Страница 1 из 2
Web proxy
Добавлено: 17 дек 2013, 22:56
paidion
Господа!!!
Помогите разобраться. Включил прокси. Настроил редирект порта 80 на 8080. Но почему то при включеном редиректе и включеном прокси сервера сайты не открываются возвращается ошибка, что сайт не может быть открыт по истечению времени.
В чем проблема или ошибка???
Re: Web proxy
Добавлено: 18 дек 2013, 10:52
podarok66
paidion писал(а):В чем проблема или ошибка???
Главная ошибка из тех, что нам видно - стартовый топик. Никто не знает что и как Вы настроили. Угадывать вряд ли кто будет. Выкладывайте Ваши настройки прокси, пробросов и редиректов, иначе наша техподдержка не поймет ничего из поста.
Re: Web proxy
Добавлено: 18 дек 2013, 13:00
paidion
podarok66 писал(а):paidion писал(а):В чем проблема или ошибка???
Главная ошибка из тех, что нам видно - стартовый топик. Никто не знает что и как Вы настроили. Угадывать вряд ли кто будет. Выкладывайте Ваши настройки прокси, пробросов и редиректов, иначе наша техподдержка не поймет ничего из поста.
1. Настройка правил фильтрации фаервола:
Код: Выделить всё
[admin@SKIN_TECH] > ip firewall filter print
Flags: X - disabled, I - invalid, D - dynamic
0 chain=input action=drop protocol=tcp src-address=!192.168.1.0/24
dst-port=8291
1 X chain=input action=drop connection-state=invalid
2 X chain=forward action=drop connection-state=invalid
3 ;;;
chain=forward action=drop protocol=icmp src-address-list=""
4 chain=forward action=accept connection-state=established
5 chain=forward action=accept connection-state=related
6 chain=forward action=accept src-address=192.168.1.0/24 in-interface=ether>
7 X chain=forward action=drop
8 X chain=forward action=accept protocol=tcp dst-address=37.157.21.122
in-interface=internet+Skin dst-port=81
9 chain=forward action=accept protocol=udp
10 chain=forward action=accept protocol=tcp src-address=192.168.1.200
dst-port=25
11 X chain=forward action=accept protocol=tcp src-address=192.168.1.200
dst-port=81
12 X chain=input action=drop protocol=tcp src-address=!192.168.1.0/24
dst-port=80
13 X chain=input action=accept in-interface=pptp-in1
14 ;;; VPN
chain=input action=accept protocol=tcp dst-port=1723
15 ;;; VPN
chain=input action=accept protocol=gre
16 chain=input action=drop in-interface=ether1
17 chain=input action=drop protocol=tcp src-address=0.0.0.0/0
in-interface=ether1 dst-port=8080
2. Правила проброса:
Код: Выделить всё
[admin@SKIN_TECH] > ip firewall nat print
Flags: X - disabled, I - invalid, D - dynamic
0 X chain=dstnat action=redirect to-ports=8080 protocol=tcp dst-port=80
1 chain=dstnat action=dst-nat to-addresses=192.168.1.200 to-ports=80
protocol=tcp dst-address=37.157.21.122 dst-port=81
2 chain=dstnat action=dst-nat to-addresses=192.168.1.200 to-ports=4900
protocol=tcp dst-address=37.157.21.122 dst-port=4901
3 chain=dstnat action=dst-nat to-addresses=192.168.1.126 to-ports=21
protocol=tcp dst-address=37.157.21.122 dst-port=8021
4 chain=dstnat action=dst-nat to-addresses=192.168.1.126 to-ports=20
protocol=tcp dst-address=37.157.21.122 dst-port=8020
5 chain=dstnat action=dst-nat to-addresses=192.168.1.131 to-ports=4899
protocol=tcp dst-address=37.157.21.122 dst-port=4900
6 chain=srcnat action=masquerade out-interface=ether1
3. Настройка прокси:
Код: Выделить всё
[admin@SKIN_TECH] > ip proxy print
enabled: no
src-address: ::
port: 8080
parent-proxy: ::
parent-proxy-port: 0
cache-administrator: webmaster
max-cache-size: unlimited
max-cache-object-size: 2048KiB
cache-on-disk: yes
max-client-connections: 2000
max-server-connections: 2000
max-fresh-time: 3d
serialize-connections: no
always-from-cache: no
cache-hit-dscp: 4
cache-drive: system
прокси пока выключен потому как через него сайты не открываются.
Re: Web proxy
Добавлено: 18 дек 2013, 22:53
simpl3x
могу предположить что:
Код: Выделить всё
16 chain=input action=drop in-interface=ether1
17 chain=input action=drop protocol=tcp src-address=0.0.0.0/0
in-interface=ether1 dst-port=8080
засада где то тут.
вопервых 17 правило уже не должно работать, так как 16 является обобщением. а во вторых, получается что вы прибили весь входящий трафик к микротику (forward - когда трафик идём мимо прокси не в счёт), как ему получать интырнет?
сделайте выше 16 правила что то вроде:
Код: Выделить всё
chain=input action=accept connection-state=established
chain=input action=accept connection-state=related
Re: Web proxy
Добавлено: 18 дек 2013, 23:57
paidion
Спасибо!!! Помогло. Точно 16 правило все рубило.
Re: Web proxy
Добавлено: 19 дек 2013, 11:16
X509
а возможно ли в 2011uas-2hnd разрешить доступ к сайтам некоторым сотрудникам, а всем остальным запретить? то есть, запретить список некоторых сайтов всем кроме например начальства
Re: Web proxy
Добавлено: 19 дек 2013, 11:41
podarok66
X509 писал(а):а возможно ли в 2011uas-2hnd разрешить доступ к сайтам некоторым сотрудникам, а всем остальным запретить? то есть, запретить список некоторых сайтов всем кроме например начальства
Ищем темы по прокси здесь на форуме. Всё уже решалось и не раз. Учтите, что нагрузка на роутер сильно возрастет.
Re: Web proxy
Добавлено: 19 дек 2013, 14:12
victoryus
podarok66 писал(а):X509 писал(а):а возможно ли в 2011uas-2hnd разрешить доступ к сайтам некоторым сотрудникам, а всем остальным запретить? то есть, запретить список некоторых сайтов всем кроме например начальства
Ищем темы по прокси здесь на форуме. Всё уже решалось и не раз. Учтите, что нагрузка на роутер сильно возрастет.
А можно по конкретней с ссылкой где решался вопрос с доступом к сайтам некоторым сотрудникам, в поиске искал "прокси и web proxy" одни и те же темы. Заранее благодарен.
Re: Web proxy
Добавлено: 19 дек 2013, 15:07
podarok66
Ой, прошу простить, тут не через прокси, я ошибся
. Там правило типа такого:
Код: Выделить всё
ip firewall filter add chain=forward content="Host: vk.com" src-address-list=Zapret action=reject reject-with=tcp-reset
Но я предупреждаю, нагрузка на маршрутизатор далеко не детская. 5-6 правил просто могут нагрузить процессор полностью.
Re: Web proxy
Добавлено: 19 дек 2013, 15:15
victoryus
podarok66 писал(а):Ой, прошу простить, тут не через прокси, я ошибся
. Там правило типа такого:
Код: Выделить всё
ip firewall filter add chain=forward content="Host: vk.com" src-address-list=Zapret action=reject reject-with=tcp-reset
Но я предупреждаю, нагрузка на маршрутизатор далеко не детская. 5-6 правил просто могут нагрузить процессор полностью.
Ну а как получается , доступ то закрыт через web proxy на опр. ресурсы а обойти никак, только с загрузкой процессора ? Может есть какой то метод что позволяет определенному IP (компьютер админа) в сети обходить web proxy ?