Не понимаю, почему NAT не работает?

всё правильно вроде бы, но смущает отсутствие NEW в iptables

Где new отсутствует? - В какой строке?

так через нат не работает или через сквид? Правил для SNAT я не увидел....

443й не работает через нат.

так где для ната правила? что-то вроде:

$ipt -t nat -A POSTROUTING -p tcp -o eth1 -s 192.168.0.0/24 --dport 443   -j SNAT --to-source $IPS

Эти правила по идее есть, т.к. в /var/lib/iptables/rules-save вижу строку -A POSTROUTING -o ppp0 -j MASQUERADE ( http://paste.pocoo.org/show/252638/ )

покажите лучше

iptables -nL
iptables -nL -t nat
cat /proc/sys/net/ipv4/ip_forward

iptables -nL http://paste.pocoo.org/show/252643/
iptables -nL -t nat http://paste.pocoo.org/show/252644/
#cat /proc/sys/net/ipv4/ip_forward
1

С этого надобыло начинать — прозрачный прокси. Теперь вывод squid.conf

egrep -v ^# /etc/squid.conf

http://paste.pocoo.org/show/252646/

IPTABLES -t filter -A FORWARD -p tcp -m tcp --dport 443 -j ACCEPT

Короче ситуация следушая:

Long answer: SSL is specifically designed to prevent «man in the middle» attacks, and setting up squid in such a way would be the same as such a «man in the middle» attack. You might be able to successfully achive this, but not without breaking the encryption and certification that is the point behind SSL.

Finally, as far as transparently proxing HTTPS (e.g. secure web pages using SSL, TSL, etc.), you can't do it. Don't even ask. For the explanation, do a search for 'man-in-the-middle attack'. Note that you probably don't really need to transparently proxy HTTPS anyway, since squid can not cache secure pages.

Короче, сквид не будет работать нормально в transparent-режиме, проксируя 443 порт.

Выход может быть следующий, как вариант:

Я уже писал

Вариант первый (самый простой): IPTABLES -t filter -A FORWARD -p tcp -m tcp --dport 443 -j ACCEPT

Второй вариант:

та же проблема, но решил пока так: заставил squid слушать два порта 3128 и 3129. в firewall в prerouting исходящие на порт 80 закручиваю на 3128. в forward tcp закрыл. получается: народ без настроек proxy идет в инет через squid сам того не зная. А тому, кому надо пускай настраивает проксю на порт 3129 на все порты.

squid.conf:

http_port 10.1.2.2:3128 transparent

http_port 10.1.2.2:3129

Вроде работает :)

anton_jugatsu> сквид не будет работать нормально в transparent-режиме, проксируя 443 порт.

Не squid (ему то пофиг), а ssl

Да, точно :)

Всем большое спасибо! Настроил так: http://paste.pocoo.org/show/253025/ Все работает, как надо.