Добрый день! Имеется машина с Debian на которой крутится Squid 3.5.27. Эта машина раздает интернет в локальную сеть. Squid настраивал по этой инструкции https://habr.com/ru/post/354708/ . Сами пакеты для установки взял там же. И ситуация такая. Все работает нормально, но через некоторое время юзер перестает получать доступ к сети. У всех остальных все работает исправно. К слову машина у юзера на винде, сертификат установлен. При диагностике сети на винде, пишет, что удаленный сервер не принимает подключения. Конфиг вот такой

acl localnet src 10.6.85.0/24

acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl CONNECT method CONNECT
acl SSL method CONNECT

dns_nameservers 127.0.0.1

acl tor url_regex "/etc/squid/tor_url"

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost manager
http_access deny manager
http_access allow localnet
http_access allow localhost
http_access deny all
icp_access deny all
htcp_access deny all

http_port 10.6.85.88:3128 intercept options=NO_SSLv3:NO_SSLv2
http_port 10.6.85.88:3130 options=NO_SSLv3:NO_SSLv2
https_port 10.6.85.88:3129 intercept ssl-bump options=ALL:NO_SSLv3:NO_SSLv2 connection-auth=off cert=/etc/squid/squidCA.pem
#https_port 10.6.85.88:3131 ssl-bump options=NO_SSLv3:NO_SSLv2 connection-auth=off cert=/etc/squid/squidCB.pem

sslproxy_cert_error allow all
sslproxy_flags DONT_VERIFY_PEER

acl blocked ssl::server_name  "/etc/squid/blocked_https.txt"
acl step1 at_step SslBump1
ssl_bump peek step1

ssl_bump terminate blocked
ssl_bump splice all

never_direct allow tor

cache_peer 127.0.0.1 parent 8118 0 no-query no-digest default

cache_peer_access 127.0.0.1 allow tor
cache_peer_access 127.0.0.1 deny all

sslcrtd_program /usr/lib/squid/ssl_crtd -s /var/lib/ssl_db -M 4MB

coredump_dir /var/spool/squid
refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320
logfile_rotate 4
pid_filename /var/run/squid.pid

Добрый день! Помогите разобраться с FTP. Настроил сервер на Debian 9. Squid, bind, iptables - все работает исправно. Сервер имеет 3 интерфейса: enp1s1 - интернет, IP динамический enp1s5 - рабочие сайты, адрес 10.6.85.66 enp1s8 - локальная сеть, адрес 10.6.85.99 Шлюз по умолчанию провайдера.

Настройки машин в локалке такие: IP 10.6.85.2-250 MASK 255.255.255.0 GW 10.6.85.99

Для доступа к рабочим сайтам добавил правило маршрутизации post-up route add -net 10.1.0.0/24 dev enp1s5 Все работает. Еще есть рабочий FTP-сервер с адресом 10.6.64.2 и вот с ним и проблема. Когда пытаюсь добавить похожее правило маршрутизации, то соединение идет и, видимо, когда сервер пытается подключится к указанному порту, оно разрывается. Если выставить пассивный режим, то клиент подключается, но работает дико медленно. Что сделать, что б работал активный режим?

( читать дальше... )

( читать дальше... )

Модули ip_conntrack_ftp и ip_nat_ftp загружены.

Добрый день! Прошу помощи, так как уже не знаю куда копать.

Есть сеть предприятия, все компы которой подключены к неуправляемому комутатору. Сюда же подключен прокси сервер, который получает интернет и таким образом раздает в локалку. Сюда же подключен модем, через который осуществляется доступ на специальные сайты организации. На робочих машинах в локалке прописывался шлюз по умолчанию 10.0.0.1 (коим и является модем для доступа к спец-сайтам) и указывался прокси сервер 10.0.0.99 (через который все ходят в интернет).

Захотел заменить винду на прокси сервере, поставл Debian, настроил Squid, iptables. На робочих машинах в локалке прописал шлюз по умолчанию 10.0.0.99. интернет есть, а вот доспупа к спец-сайтам нету. Оно и понятно. Попытался перенаправить определенный трафик на 10.0.0.1 с помощью DNAT, но доступа так же нет.

Прошу обьяснить, почему рабочая машина в локалке не может связаться с 10.0.0.1, если я перенаправляю трафик на 10.0.0.1. Не может ли быть так, что 10.0.0.1 получает пакеты от 10.0.0.99, отправляет ответ, а 10.0.0.99 не знает что с ними делать и дропает их? Если так, то не можно ли перенаправить пакеты на 10.0.0.1 без изменения адреса источника, что б 10.0.0.1 думал, что пакеты пришли от рабочей машины в локалке и ответ слал туда-же.

Не пинайте сильно за нубство,я только начинаю вникать в это все. И не могу понять этот момент.