- ベストアンサー
iptablesとsquid
local networkには、サーバーAとサーバーBがあります。 サーバーBではsquidが動いています（ポート：3128） IPは外部へ公開していません。 外部からのプロキシへの通信はサーバーAに届きます。 届いた外部の通信をiptablesでローカルネットワークでサーバーBへ転送したいと考えています。 これは可能でしょうか。 方法をご教授いただければ助かります。 なお、iptablesではなく、他の方法でもＯＫです。 宜しくお願い致します。
- みんなの回答 （5）
- 専門家の回答
質問者が選んだベストアンサー
その他の回答 (4)
- superside0
- ベストアンサー率64% (463/719)
> 転送先からレスポンスが戻ってきた際に、転送元への転送の設定は要りますか。 ネットワーク構成が不明ですので、なんとも。 転送先（この場合サーバーB)と転送元（サーバーA)は同一セグメントですか？ それとも サーバーAとサーバーBの間にルータ相当のものはありますか？ それぞれのデフォルトゲートウェイは同じですか？
お礼
4週間は経過しまして、質問は締め切りとなりました。 この問題はまだ解決できていませんが、今までご回答を頂きまして、ありがとうございました。 ベストアンサーにします。
補足
サーバーAとサーバーＢは同じセグメントです. AとBの間に、ルータはありません。 デフォルトゲートウェイは同じです。
- superside0
- ベストアンサー率64% (463/719)
応答おそくなりました。 これまでのご説明された内容を読んでも、いまだにネットワークの構成はっきりしませんが、 もしかして、サーバーB側でアクセス元のIP制限をしているのかもしれませんね。 これを調べてみては如何でしょう。 それ以外にも 外部→内部があるということは、L3スイッチまたはルータがあるっていうことでしょうから そこでのポート転送やIP制限 またはDMZ設定内容 また、サーバーAでのFirewall設定やルーティングや サーバーBでのFirewall設定、squidでのACL 等々が絡んできますから、現状を整理し直すことをお薦めします。
補足
回答ありがとうございます。 他に制限されていることろはないと思いますが、調べてみます。 ちなみに、初歩的な質問ですみませんが、 iptableのPREROUTINGで転送元から転送先へ転送していますが、 転送先からレスポンスが戻ってきた際に、転送元への転送の設定は要りますか。 よろしくお願いいたします
- superside0
- ベストアンサー率64% (463/719)
>＞サーバーBをネットワーク設定(IPアドレスやデフォルトゲートウェイやDNS設定） >＞をすればよいだけです。 >すみませんが、ネットワークの設定についてこちらは全然詳しくないです。 >もし簡単にできそうであれば、教えていただけますか。 上記は、LAN内からサーバーBのProxyサービスを使えればよいだけの場合の話で、 外部へProxyを公開するための話ではありません。 Inbound方向のポート転送をどんな機器でやってるか 全ポートを無条件にサーバーAに向けているのか・それともWWWポートだけなのか サーバーAのOSのディストリビューションやバージョン サーバーBのアクセス制限(IP等） 等々のネットワーク構成の詳細が不明確ですので、 そのあたりを明確にしないと無理です。 なお、Proxyの外部公開なんてのは、かなりリスキーな行為です。 クライアント側のIP制限またはクライアント証明または認証を行わずに 無条件に公開すると、 IPを隠ぺいするために悪用されることになります。 ネットワークには詳しくないとのことですが、このあたりはネットワーク管理者に 相談して、セキュリティーポリシーとして違反していないかをきちんと確認してもらってからのほうがよいです。
補足
返事が遅れましてすみません。 うちのシステムには厳しいIP制限があり、 サーバーBからの接続しか許可していません。 サーバーBのSquidにBasic認証があり、契約したお客さんだけが利用できるようになっています。 この度、システムの新機能追加で外部会社への委託が検討されていますが、サーバーＢのＩＰは知られたくないです。 ※お客さんが使用しているBasic認証のアカウントは自由に変更できないです。 ということで、サーバーＡを立ち上げ、サーバーＢにリクエストを転送することになりました。 ちなみに、サーバーAのIPも許可すればいいということですが、 既存システムの変更はＮＧになっています。 システムの詳細： システムはAWSのEC2にあります。 サーバーＡとサーバーＢはCentos6です。 サーバーＢのIP制限はないです。Basic認証のみ。 転送するのはHTTPとHTTPS通信だけです。 宜しくお願い致します。
- superside0
- ベストアンサー率64% (463/719)
構成がよくわかりませんが (1) Internet ｜ 【BBルーター】等 （※ OUT→INは特定ポートはサーバーAへ転送） ｜ ｜-サーバーA（公開Web用？） ｜-サーバーB(squidでProxy) ｜-PC etc (2) Internet ｜ 【サーバーAでルータ兼用】 （iptablesでIN→OUTはIPマスカレード / OUT→INはDROP) ｜ ｜-サーバーB(squid) ｜-PC etc のどちらでしょう？ また、やりたいことは、Proxy(squid)の外部公開ですか？ それとも、サーバーBのsquidが外部に通信してWeb代理アクセスできればよいだけですか？ 後者なら 「届いた外部の通信をiptablesでローカルネットワークでサーバーBへ転送したいと考えています。」 のような、OUT→INのポート転送をする必要はありません。 ローカルのPCが外部のWebサーバーへアクセスできるのと同じように サーバーBをネットワーク設定(IPアドレスやデフォルトゲートウェイやDNS設定） をすればよいだけです。
補足
ご回答ありがとうございます。 実現したいのは、プロキシサーバーBの公開ですが、 サーバーBのIPは社内の事情で公開できないです。 なお、サーバーAにSquidのインストールもできないです。 ＞ローカルのPCが外部のWebサーバーへアクセスできるのと同じように ＞サーバーBをネットワーク設定(IPアドレスやデフォルトゲートウェイやDNS設定） ＞をすればよいだけです。 すみませんが、ネットワークの設定についてこちらは全然詳しくないです。 もし簡単にできそうであれば、教えていただけますか。
補足
ありがとうございます。 試してみましたが、うまくいけていないです。 sysctl -w net.ipv4.ip_forward=1 sysctl net.ipv4.ip_forward # net.ipv4.ip_forward = 1 (1)初期状態： iptables -L =============================== Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere ACCEPT udp -- anywhere anywhere ACCEPT icmp -- anywhere anywhere ACCEPT all -- anywhere anywhere Chain FORWARD (policy ACCEPT) target prot opt source destination REJECT all -- anywhere anywhere reject-with icmp-host-prohibited Chain OUTPUT (policy ACCEPT) target prot opt source destination =============================== iptables -t nat -L =============================== Chain PREROUTING (policy ACCEPT) target prot opt source destination Chain POSTROUTING (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination =============================== (2)設定 iptables -t nat -A PREROUTING -d Aの外部IP -p tcp --dport 20002 -j DNAT --to-destination Bの内部IP:BのSquidのport iptables -t nat -A PREROUTING -d Aの内部IP -p tcp --dport 20002 -j DNAT --to-destination Bの内部IP:BのSquidのport iptables -t nat -A PREROUTING -d Aの外部IP -p udp --dport 20002 -j DNAT --to-destination Bの内部IP:BのSquidのport iptables -t nat -A PREROUTING -d Aの内部IP -p udp --dport 20002 -j DNAT --to-destination Bの内部IP:BのSquidのport ※外部IPと内部IPのどちらがいいかわからないので、とりあえず全部設定しました。udpも。 (3)結果 iptables -t nat -L =============================== Chain PREROUTING (policy ACCEPT) target prot opt source destination DNAT tcp -- anywhere xxxxxxxxxxxxxxxxx tcp dpt:commtact-http to:Bの内部IP:BのSquidのport DNAT tcp -- anywhere xxxxxxxxxxxxxxxxx tcp dpt:commtact-http to:Bの内部IP:BのSquidのport DNAT udp -- anywhere xxxxxxxxxxxxxxxxx udp dpt:commtact-http to:Bの内部IP:BのSquidのport DNAT udp -- anywhere xxxxxxxxxxxxxxxxx udp dpt:commtact-http to:Bの内部IP:BのSquidのport Chain POSTROUTING (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination =============================== (4)試し 別のサーバーで~/.wgetrcにproxyを設定して、wgetで試したら、レスポンスが戻ってこないです。 サーバーAでservice iptables restartでリセットして、 再度wgetで試したら、すぐに「failed: Connection refused.」が戻ってきました。 つまり、サーバーAのiptablesの設定は有効になっていますが、まだなんらかの設定が足りていないようです。 宜しくお願い致します。