Перенаправьте трафик PROXY на тестовую коробку, используя IPTABLES

Question

Отмечено как ответившее Я собираюсь передать попытки заставить это работать. Это было только для тестирования.

В настоящее время я использую прокси-сервер (Squid), который прослушивает порт 8080. Браузеры пользователей настроены с этим прокси.

Я хотел бы протестировать другое прокси-устройство без необходимости перенастраивать что-либо на рабочих станциях пользователей.

Новое поле требует использования его в качестве шлюза по умолчанию. Он прозрачно фильтрует вирусы и контент.

Есть ли способ перенаправить трафик, предназначенный для порта 8080 на текущем прокси-сервере, в новый ящик без выполнения NAT? Я хотел бы, чтобы исходные IP-адреса оставались неизменными, чтобы мы могли видеть, кто к чему имеет доступ.

Я попробовал несколько вещей с IPTABLES, но безуспешно. Любые идеи были бы хорошы.

Спасибо род

Answer 1

Я могу представить 4 основных варианта, как достичь своей цели. Они перечислены как два варианта, каждый с двумя подвариантами.

1. Настройте новое устройство как явный HTTP-прокси. Конечно, новое устройство должно иметь такую возможность. Например, межсетевые экраны Fortinet и Check Point способны на это.
   1. На прокси Squid установите новое устройство как прокси восходящего потока. Новое устройство увидит только адрес прокси Squid. Он должен быть способен интерпретировать HTTP-заголовок X-Forwarded-For чтобы видеть IP-адреса клиентов.
   2. Между клиентами и новым устройством выполняется NAT адреса назначения (и порта при необходимости). Чтобы вместо Squid IP: 8080 пакеты отправлялись на IP нового устройства. IP-адреса источника будут одинаковыми.
2. Поместите новое устройство в путь между Squid и Интернетом. Устройство не будет действовать как явный HTTP-прокси.
   1. HTTP-запросы будут поступать с IP-адреса Squid, но если новое устройство распознает HTTP-заголовок X-Forwarded-For оно сможет видеть IP-адреса клиентов.
   2. Это скорее теоретическая возможность, я не уверен, что существует существующее рабочее решение, способное на это. Между Squid и новым устройством выполняется отправка исходного IP-адреса NAT обратно на IP-адреса клиентов, поэтому запросы, идущие от Squid в Интернет, будут выглядеть как запросы, идущие непосредственно от клиентов.