Temos um servidor proxy em nossa rede interna e queremos redirecionar todas as solicitações de http da Internet para um servidor da Web na rede local. Será como um outdoor da rede que diz "Nenhuma conexão direta está disponível. Configure seu proxy etc." Por exemplo:
Eu adicionei uma regra NAT manual simples para endereçar a tradução no firewall do Checkpoint, mas ela simplesmente não funciona. Aqui está a minha regra de tradução de endereços
Source Destination Service T.Source T.Destination T.Service
MY_PC A_GOOGLE_IP ALL ORIGINAL INT_WEB_SRV ORIGINAL
Então quando eu pingar A_GOOGLE_IP , as respostas vêm de INT_WEB_SRV , como eu esperava. No entanto, quando tento conectar A_GOOGLE_IP do navegador ( link ), nenhuma resposta é proveniente de SYN_SENT e cai no tempo limite. Quando olho para o log do firewall de INT_WEB_SRV , vejo que as solicitações de conexão de entrada de MY_PC são aceitas e NÃO nega. A propósito, não há problema em ver INT_WEB_SRV ( link ) no navegador.
Meu entendimento é que minha regra NAT no ponto de verificação NGX R60 não inclui pacotes de retorno. Eu definitivamente preciso de ajuda.
Ao se deparar com problemas de NAT, eu sempre começo abrindo algumas sessões SSH e fazendo tcpdumps em interfaces internas e externas.
algo como:
tcpdump -i eth0 proto ICMP
ou
tcpdump -i eth0 host A_GOOGLE_IP
e assista para ver qual é o endereço IP da Nat. Isso deveria pelo menos te dar um lugar para começar!
O tráfego de retorno no checkpoint deve ser determinado. O tráfego está aparecendo no log do servidor no servidor da Web? Além disso, vale a pena usar o monitor fw, para garantir que o ponto de verificação esteja corretamente posicionado e passar o tráfego para os dois lados, com algo como
fw monitor -e 'accept (src=<host address> and dport=80) or (dst=<host address> and sport=80);'
Isso deve mostrar 4 linhas para cada pacote, incluindo pré e pós endereços NAT.
Se o servidor interno estiver na mesma sub-rede que o cliente, você precisará fazer o SNAT, bem como o DNAT, porque agora, aqui está como funciona.
iptables -t nat -A PREROUTING -i LAN_IFACE -d A_GOOGLE_IP -j DNAT --to-destination INT_WEB_SRV
Se você é SNAT, funciona assim:
iptables -t nat -A PREROUTING -i LAN_IFACE -d A_GOOGLE_IP -j DNAT --to-destination INT_WEB_SRV
iptables -t nat -A POSTROUTING -s LAN_RANGE/mask -d INT_WEB_SRV -j SNAT --to-source ROUTER_IP
No entanto, se tudo o que você quer fazer é forçar o uso de proxy em todos, apenas DNAT todas as conexões HTTP de saída para o servidor proxy (você obterá o que é chamado de proxy transparente) e os clientes não precisarão alterar as configurações em seus computadores.
Tags proxy nat web-server http checkpoint