iptables centos, problem posle rebutovanja !

Pozdrav,

Podigo sam Centos 5 i na njemu instaliro Squid 2.6 STABLE6 da radi kao transparentni Proxy.
Potom sam naso skriptu za iptables(koja mi najvise zadaje problem)
Sve radi bez problema dok ne rebutujem racunar onda skriptu moram ponovo da pokrenem.
Kako mogu da sacuvam podesavanja iptables posle rebutovanja racunara ?

fw.proxy shell script je :

#!/bin/sh
# squid server IP
SQUID_SERVER=“192.168.1.1″
# Interface connected to Internet
INTERNET=“eth0″
# Interface connected to LAN
LAN_IN=“eth1″
# Squid port
SQUID_PORT=“3128″
# DO NOT MODIFY BELOW
# Clean old firewall
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
# Load IPTABLES modules for NAT and IP conntrack support
modprobe ip_conntrack
modprobe ip_conntrack_ftp
# For win xp ftp client
#modprobe ip_nat_ftp
echo 1 > /proc/sys/net/ipv4/ip_forward
# Setting default filter policy
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
# Unlimited access to loop back
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
# Allow UDP, DNS and Passive FTP
iptables -A INPUT -i $INTERNET -m state --state ESTABLISHED,RELATED -j ACCEPT
# set this system as a router for Rest of LAN
iptables --table nat --append POSTROUTING --out-interface $INTERNET -j MASQUERADE
iptables --append FORWARD --in-interface $LAN_IN -j ACCEPT
# unlimited access to LAN
iptables -A INPUT -i $LAN_IN -j ACCEPT
iptables -A OUTPUT -o $LAN_IN -j ACCEPT
# DNAT port 80 request comming from LAN systems to squid 3128 ($SQUID_PORT) aka transparent proxy
iptables -t nat -A PREROUTING -i $LAN_IN -p tcp --dport 80 -j DNAT --to $SQUID_SERVER:$SQUID_PORT
# if it is same system
iptables -t nat -A PREROUTING -i $INTERNET -p tcp --dport 80 -j REDIRECT --to-port $SQUID_PORT
# DROP everything and Log it
iptables -A INPUT -j LOG
iptables -A INPUT -j DROP

Pokrecem je sa:

# chmod +x /etc/fw.proxy
# /etc/fw.proxy
# service iptables save
# chkconfig iptables on

Sve što si napisao je u redu. Komandom # service iptables save čuvaš trenutna podešavanja za iptables. Proveri da li se nakon reboot-a u fajlu /etc/sysconfig/iptables nalaze podešavanja koja si sačuvao. Pokretanjem # chkconfig iptables on nagoveštavaš sistemu da posle reboot-a podigne iptables što je takođe u redu. To bi u praksi trebalo da radi bez problema. Proveri da li u fajlu /etc/sysctl.conf imaš liniju: kojom omogućavaš da se aktivira IP Forwarding pri boot-ovanju sistema.

Da to je to !!!!!!!!


Posle skoro dve nedelje uspesno sam podigo SQUID ........

Hvala PUNO !!!!

Nego jos neko pitanje:

Kakva su vasa generalno misljenja vezana za proxy server?
Dali ga treba implementirati u mrezu koja ima par stotina internet korisnika ?
Dali ce biti obostarna korist (korisnici ce standardne strane brze otvarati a ja dobiti u protoku) ?
Dali je potrebno da podignem squidguard i clam AV radi sigurnosti korisnika.

Uz dobro podešen Proxy mogu da se postignu zadovoljavajući rezultati. U svakom slučaju ne može se očekivati čudo :) Ako je potrebno da se korisnicima Proxy servera zabrani pristup određenim sajtovima onda je ok podignuti SquidGuard mada ja lično nisam impresioniran njegovim mogućnostima (ili se nisam dovoljno trudio da ga podesim kako treba)...

Moze potpitanje kad vec imate instaliran Squid?

Da li moguce kontrolisati protok po IP adresi i windows korisniku?

npr: PC sa 4 povremena korisnika skine 6-7 Giga. Da li mogu vidjeti koliko je protok napravio pojedini korisnik?

Mislijo sam da implementacijom squidguard i clam AV obezbedim sigurniji internet korisnicima a sebi pomogne na taj nacin sto bih (nadam se) imao daleko manje problema sa virusima na mrezi .
Generalno problem mi je sto odredjn broj korisnika nije disciplinovan po pitanju virusa u tom smislu sam hteo da im zabranim pristup sajtovima koji poseduju viruse.

Dali se u praksi koristi clam AV za skeniranje kompletnog saobracaja i u kojoj meri bih usporijo saobracaj ako se koristi ?

Ne.. squid ce ti samo koristiti kao kesh. Ja na mom imam i shape i jos neke dzidza midze...skidanje banera i tkao neke stvari... ali nista neces postici sa clam av-om... U ostalom zasto bi tebe zanimalo to sto su korisnici pokupili razna cuda sa xxx sajtova ... neces ti da cistis to za njima ...

Jeste da necu ja da im cistim viruse (mada jedan deo zavrsi i kod mene uservisu) ali meni se to kasnije obije o glavu sto mi takvi korisnici totalno ubiju mrezu.
Pa sam mislijo da sa clam av kolko je moguce pocistim viruse sa interneta prema korisnicima ako je to uopste moguce i primenjivo u praksi ?