IPTables Isenção de DNAT

3

TL; DR - Eu estou procurando uma maneira de enviar todo o meu tráfego externo através de um servidor proxy, mas não enviar todo o meu tráfego interno através de um servidor proxy. Como posso conseguir isso?

Meu objetivo final é encaminhar todo o tráfego externo de um nó phantomjs para um conjunto de servidores proxy na Internet E impedir que todo o tráfego destinado a um dos meus servidores (10.X.1.X) atinja o proxy externo servidores.

Entendo que preciso usar um proxy transparente. Eu tentei usar o HAProxy e o IPFire sem sucesso.

Minha próxima tentativa é usar o IPTables. Estou usando o IPTables v1.4.7 no CentOS 6.8 em uma máquina virtual. O endereço IP é 10.2.1.234. Fui bem-sucedido em configurar o IPTables para arredondar todo o tráfego para os 5 servidores proxy na Internet com as seguintes regras do IPTables:

Table: nat
Chain PREROUTING (policy ACCEPT)
num  target     prot opt source               destination
1    DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0           statistic mode nth every 5 tcp dpt:80 to:104.36.80.240:80
2    DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0           statistic mode nth every 4 tcp dpt:80 to:104.36.81.104:80
3    DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0           statistic mode nth every 3 tcp dpt:80 to:104.36.81.12:80
4    DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0           statistic mode nth every 2 tcp dpt:80 to:104.36.82.153:80
5    DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80 to:104.36.80.241:80

Chain POSTROUTING (policy ACCEPT)
num  target     prot opt source               destination
1    MASQUERADE  all  --  0.0.0.0/0            0.0.0.0/0

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination

Table: filter
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0
3    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
5    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination

Eu configurei o seguinte em /etc/sysctl.conf

# Controls IP packet forwarding
net.ipv4.ip_forward = 1

/ etc / sysconfig / iptables-config

# Load additional iptables modules (nat helpers)
#   Default: -none-
# Space separated list of nat helpers (e.g. 'ip_nat_ftp ip_nat_irc'), which
# are loaded after the firewall rules are applied. Options for the helpers are
# stored in /etc/modprobe.conf.
IPTABLES_MODULES=""

# Unload modules on restart and stop
#   Value: yes|no,  default: yes
# This option has to be 'yes' to get to a sane state for a firewall
# restart or stop. Only set to 'no' if there are problems unloading netfilter
# modules.
IPTABLES_MODULES_UNLOAD="yes"

# Save current firewall rules on stop.
#   Value: yes|no,  default: no
# Saves all firewall rules to /etc/sysconfig/iptables if firewall gets stopped
# (e.g. on system shutdown).
IPTABLES_SAVE_ON_STOP="yes"

# Save current firewall rules on restart.
#   Value: yes|no,  default: no
# Saves all firewall rules to /etc/sysconfig/iptables if firewall gets
# restarted.
IPTABLES_SAVE_ON_RESTART="yes"

# Save (and restore) rule and chain counter.
#   Value: yes|no,  default: no
# Save counters for rules and chains to /etc/sysconfig/iptables if
# 'service iptables save' is called or on stop or restart if SAVE_ON_STOP or
# SAVE_ON_RESTART is enabled.
IPTABLES_SAVE_COUNTER="no"

# Numeric status output
#   Value: yes|no,  default: yes
# Print IP addresses and port numbers in numeric format in the status output.
IPTABLES_STATUS_NUMERIC="yes"

# Verbose status output
#   Value: yes|no,  default: yes
# Print info about the number of packets and bytes plus the "input-" and
# "outputdevice" in the status output.
IPTABLES_STATUS_VERBOSE="no"

# Status output with numbered lines
#   Value: yes|no,  default: yes
# Print a counter/number for every rule in the status output.
IPTABLES_STATUS_LINENUMBERS="yes"

# Reload sysctl settings on start and restart
#   Default: -none-
# Space separated list of sysctl items which are to be reloaded on start.
# List items will be matched by fgrep.
#IPTABLES_SYSCTL_LOAD_LIST=".nf_conntrack .bridge-nf"

/ proc / sys / net / ipv4 / ip_forward

1

Meu problema é quando tento dispensar meus endereços locais de serem enviados para os servidores proxy externos. Eu pensei ACCEPT poderia trabalhar e acrescentou o seguinte para a tabela nat PREROUTING:

1    ACCEPT     tcp  --  0.0.0.0/0            10.1.1.0/24

Em seguida, envio o seguinte comando curl da minha área de trabalho, mas isso não aciona essa regra! Isso desencadeia uma das regras do round robin.

curl -v -k -x 10.2.1.234:80 http://10.1.1.228/

Eu tentei coisas parecidas com o DNAT e o FORWARD, mas por alguma razão, o IPTables não está respeitando o endereço de destino. Estou faltando alguma coisa?

    
por MikeSWelch 14.06.2016 / 22:00

0 respostas