Pinger socket opened on FD 15
2018/01/10 09:03:49 kid1| Squid plugin modules loaded: 0
2018/01/10 09:03:49 kid1| Adaptation support is off.
2018/01/10 09:03:49 kid1| Accepting NAT intercepted HTTP Socket connections at local=192.168.88.253:3128 remote=[::] FD 12 flags=41
2018/01/10 09:03:49 kid1| Accepting NAT intercepted SSL bumped HTTPS Socket connections at local=192.168.88.253:3129 remote=[::] FD 13 flags=41
2018/01/10 09:03:49| pinger: Initialising ICMP pinger ...
2018/01/10 09:03:49| pinger: ICMP socket opened.
2018/01/10 09:03:49| pinger: ICMPv6 socket opened
2018/01/10 09:03:50 kid1| storeLateRelease: released 0 objects
___________________________
squid -k reconfigure
squid: ERROR: Could not send signal 1 to process 27887: (3) No such process
:/etc/squid#
:/etc/squid# /etc/init.d/squid restart
[ ok ] Restarting squid (via systemctl): squid.service.
:/etc/squid#
:/var/log/squid# ps ax | grep squid
28013 ? Ss 0:00 /usr/sbin/squid -YC -f /etc/squid/squid.conf
28015 ? S 0:00 (squid-1) -YC -f /etc/squid/squid.conf
28033 ? S 0:00 (logfile-daemon) /var/log/squid/access.log
28062 pts/1 S+ 0:00 grep --color=auto squid
:/var/log/squid#
_________________________
# /etc/init.d/squid status
● squid.service - LSB: Squid HTTP Proxy version 3.x
Loaded: loaded (/etc/init.d/squid; bad; vendor preset: enabled)
Active: active (running) since Ср 2018-01-10 09:03:49 MSK; 2h 14min ago
Docs: man:systemd-sysv-generator(
Process: 27956 ExecStop=/etc/init.d/squid stop (code=exited, status=0/SUCCESS)
Process: 27971 ExecStart=/etc/init.d/squid start (code=exited, status=0/SUCCESS)
CGroup: /system.slice/squid.service
├─28013 /usr/sbin/squid -YC -f /etc/squid/squid.conf
├─28015 (squid-1) -YC -f /etc/squid/squid.conf
├─28033 (logfile-daemon) /var/log/squid/access.log
└─28034 (pinger)
янв 10 09:03:49 proxy systemd[1]: Starting LSB: Squid HTTP Proxy version 3.x...
янв 10 09:03:49 proxy squid[27971]: * Starting Squid HTTP Proxy squid
янв 10 09:03:49 proxy squid[28013]: Squid Parent: will start 1 kids
янв 10 09:03:49 proxy squid[28013]: Squid Parent: (squid-1) process 28015 started
янв 10 09:03:49 proxy squid[27971]: ...done.
янв 10 09:03:49 proxy systemd[1]: Started LSB: Squid HTTP Proxy version 3.x.
Добавлено: [time]Ср 10 янв 2018 13:41:47[/time]
Изначальный кусок конфига отвечающий за прозрачность:
http_port 192.168.88.253:3128 intercept
https_port 192.168.88.253:3129 intercept ssl-bump cert=/etc/squid/squidCA.pem
ssl_bump peek all
ssl_bump splice all
Менять на?:
_______________________________________
(все верно???):
http_port 192.168.88.253:3128 intercept options=NO_SSLv3:NO_SSLv2
http_port 192.168.88.253:3130 options=NO_SSLv3:NO_SSLv2
https_port 192.168.88.253:3129 intercept ssl-bump options=ALL:NO_SSLv3:NO_SSLv2 connection-auth=off cert=/etc/squid/squidCA.pem
always_direct allow all
sslproxy_cert_error allow all
sslproxy_flags DONT_VERIFY_PEER
# Ниже кусок что подменяет сертификат и если не в списке внутрений ИП адресс то блокировка по списку
acl blocked_fast ssl::server_name "/etc/squid/denied_urls" #acl правило со списком блокируемых ресурсов в файле
acl step1 at_step SslBump1 #acl правило указывает что блочить соединение на стороне клиентов
ssl_bump peek step1 # предварительная отсылка сертификата подсовывать вместо клиента свой сертификат
ssl_bump terminate !good_ip #acl правило указывает что все машины кроме списка блочить доступ к ресурсу
#далее у всех одинаковый кусок
ssl_bump splice all
sslcrtd_program /usr/lib/squid/ssl_crtd -s /var/lib/ssl_db -M 4MB
Задача на машине с двумя сетевыми с ubuntu 16.04 squid 3.5.12, сделать следующим образом: через одну сетевую вводится локалка, через вторую выход на роутер на котором dhcp (то есть должно получится прокся ставится в разрыв между сетью локальной и роутером в интернет).
Добавлено: [time]Ср 10 янв 2018 14:24:06[/time]
будет ли так работать?
после настройки nat и iptables :
для iptables:
В локальную сеть предположим у меня смотрит интерфейс enp2s0 IP которого 192.168.88.253
В сеть провайдера(роутер) enp3s0, из этих условий вытекает то что указано ниже:
iptables -t nat -A PREROUTING -i enp2s0 ! -d 192.168.88.0/24 -p tcp -m multiport --dports 80,8080 -j DNAT --to-destination
192.168.88.253:3128
iptables -t nat -A PREROUTING -i enp2s0 ! -d 192.168.88.0/24 -p tcp -m multiport --dports 443 -j DNAT --to-destination 192.168.88.253:3129
Добавлено: 10 Января 2018, 16:09:11
проверил скуид завелся нормально, теперь бы с nat и iptable разобратся
итак судя по описанию
Для автоматической загрузки настроек iptables при старте системы создадим новый пустой конфигурационный файл командой:
sudo touch /etc/nat
И откроем его для изменения:
nano /etc/nat
______________________________________________________
Минимальный набор настроек выглядит следующим образом:
#!/bin/sh
#Пересылка пакетов
echo 1 > /proc/sys/net/ipv4/ip_forward
#Откроем доступ наружу из внутренней сети
iptables -A FORWARD -i tap0 -o eth0 -j ACCEPT
#Включаем NAT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.1/24 -j MASQUERADE
#Разрешаем принимать ответы из внешней сети
iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
#Ограничим доступ во внутреннюю сеть снаружи
iptables -A FORWARD -i eth0 -o tap0 -j REJECT
___________________________________________-
После сохранения изменений обеспечим для файла права на исполнение:
chmod +x /etc/nat
Далее необходимо поставить созданный файл на автозагрузку при включении сервера. Для этого откроем рассмотренный ранее файл interfaces:
nano /etc/network/interfaces
и добавим в самый низ строку:
post-up /etc/nat
Перезагрузим сервер для автоматического применения новых настроек:
reboot
________________________
Но
_______________________
везде есть правило заворота трафика
в моем случае примет вид если все правильно:
В локальную сеть у меня смотрит интерфейс enp2s0 IP которого 192.168.88.253
В сеть провайдера(в моем случае на роутер с dhcp) enp1s0 команды
iptables -t nat -A PREROUTING -i enp2s0 ! -d 192.168.88.0/24 -p tcp -m multiport --dports 80,8080 -j DNAT --to-destination 192.168.88.253:3128
iptables -t nat -A PREROUTING -i enp2s0 ! -d 192.168.88.0/24 -p tcp -m multiport --dports 443 -j DNAT --to-destination 192.168.88.253:3129
ЭТО отдельно выполняется команда или включить ее в файл
Добавлено: 10 Января 2018, 16:53:06
мля пока в тестовом режиме после внесения
iptables -t nat -A PREROUTING -i enp2s0 ! -d 192.168.88.0/24 -p tcp -m multiport --dports 80,8080 -j DNAT --to-destination 192.168.88.253:3128
iptables -t nat -A PREROUTING -i enp2s0 ! -d 192.168.88.0/24 -p tcp -m multiport --dports 443 -j DNAT --to-destination 192.168.88.253:3129
пишет что доступа нет
Добавлено: 10 Января 2018, 16:57:15
# iptables -L -n -t nat -v
Chain PREROUTING (policy ACCEPT 245 packets, 16041 bytes)
pkts bytes target prot opt in out source destination
0 0 DNAT tcp -- enp2s0 * 0.0.0.0/0 !192.168.88.0/24 multiport dports 80,8080 to:192.168.88.253:3128
0 0 DNAT tcp -- enp2s0 * 0.0.0.0/0 !192.168.88.0/24 multiport dports 443 to:192.168.88.253:3129
Chain INPUT (policy ACCEPT 91 packets, 8752 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 10 packets, 555 bytes)
pkts bytes target prot opt in out source destination
Chain POSTROUTING (policy ACCEPT 6 packets, 360 bytes)
pkts bytes target prot opt in out source destination
4 195 MASQUERADE all -- * enp2s0 192.168.88.0/24 0.0.0.0/0
Добавлено: 10 Января 2018, 17:04:31
в общем не пускает
доступ запрещен
Добавлено: 11 Января 2018, 11:15:28
вернул конфиг скуида к предыдущему варианту
получил
ERR_TUNNEL_CONNECTION_FAILED в браузере с машины с прописанной проксей.
Dilber MC Theme by HarzeM