Сорри, вчера не смог договорить, надо было срочно уходить.
Твое предложние: FW_REDIRECT="172.31.0.0/16,0/0,tcp,80,3128 172.31.0.0/16,!192.168.0.0/24,tcp,80 172.31.0.0/16,!172.16.0.0/16,tcp,80"
создаст правила типа
-A PREROUTING -s 172.31.0.0/16 -d 0/0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -s 172.31.0.0/16 -d ! 192.168.0.0/24 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -s 172.31.0.0/16 -d ! 172.16.0.0/16 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
Дык первое отработает и до следующих очередь никогда не дойдет. Хотя они все равно отредиректят весь трафик, если б не было первого правила.
Мне все-таки хочется там решить задачу в рамках сусефаерволл, без рукописных правил(одминить не мне)
Напомню, надо редиректить на прокси весь трафик, кроме dst тех двух подсетей.