Squid differenet input and output

[Moghaddas]

سلام. قبل از توضیح بگم که خیلی توی لینوکس مبتدی هستم. قصد پیاده سازی Squid با توپولوژی زیر رو در یک شبکه داریم:

یعنی قصد داریم زمانی که یک کابر یک سایت را ویزیت میکند درخواست آن به سمت Squid برود و اگر در cache موجود بود پاسخ از مسیر Shaper باز گردد اگر هم در Cache موجود نبود به اینترنت رفته و در بازگشت نیز از Shaper عبور کند. تمام routing در شبکه درست انجام شده و فایل کانفیگ squid نیز در یک توپولوژی دیگر درحال فعالیت است. تنها مشکل در این توپولوژی نحوه ی نگراش IPtables و روتینگ در Squid است که امیدوارم بنده را راهنمائی کنید. نیاز به NAT نیست چرا که تمام مشتریان دارای IPهای public هستند

---

موضوعات مشابه:

• نحوه انتقال کاربران squid به یک سایت خاص تعیین شده در squid server
• CRC & Input Error In Cisco 1700
• ساخت سرویس start squid برای squid compile شده
• decrease in amount of "show running " output

---

[Moghaddas]

اگر دوستان قادر به راهنمایی بودند خیلی ممنون میشم کمک کنن.

[al1p0ur]

نفرمودید توزیع لینوکستون چی هست .
روی iptable فقط باید درخواست کلاینت ها رو ریدایرکت کنید به اسکوئید :

iptables -t nat -A PREROUTING -s 188.75.32.0/24 -p tcp --dport 80 -j REDIRECT --to-port 3128

بعد شما روی سروراسکوئید باید دو خط روت بنویسید
یکی برای اینترنت
یکی برای برگشت در خواست کلاینت ها از 188.75.32.17 .

حالا بسته به توزیع لینوکستون نوشتن روت کمی متفاوت هست
این لینک به شما کمک خواهد کرد :
Configure Static Routes In Debian or Red Hat Enterprise Linux

[Moghaddas]

این مورد رو قصد انجام داشتم. اما بمن گفته شد احتمالاً وقتی روتها رو بنویسم از روی cache رد نمیشه و os مستقیم میفرسته سمت clientها

[al1p0ur]

با توجه به این اسکوئید یک پراکسی سرور هست وقتی درخواستی رو به اینترنت میفرسته ، جواب اون درخواست اول به خودش برگشت داده میشه ، در کش ثبت ثبت میشه و سپس مسیریابی میشه .
اگر اونطوری باشه که به شما گفته شده:
اولین درخواست به squid میرسه ، squid تو کشش چیزی نداره ، پس اونو به اینترنت میفرسته ، بعد از رسیدن جواب بدون اینکه درخواست به squid برسه مسیریابی میشه و تحویل کلاینت داده میشه . در این صورت هیچ وقت از کش استفاده نمیشه . خب شما میتونید به راحتی این مورد رو چک کنید .اگر squid چیزی رو کش کرد یعنی کارتون درسته اما اگر چیزی رو کش نکرد یعنی اینکه چیزی که به شما گفته شده درسته !

[SADEGH65]

من این مظلب را چند روز پیش دیدم ولی متاسفانه فرصت نشد پاسخی در این باره بدهم .
مواردی که من می گویم به دلیل برداشت شخصی من از سوال است و ممکن است اشتباه باشد

در ابتدا دلیلی برای این نمونه چیدمان وجود دارد ؟!

من با توجه به این چیدمان به نظر من نمیتوان مورد نطر شما را داشت ( یعنی اینکه در صورتی که مورد هدف در کش قرار داشت از لینکی انتقال انجام گردد و در غیر این صورت از مسیر دیگر ) و به همین دلیل پیشنهاد میکنم در صورت امکان چیدمان را تغییر دهید یعنی بیایید بعد از کلاینت ها Shaper خود را که توضیحی در مورد نحوه تقسیم پهنای باند ندادید قرار دهید و در همان شبکه و قبل از این Shaper بیایید و Squid را قرار دهید ولی به صورت transparent و با استفاده از پروتکل wccp و یا به صورت یک بریج و Tproxy که در این صورت قبل از عبور اطلاعات از Shaper اطلاعات از Squid عبور میکند در صورتی که اطلاعات درآن وجود داشته باشد بدون حضور Shaper اطلاعات به کاربران میرسد و در صورتی که در آن وجود نداشته باشد به سمت اینترنت با همان IP کلاینت میرود که در Shaper شما راه حل مناسب در مورد پهنای باند بر روی آن اعمال میگردد.

[Moghaddas]

اول از همه عرض تشکر بخاطر وقتی که برای پاسخ دادن صرف کردید. این پیاده سازی برای یک ISDP است که وظیفه ی SHAPER در آن مابین که بصورت Transparent یا بقولی bridge در حال فعالیت است shape کردن حدود 150مشتری با bandwidth بین 2 تا 40 مگ است. البته مشتریان با تعدادی سوئیچ به CoreSW متصلند که به اختصار در این شکل همه ی سوئیچ و مشتریان تجمیع شده و به CoreSW وصل شده اند. توپولوژی که فعلا در حال کار است دقیقاً همین شکل است بدون Squid. درواقع upload یا send مشتریان از مسیر بالا و بدون shape؛ و مسیر download یا recieve مشتریان از مسیر پایین است که shape می شود. و این تفاوت که IPهای مربوط به لینکهای متصل به Squid کلاً حذف شده و یک ارتباط /30 در دو مسیر بین CoreSW و CoreRT موجود است. در این شکل قرار نیست که اگر در کش وجود داشت از یک مسیر برود و اگر وجود نداشت از مسیری دیگر. کلاً مسیر رفت و برگشت جداست. علت جداکردن این دو مسیر نیز performance ضعیف Shaper بود. و متاسفانه قعلا امکان خرید یک Shaper Appliance مانند محصولات Bluecoat و غیره موجود نیست. لذا بر ان شدیم که توسط Squid نیاز کارفرما را برطرف کنیم.

[SADEGH65]

علت جداکردن این دو مسیر نیز performance ضعیف Shaper بود. و متاسفانه قعلا امکان خرید یک Shaper Appliance مانند محصولات Bluecoat و غیره موجود نیست. لذا بر ان شدیم که توسط Squid نیاز کارفرما را برطرف کنیم.

پس نظر علیپور عزیز کامل است فقط به نظرم برای هندل کردن این پهنای باند باید دقت زیادی بر روی squid داشته باشید تا کارایی کم نشود .

[Moghaddas]

پهنای باند دوتا STM1 )
شک ندارم اسکوئید می ترکه. البته یک سرور فیزیکی(اول قصد داشتم مجازی) DL365 با 16گیگ رم و 6عدد هارد 300 با Raid5 استفاده کردم.
باز هم ممنون

[mgholami]

نفرمودید توزیع لینوکستون چی هست .
روی iptable فقط باید درخواست کلاینت ها رو ریدایرکت کنید به اسکوئید :

iptables -t nat -A PREROUTING -s 188.75.32.0/24 -p tcp --dport 80 -j REDIRECT --to-port 3128

بعد شما روی سروراسکوئید باید دو خط روت بنویسید
یکی برای اینترنت
یکی برای برگشت در خواست کلاینت ها از 188.75.32.17 .

حالا بسته به توزیع لینوکستون نوشتن روت کمی متفاوت هست
این لینک به شما کمک خواهد کرد :
Configure Static Routes In Debian or Red Hat Enterprise Linux

اول هز همه حتما 3128 نه بسته به پورت اسکوید داره
دوم اینکه 2 تا روت درسته ولی یه چیزی گنکه اومدیم درخواستها غیر وبی بود اونوقت تکلیف این شیپرتون چی میشه کشک

[Moghaddas]

دقیقاً؛ مثل ftp مثلاً که خیلی هم پرکاربرده.
البته هنوز ریسک نکردم و این solution رو نبردم زیر بار. تصمیم گرفتم یک Shaper قوی تر بگیرم اگه موافقت بشه تا فقط یک مسیر داشته باشیم.

[mgholami]

اونم میشه بلایی سرش اورد ولی اخه چرا بایید یه همچین کاری کنید شیپر هایی هستن که قابلیتهای خاصی دارن که نیازهای شما رو مرتفع میکنن

[Moghaddas]

عدم قبول هزینه توسط مدیران.....

[Moghaddas]

خب این سیستم راه اندازی شد... اما الان یه مشکل بزرگ دارم!!
با اینکه NAT ندارم بعضی از سایت ها IP اصلی client را دریافت نمی کنند و IP سرور ًSquid را بعنوان source حساب می کنند.
مثلا whatismyip.com آدرس Squid را حساب می کند اما بعضی از سایتها مانند ping.eu آدرس صحیح client را دریافت می کنند.
مشکلی که اتفاق خواهد افتاد در سایتهایی خواهد بود که IP-based-authentication دارند.
حتی تغییرات زیر را در squid.conf انجام دادم.
request_header_access Proxy-Connection deny all
request_header_access X-Forwarded-For allow all
request_header_access Via deny all
request_header_access Connection deny all
request_header_access Server deny all
request_header_access Cache-Control deny all

[SADEGH65]

به چه روشی Squid را در مدار قرار دادید ؟
یا باید از WCCP2 و یا از Tproxy استفاده کنید در غیر این صورت به دلیل اینکه IP های شما همگی پابلیک است به مشکل بر میخورید.