iptable+SQUID 透明代理验证mac地址上网.

最新推荐文章于 2022-06-28 19:43:45 发布
最新推荐文章于 2022-06-28 19:43:45 发布
阅读量3.1k 收藏 1
点赞数
文章标签： output input access tcp table redirect
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/LUES/article/details/321996
版权

eth0是我外网网卡，eth1是我内网网卡
1.建立静态IP/MAC捆绑
方法：建立/etc/ethers文件，其中包含正确的IP/MAC对应关系，格式如下：

[root@test2 root]# more /etc/ethers
192.168.10.18   00:10:DC:6B:C6:31
192.168.10.111  00:10:5C:C0:2B:C1
192.168.10.13   4C:00:10:A3:38:5D
192.168.10.113  00:E0:4C:00:0C:2B
192.168.10.166  00:10:DC:61:B4:78
192.168.10.10   78:06:18:25:88:40
192.168.10.173  00:0F:1F:4D:EC:99
192.168.10.212  00:10:DC:6A:C0:C0
192.168.10.23   00:07:95:D8:C6:39

然后在/etc/rc.d/rc.local最后添加：arp -f即可实现IP/MAC捆绑

2.编写假包上网脚本
[root@test2 root]# cat /etc/xxx
#!/bin/bash
echo "1" > /proc/sys/net/ipv4/ip_forward
INET_IFACE="eth0"
INET_IP="210.75.18.36"
LAN_IFACE="eth1"
LAN_IP="192.168.10.2"
LAN_IP_RANGE="192.168.10.0/24"
IPT="/sbin/iptables"
/sbin/depmod -a
/sbin/modprobe ip_tables
/sbin/modprobe iptable_nat
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ipt_mac
/sbin/modprobe ipt_state
/sbin/modprobe ipt_LOG
for TABLE in filter nat mangle ; do
$IPT -t $TABLE -F
$IPT -t $TABLE -X
done
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
$IPT -t nat -P PREROUTING ACCEPT
$IPT -t nat -P POSTROUTING ACCEPT
$IPT -t nat -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A OUTPUT -o eth1 -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -s 192.168.10.18 -m mac --mac-source 00:10:DC:6B:C6:31 -j ACCEPT       #MAC、IP地址绑定校验
iptables -A FORWARD -s 192.168.10.111 -m mac --mac-source 00:10:5C:C0:2B:C1 -j ACCEPT
iptables -A FORWARD -s 192.168.10.13 -m mac --mac-source 4C:00:10:A3:38:5D -j ACCEPT
iptables -A FORWARD -s 192.168.10.113 -m mac --mac-source 00:E0:4C:00:0C:2B -j ACCEPT
iptables -A FORWARD -s 192.168.10.166 -m mac --mac-source 00:10:DC:61:B4:78 -j ACCEPT
iptables -A FORWARD -s 192.168.10.10 -m mac --mac-source 78:06:18:25:88:40 -j ACCEPT
iptables -A FORWARD -s 192.168.10.173 -m mac --mac-source 00:0F:1F:4D:EC:99 -j ACCEPT
iptables -A FORWARD -s 192.168.10.212 -m mac --mac-source 00:10:DC:6A:C0:C0 -j ACCEPT
iptables -A FORWARD -s 192.168.10.23 -m mac --mac-source 00:07:95:D8:C6:39 -j ACCEPT
iptables -A FORWARD -s 192.168.10.52 -m mac --mac-source 00:02:A5:2E:B9:56 -j ACCEPT
/sbin/iptables -A FORWARD -p tcp --dport 6881:6890 -j DROP                                 #限制BT下载
/sbin/iptables -A INPUT -p tcp --dport 6881:6890 -j DROP
/sbin/iptables -A OUTPUT -p tcp --dport 6881:6890 -j DROP
iptables -A FORWARD -p tcp -j LOG --log-level info --log-prefix "INPUT packets"            #加入iptables LOG信息,注意，要启用
if [ "$INET_IFACE" = ppp0 ] ; then                                                         iptables LOG需要在/etc/syslog.conf
$IPT -t nat -A POSTROUTING -o $INET_IFACE -j MASQUERADE                                    中加入kern.=info /var/log/iptables
else                                                                                       并重启syslog服务
$IPT -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to $INET_IP
fi


3. 启动SQUID

修改/etc/squid/squid.conf配置文件
将53行的# http_port 3128修改为http_port 3128
在1975行加入visible_hostname xxx     #也可以写机器名
修改cache_mem 8 MB 为 cache_mem 170 MB  #在480行，大约使用内存的1/3
修改cache_dir ufs /var/spool/squid 100 16 256 为 cache_dir ufs /var/spool/squid 512 24 256 #在679行，512代表缓存空间容量，24                                                                                       代表第一层目录数，256代表第二层目录数

在1699行加入acl myclient src 192.168.10.0/24        #定义ip网段代码
在1760行加入http_access allow myclient            #在http_access allow localhost http_access deny all 两行配置之前加入该配置

将错误信息页面链接到简体中文
[root@test2 squid]# cd /etc/squid/
[root@test2 squid]# rm -f errors
[root@test2 squid]# ln -s /usr/share/squid/errors/Simplify_Chinese/ errors
[root@test2 squid]# ll -d errors
lrwxrwxrwx    1 root     root           41  3月 17 10:11 errors -> /usr/share/squid/errors/Simplify_Chinese/
[root@test2 squid]#

初始化和启动squid
[root@test2 squid]# squid -z                                 #创建squid缓存目录
2005/03/17 10:27:44| Creating Swap Directories
[root@test2 squid]# service squid start                      #启动squid
启动 squid：.                                              [  确定  ] 

4.设置透明代理
编辑/etc/squid/squid.conf
在2067行添加以下配置
httpd_accel_host virtual 
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on

重新启动squid
[root@test2 squid]# service squid restart
停止 squid：..                                             [  确定  ]
启动 squid：.                                              [  确定  ]

修改/etc/xxx iptables脚本，加入
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-ports 3128

[root@test2 squid]# cat /etc/xxx
#!/bin/bash
echo "1" > /proc/sys/net/ipv4/ip_forward
INET_IFACE="eth0"
INET_IP="210.75.18.36"
LAN_IFACE="eth1"
LAN_IP="192.168.10.2"
LAN_IP_RANGE="192.168.10.0/24"
IPT="/sbin/iptables"
/sbin/depmod -a
/sbin/modprobe ip_tables
/sbin/modprobe iptable_nat
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ipt_mac
/sbin/modprobe ipt_state
/sbin/modprobe ipt_LOG
for TABLE in filter nat mangle ; do
$IPT -t $TABLE -F
$IPT -t $TABLE -X
done
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
$IPT -t nat -P PREROUTING ACCEPT
$IPT -t nat -P POSTROUTING ACCEPT
$IPT -t nat -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A OUTPUT -o eth1 -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -s 192.168.10.18 -m mac --mac-source 00:10:DC:6B:C6:31 -j ACCEPT
iptables -A FORWARD -s 192.168.10.111 -m mac --mac-source 00:10:5C:C0:2B:C1 -j ACCEPT
iptables -A FORWARD -s 192.168.10.13 -m mac --mac-source 4C:00:10:A3:38:5D -j ACCEPT
iptables -A FORWARD -s 192.168.10.113 -m mac --mac-source 00:E0:4C:00:0C:2B -j ACCEPT
iptables -A FORWARD -s 192.168.10.166 -m mac --mac-source 00:10:DC:61:B4:78 -j ACCEPT
iptables -A FORWARD -s 192.168.10.10 -m mac --mac-source 78:06:18:25:88:40 -j ACCEPT
iptables -A FORWARD -s 192.168.10.173 -m mac --mac-source 00:0F:1F:4D:EC:99 -j ACCEPT
iptables -A FORWARD -s 192.168.10.212 -m mac --mac-source 00:10:DC:6A:C0:C0 -j ACCEPT
iptables -A FORWARD -s 192.168.10.23 -m mac --mac-source 00:07:95:D8:C6:39 -j ACCEPT
iptables -A FORWARD -s 192.168.10.52 -m mac --mac-source 00:02:A5:2E:B9:56 -j ACCEPT
/sbin/iptables -A FORWARD -p tcp --dport 6881:6890 -j DROP
/sbin/iptables -A INPUT -p tcp --dport 6881:6890 -j DROP
/sbin/iptables -A OUTPUT -p tcp --dport 6881:6890 -j DROP
iptables -A FORWARD -p tcp -j LOG --log-level info --log-prefix "INPUT packets"
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-ports 3128
if [ "$INET_IFACE" = ppp0 ] ; then
$IPT -t nat -A POSTROUTING -o $INET_IFACE -j MASQUERADE
else
$IPT -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to $INET_IP
fi

再执行/etc/xxx即可

 5.限制下载BT文件
修改/etc/squid/squid.conf
在444行增加acl BT urlpath_regex -i /.torrent$   #如果还需禁止下载mp3等等，可以设定为acl BT urlpath_regex -i /.torrent$ /.mp3$
在1762行增加http_access deny BT              #注意：必须放在http_access allow myclients http_access allow localhost
                                                  http_access deny all 三句配置之前
重新启动squid
[root@test2 squid]# service squid restart
停止 squid：.                                              [  确定  ]
启动 squid：.                                              [  确定  ]

 
 

参考：http://bbs.chinaunix.net/forum/viewtopic.php?t=471650&show_type=&postdays=0&postorder=asc&start=10&sid=70602430d8ec2299a4e6f56d81fa26de

      http://iptables-tutorial.frozentux.net/cn/iptables-tutorial-cn-1.1.19.html
      http://www.linuxeden.com/edu/doctext.php?docid=3200
附1：检查模块是否加载的小程序

#!/bin/sh
KVERSION=`uname -r`
lsmod | grep -q "ipt_mac"
if [ $? = "0" ];then
   echo "there exist ipt_mod in the kernel,U have insert it to the kernel"
else
   echo "there isn't a ipt_mod in the kernel"
   echo "-----=====looking for the ipt_mac kernel=====-----"
   cd /lib/modules/$KVERSION
   cat modules.dep | grep -q "ipt_mac"
   if [ $? = "0" ];then
      echo "ok ,got it..."
      modprobe ipt_mac
      if [ $? = "0" ];then
         echo "-----=====Load ipt_mac modules success=====-----"
      else
         echo "-----=====Load ipt_mac modules failed=====-----"  
      fi
   else
      echo "there isn't ipt_mac modules.Please compile the kernel and make the ipt_mac in the kernel or make it  module"
   fi
fi

附注2：封杀指定IP上网或者QQ
NAT 要用FORWARD规则封杀

加上-s IP

/sbin/iptables -A FORWARD -p tcp -d tcpconn.tencent.com --dport 80 -j DROP
/sbin/iptables -A FORWARD -p tcp -d tcpconn.tencent.com --dport 443 -j DROP
/sbin/iptables -A FORWARD -p tcp -d tcpconn2.tencent.com -j DROP
/sbin/iptables -A FORWARD -i eth0 -p udp --dport 8000 -j DROP

附注3：nat后的msn message 和netmeeting等应用解决
http://www.chinalinuxpub.com/vbbforum/showthread.php?s=&threadid=42745

 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 


LUES
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
iptable+完整版.pdf
12-24
iptable+完整版,江iptable相关的东西
iptables+squid透明代理+防火墙终极配置
weixin_33704591的博客
03-27 168
==================================================man.chinaunix.net，左下角有iptables的man，仔细看看。系统：CentOS4.2，三块网卡，两个内网，一个外网。双至强，2GHz，2GB内存。服务器主要开了squid，sshd，其他的一律闭掉了。eth0：192.168.100.1eth1：192.16...
编译安装带有mac验证的squid代理服务器
gchendev
12-12 422
  由于Squid的RPM发布版通常没有启用这一特性，这种版本使用MAC匹配会提示错误的acl类型，所以我们必须手工编译源代码。下载squid，http://www.squid-cache-org   ./configure --prefix=/data/squid/app --enable-arp-acl --enable-gnuregex \ --disable-carp --e...
iptable+防火墙.doc
04-11
iptable的原理和相关的配置及详细配置的过程，还有测试
squid代理服务器、iptables防火墙（安全）的设置和各自的功能.wps
10-23
squid代理服务器、iptables防火墙（安全）的设置和各自的功能
LINUX iptable应用手册.doc
02-23
LINUX iptable应用手册
linux防火墙iptable命令.pdf
11-06
linux防火墙iptable命令.pdf
Mellow-0.1.17.dmg 基于规则的全局透明代理客户端。
03-30
Mellow是适用于Windows，macOS和Linux的基于规则的全局透明代理客户端。 Mellow 是一个透明代理客户端，如果不理解，那说得实际点，就是不仅可以代理浏览器的请求，还可以代理微信、QQ、Telegram 客户端、Instagram 客户端、网易云音乐、各种命令行工具、Docker 容器、虚拟机、WSL、各种 IDE、各种游戏等等的网络请求，不需要任何额外的代理设置。
【Mitmproxy】Mac + Python + mitmproxy透明代理配置，拦截所有网络请求
青禾tester
06-28 2917
Mac 配置透明代理 & mitmproxy拦截请求不全，丢失请求 mitmproxy has crashed! failure: filenotfounderror(2, 'no such file or directory')
iptables：tproxy做透明代理
热门推荐
u011431128的博客
08-22 2万+
透明代理：客户端向真实服务器发起连接，代理机冒充服务器与客户端建立连接，并以客户端ip与真实服务器建立连接进行代理转发。因此对于客户端与服务器来说，代理机都是透明的。
（转)iptables：tproxy做透明代理
zyb418的专栏
12-01 1564
https://blog.csdn.net/u011431128/article/details/77481678 什么是透明代理 客户端向真实服务器发起连接，代理机冒充服务器与客户端建立连接，并以客户端ip与真实服务器建立连接进行代理转发。因此对于客户端与服务器来说，代理机都是透明的。 如何建立透明代理 本地socket捕获数据包 nat方式 iptables -t nat -N MY_T...
iptables NAT+squid实现透明代理
weixin_34353714的博客
10-04 166
iptables 设置（NAT和ip限制，80转发,需要有ip文件ip2.txt）： intra="192.168.0.0/24"myip="219.217.235.73"myDNS="202.118.224.101:53"echo 1 > /proc/sys/net/ipv4/ip_forward#清空规则/sbin/iptables -F /sbin/iptables -t nat -...
Linux透明代理 —— 使用iptables实现TCP透明代理（nat方式，一个客户端对应一个服务器）
杰儿__er 的博客
02-22 2万+
目录： 1、什么是透明代理？ 2、透明代理的作用？ 2.1 TCP代理服务器可以隐藏背后真正TCP服务器 2.2 保护TCP服务器免受应用层以下级别的协议栈攻击 2.3 TCP转址机 3、socket透明代理的实现原理？ 4、在实现TCP代理服务器时，遵循以下几点原则 5、应用背景 6、关键技术？ 7、如何建立透明代理？ 7.1 Tcp透明代理实现的中心思想 7.2 搭建环...
透明代理解决方案(一)
siri的世界
02-20 2123
获取报文的源地址和端口 最近处理 http/https 转发时遇到一个问题，当
成功使用squid＋iptables配置透明代理 (zt)
tianyu的专栏 - Linux site:blog.csdn.net/wishfly
03-06 6962
硬件HP DL145:Opteron×2，AMD8111/8131芯片组，1GB内存，Redhat EL Advanced Server 4 for i386。 首先根据从网上找到的资料配置： squid和iptable的具体安装我在此不做太多说明，一般看看它们的说明即可。我公司用一台机器作为代理上网。eth0连接外部网，eth1连接内部网。下面把我的配置写下来。 iptable的配置，在/etc
ubuntu iptable 添加别的地址
最新发布
07-14
要在Ubuntu上使用iptables添加其他地址，您可以按照以下步骤操作： 1. 打开终端并以root用户身份登录。 2. 使用以下命令查看当前的iptables规则： ``` iptables -L ``` 3. 使用以下命令添加新的IP地址到iptables规则中（假设要添加的IP地址为1.2.3.4）： ``` iptables -A INPUT -s 1.2.3.4 -j ACCEPT ``` 这将允许来自IP地址1.2.3.4的所有入站连接。 4. 如果您还想限制特定端口上的连接，可以使用以下命令（假设您要允许的端口为80）： ``` iptables -A INPUT -s 1.2.3.4 -p tcp --dport 80 -j ACCEPT ``` 这将允许来自IP地址1.2.3.4的所有TCP 80端口的入站连接。 5. 最后，使用以下命令保存iptables规则以便重启后生效： ``` iptables-save > /etc/iptables/rules.v4 ``` 这将将当前iptables规则保存到`/etc/iptables/rules.v4`文件中。 请注意，这只是一个简单的示例，具体的iptables配置取决于您的需求和网络环境。建议在进行任何更改之前备份您的iptables规则，并确保清楚了解它们的影响。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值