squid, iptables, destination

Лор блин испортил текст :(

Надо не так

# Если что-то идет не на первый адрес из спикса — редиректим
# Если что-то идет не на второй адрес из спикса — редиректим
# ...
for ADDR in ${SQUID_EXCLUDE[@]}; do $B -t nat -A PREROUTING -p tcp -i $LAN --dport http ! -d $ADDR -j REDIRECT --to-ports squid_proxy; done

# Если что-то идет на первый адрес из списка — выходим
# Если что-то идет на второй адрес из списка — выходим
# ...
for ADDR in ${SQUID_EXCLUDE[@]}; do $B -t nat -I PREROUTING -p tcp -i $LAN --dport http -d $ADDR -j RETURN; done
# Все, что осталось — редиректим
$B -t nat -A PREROUTING -p tcp -i $LAN --dport http -j REDIRECT --to-ports squid_proxy

Из литературы я бы посоветовал учебник логики ;)

спасибо за помощь, все работает! :) но вот только я все равно не воткнул, почему мой вариант не работает :(

>но вот только я все равно не воткнул, почему мой вариант не работает

Допустим, у тебя первым в списке идет айпишник 127.0.0.1, а клиент обращается по внутреннему. В первом же правиле прописано: редиректить все, что идет не на 127.0.0.1. Ну, клиента и редиректит. А при обращении на 127.0.0.1 сработает второе правило, потому что айпишник там другой. Простая логика.

хорошо. а можно ли как-то все переделать не для ip-адресов, а для ifaces? в prerouting нельзя пихать --out-interface. :(

>хорошо. а можно ли как-то все переделать не для ip-адресов, а для ifaces? в prerouting нельзя пихать --out-interface. :(

Когда пакет попадает в цепочку PREROUTING, система еще не знает, предназначен он конкретно этому хосту или пойдет дальше. Собственно, это в ней и можно изменить. Выходной интерфейс определяется в том числе и на основании правил, заданных в этой цепочке. Поэтому информация о выходном интерфейсе на данном этапе отсутствует.

Но более простой вариант сделать можно.
$B -t nat -A PREROUTING -p tcp -i $LAN --dport http -m addrtype ! --dst-type LOCAL -j REDIRECT --to-ports squid_proxy

бесконечно благодарю. все прекрасно работает :)