toto je jedno pravidlo na linux servri, toto pravidlo smeruje vsetku prevadzku http na proxy (squid):

iptables -A PREROUTING -t nat -p tcp -s 10.0.0.0/24 -i eth0 --dport 80 -j REDIRECT --to-ports 3128

- okrem portu http to analogicky na servri smeruje aj ftp a https
- problem je ale v tom, ze napriklad si mozem prehliadaci nastavit nejaku freeproxy na internete typu 111.222.333.444:8080 lebo port 8080 napriklad nie je redirectovany a squid ako uzivatel obidem co je neziadane

- ako teda spravit aby vsetko co sa explicitne nepovoli (teda napriamo bez squid, alebo cez squid ak to vie squid obsluzit), tak aby bolo automaticky zakazane
- mozno takto:

iptables -A PREROUTING -t nat -p tcp -s 10.0.0.0/24 -i eth0 --dport ! 22,25,110,143,5190,6881:6889 -j REDIRECT --to-ports 3128

- vykricnik pred portami je negacia (neviem ci som ten vykricnik dal na spravnom mieste)), teda vsetko korem napr icq(5190) a torrent (6881-6889) atd bude smerovane do squidu a nebude sa moct squid obist napr pomocou freeproxy na porte 8080 (niekedy su casto aj ine porty ako 8080 a nie je ich mozne vsetky vymenovat preto asi tou negaciou by sa to malo riesit)

- toto uvedene iptables ma ale asi velky problem problem ze do proxy smeruje vsetky sluzby okrem vymenovanych a urcite niektore cez squid nefunguju (napriklad mail 25,110 porty, tie som v priklade vylucil ale neviem ktore ine veci by este vadili a bolo by ich treba uviest za tym vykricnikom a ak by sa to nedalo vsetko vymenovat tak mozno treba uplne inak to riesit)

- ide o to ze vymenovat vsetky cielove porty co je nutne pre spravu servera na dialku (tam skor ide o zdrojove ale k tym musia existovat aj cielove) a ine systemove veci co by mohli byt teoreticky potrebne pri prepajani vzdialenych sieti plus nejake ICQ a Torrent a zvysok ked sa smeruje do squidu a ten to nebude vediet obsluzit tak to nevadi (squid je len na http,https,ftp) a to co sa neda z principu vymenovat tak na to upozornit a pripadne riesenie ako

mozno je toto cele zle riesenie existuje jednoduhsie ako povolit len nutne veci a z nich co sa da poslat do squid, ale ak chapem to PREROUTING pravidlo, tak rozhoduje o redirektovani vsetkeho z vnutornej siete bez ohladu ci ta prevadzka z vnutornej siete je generovana z vnutornej siete alebo ako odpoved na poziadavku z vonka siete (napr inmiciujem spojeneie ssh zvonka na sshd > v takom pripade by sa dalo toto vylucit z redirektovania ze by sa dala vynimka ze ked je zdrojovy port 22 (na servri) tak sa zakaz ba cielovy port sa necbude redirektovat do squidu, inak by mi server sshd nemohol odpovedat na moj port >1024 )

mozno som tu nataral aj nezmysly tak ked sa nenajde riesenie tak aspon upozornit na tie nezmysly okolo iptables poprosim aj to pomoze k niecom inemu