iptables squid transparent

[habbom]

Hi,

ich bastel hier gerade mal wieder an meinem iptables-script rum
Ich hatte irgendwann mal "Rusties schnelle Anleitung"
abgetipselt, mit logging und transparentem Squid erweitert, funzt auch..

..nur jetzt möchte ich das script erweitern , bzw. neu aufbauen, u.a. mit ipsec

auf meinem ISDN-Router läuft nur noch Squid und ssh (für Wartung von innen)
auf meinem zweiten Server läuft samba, sendmail(mit fetch und proc), ein forwardonly named, apache als doc-host und ftp, außerdem nutz ich ihn als loghost
meine clients holen teilweise mail per pop direkt im I-Net ab

#für den tranparenten proxy
iptables -A PREROUTING -t nat -i $IF_LOC -p tcp --dport 80 -j REDIRECT --to-port 3128

hier ist momentan das Prob, mir ist nicht ganz klar, was ich erlauben muß (mein default ist auf drop gesetzt)

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

das heißt doch ich muß den Zugriff auf mein internes Interface (IF_LOC) port 80 erlauben oder ?

...und wie ist das mit den nameserver, einmal holt sich doch der router die nameserver-addy bei der einwahl, aber es gibt doch auch anfragen vom internen named nach außen und somit auch antworten, wie ich in einem anderem thread gelesen habe

das mit dem Mailen funzte, leider ist mein script noch ziemlich konfus, deshalb erspar ich mir mal das posten:)

..also mein Hauptproblem ist squid und die Namensauflösung

hat jemand eine Idee ?

Gruß
Michael

[habbom]

Hi,
die Namensauflösung hab ich jetzt mit der FORWARD Regel hinbekommen.

..es lag unter anderem an der falschen Reihenfolge in meinem Script.

..da kauf ich mir extra Das Firewall-Buch und durch Zufall finde ich bei google ein errata, jetzt erklären sich zumindest einige Dinge, die bei mir nicht funzten.

Mein Problem ist Momentan, daß ich jede Regel an ein Interface binden möchte, was IMHO sinnvoller ist, als generell den INPUT oder Forward zu erlauben.

Hat denn niemand eine ähnliche Konstellation wie ich am Laufen ?
Auf dem Router Squid und auf dem internen Server alle anderen Dienste.

was ist daran falsch ?
NS=(212.6.xxx.xxx 192.168.2.5 )
# DNS
foreach ns ( $NS )
$IPTABLES -A OUTPUT -o $EXT -m state --state NEW \
-p UDP --sport $p_high -d $ns --dport 53 \
-j ACCEPT
$IPTABLES -A OUTPUT -o $EXT -m state --state NEW \
-p TCP --sport $p_high -d $ns --dport 53 \
-j ACCEPT
end

line 305: syntax error near unexpected token `(`
line 305: foreach ns ( $NS )

habs gefunden liegt an der shell /sh oder tcsh

so langsam geb ich auf , jetzt muß ich erst programmieren lernen


Gruß
Michael:rolleyes: