Linux. От новичка к профессионалу. 6-е изд

Рис. 36.1. 
Настройка клиента
36.6. Прозрачный прокси-сервер
С прокси-сервером часто связаны две проблемы. Первая заключается в том, что для 
работы через прокси-сервер нужно настраивать всех клиентов. Если сеть большая, 
скажем, 100 компьютеров, можете себе представить, сколько это займет време-
ни, — ведь нужно подойти к каждому компьютеру. Даже если на настройку одного 
компьютера потребуется 5 минут, то всего их понадобится 500 — целый рабочий 
день. Но настройкой браузера может дело и не ограничиться. Ведь у пользователей 
могут быть и другие интернет-программы, работающие с WWW/FTP, которые так-
же нужно будет настроить.

---

Глава 36. Прокси-сервер: Squid и squidGuard
549
Проблема настройки — не самая страшная. Понятно, что если в сети организации 
100 или более компьютеров, то и администратор в такой организации будет не 
один. А вдвоем-втроем можно настроить все 100 компьютеров за 2-3 часа.
Вторая проблема — более серьезная. Представим, что в сети у нас есть «продвину-
тые» пользователи (а они-таки есть), которые знают, для чего служит прокси- 
сервер. Они могут легко изменить его настройки и вместо работы через прокси ис-
пользовать прямое соединение с Интернетом, т. е. работать в обход Squid. Вы так 
старались, создавая список «черных» URL (преимущественно это сайты для взрос-
лых и всевозможные чаты/форумы), а они с помощью пары щелчков мыши свели 
все ваши старания к нулю.
Обе проблемы можно решить, если настроить 
прозрачный
прокси-сервер, — поль-
зователи даже не будут подозревать, что он есть. Во-первых, это решит проблемы 
с настройкой — вам не нужно настраивать браузеры пользователей, потому что все 
HTTP-запросы будут автоматически поступать на прокси-сервер. Во-вторых, про-
зрачный прокси обеспечит принудительное кэширование информации и, соответст-
венно, принудительный контроль за страницами, которые посещают пользователи.
Для настройки прозрачного прокси вам нужно изменить как конфигурационный 
файл самого прокси-сервера, так и правила брандмауэра iptables (см. 
главу 31).
Вот 
нужные для этого правила iptables:
iptables -t nat —new-chain TransProxy
# только 
порт 80 (HTTP) и 443 (SSL, https) — остальные обрабатывать # не будем
iptables -t nat 
-A 
PREROUTING 
-p tcp —dport 80 -j TransProxy
iptables -t nat 
-A 
PREROUTING 
-p tcp —dport 443 -j TransProxy
iptables -t nat 
-A 
TransProxy 
-d 
127.0.0.1/8 
-j ACCEPT
# укажите IP-адрес своей сети
iptables -t nat -A TransProxy -d. 192.168.1.0/24 -j ACCEPT
# все запросы перенаправляются на прокси-сервер 192.168.1.1, порт 3128
iptables -t nat -A TransProxy -р TCP -j DNAT —to 192.168.1.1:3128
А в конфигурационный файл 
squid.conf
добавьте следующие директивы:
# серверу назначается реальный IP-адрес, его и нужно указать
tcp_outgoing_address ваш_реальный_IP
httpd_accel_host virtual
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
Напомню, что iptables обычно устанавливается на шлюзе — компьютере, который 
предоставляет доступ к Интернету другим компьютерам сети. На этом же компью-
тере должен быть установлен и Squid.