squid-透明代理
透明（transparent)代理：
先把上面做的正向代理的客户端配置部分去掉（firefox和IE的配置)
第一步：
在squid服务器上打开路由转发功能
# vim /etc/sysctl.conf
net.ipv4.ip_forward = 1 ----因为要使用iptables写NAT表的规则，所以要打开ip_forward
# sysctl -p
第二步:修改配置文件
# vim /etc/squid/squid.conf --在正向代理的配置基础上再加上下面一句的配置
http_port 3128 intercept
# /etc/init.d/squid restart
第三步:配置iptables
client squid 公司路由器
vmnet1 eth0
192.168.1.128 192.168.1.1 172.16.2.9--> 172.16.1.1 公网IP
|
|
|
client网关指向192.168.1.1--
clientDNS指向8.8.8.8 ---------------------------------->外网DNS
# iptables -t nat -A POSTROUTING -p udp --dport 53 -o br0 -j SNAT --to-source 172.16.1.40
# iptables -t nat -A PREROUTING -p tcp --dport 80 -i vmnet1 -j REDIRECT --to-port 3128
# iptables -t nat -A POSTROUTING -p tcp --dport 443 -o br0 -j SNAT --to-source 172.16.1.40
由上面的分析，需要在squid服务器上写上一句snat，让DNS能正常访问外网
# iptables -t nat -A POSTROUTING -p udp --dport 53 -o eth0 -j SNAT --to-source 172.16.2.9
这样的话，内网客户端的DNS OK了，但是http的80端口的访问如果也做一个SNAT的话，如下的规则:
# iptables -t nat -A POSTROUTING -p tcp --dport 80 -o eth0 -j SNAT --to-source 172.16.2.9
那么这就做的是完全的通过iptables来上外网;与squid无关
所以应该换成下面一句规则，把80端口的访问都重定向到3128端口
# iptables -t nat -A PREROUTING -p tcp --dport 80 -i vmnet1 -j REDIRECT --to-port 3128
还有443的端口问题，这里如果也重定向到3128，会出现访问https网站报ssl错误。因为https不能缓存，所以我们这里把443用iptables直接SNAT转发出去（也就是说443与squid无关)
# iptables -t nat -A POSTROUTING -p tcp --dport 443 -o eth0 -j SNAT --to-source 172.16.2.9
第四步:客户端验证
省略
总结:
--上面所做的透明代理其实和上次iptables所讲的几乎一样，唯一不同的就是把80端口的SNAT换成了端口的转换，把它交给3128的squid来上网
--但就上面这样做，并没有看出比使用iptables上网有什么优势
--squid共享上网的优势就在于使用acl访问控制，缓存，资源控制等