Squid im Intercept-Modus via TPROXY mit nftables - Versionsgeschichte

Thomas.will am 24. April 2025 um 05:19 Uhr

2025-04-24T05:19:29Z

Thomas.will am 24. April 2025 um 04:55 Uhr

2025-04-24T04:55:44Z

Thomas.will: /* nftables-Regeln auf dem Proxyserver */

2025-04-24T04:25:13Z

nftables-Regeln auf dem Proxyserver

Thomas.will am 24. April 2025 um 04:23 Uhr

2025-04-24T04:23:04Z

Thomas.will am 24. April 2025 um 04:01 Uhr

2025-04-24T04:01:48Z

Thomas.will am 24. April 2025 um 03:47 Uhr

2025-04-24T03:47:40Z

Thomas.will am 24. April 2025 um 03:46 Uhr

2025-04-24T03:46:49Z

Thomas.will: /* nftables-Regeln auf der Firewall */

2025-04-24T03:43:29Z

nftables-Regeln auf der Firewall

Thomas.will: Die Seite wurde neu angelegt: „= Squid im Intercept-Modus via TPROXY mit nftables = == Voraussetzungen == * Squid läuft nicht direkt auf der Firewall, sondern auf einer separaten Maschine…“

2025-04-24T03:42:34Z

Die Seite wurde neu angelegt: „= Squid im Intercept-Modus via TPROXY mit nftables = == Voraussetzungen == * Squid läuft nicht direkt auf der Firewall, sondern auf einer separaten Maschine…“

Neue Seite

= Squid im Intercept-Modus via TPROXY mit nftables =

== Voraussetzungen ==
* Squid läuft nicht direkt auf der Firewall, sondern auf einer separaten Maschine im Netzwerk.
* Der Proxy soll HTTP (Port 80) und HTTPS (Port 443) Verkehr transparent abfangen.
* Die Original-Ziel-IP soll erhalten bleiben – daher TPROXY statt DNAT/REDIRECT.
* Die Firewall nutzt `nftables` und unterstützt Policy-Based Routing.

== nftables-Regeln auf der Firewall ==
Tabelle und Kette erstellen:
*nft add table inet tproxy
*nft add chain inet tproxy prerouting '{ type filter hook prerouting priority mangle; policy accept; }'

* TPROXY-Regeln für HTTP und HTTPS einfügen:
*nft add rule inet tproxy prerouting tcp dport 80 tproxy to :3029 mark set 1
*nft add rule inet tproxy prerouting tcp dport 443 tproxy to :3030 mark set 1

== Policy Routing auf der Firewall ==
Weiterleitung der markierten Pakete zur lokalen Verarbeitung:
*ip rule add fwmark 1 lookup 100
*ip route add local 0.0.0.0/0 dev lo table 100

== Notwendige Kernel-Module ==
Folgende Module müssen geladen sein:
mo*dprobe nf_conntrack
mo*dprobe nf_tproxy_ipv4
*modprobe nf_tproxy_ipv6
*modprobe xt_TPROXY

== Squid-Setup auf dem Proxyserver ==
Squid muss mit TPROXY-Support kompiliert sein (`--enable-linux-netfilter`)

Squid-Konfiguration anpassen:

http_port 3029 tproxy
https_port 3030 tproxy ssl-bump cert=/etc/squid/certs/proxy.pem key=/etc/squid/certs/proxy.key

;Optional: SSL-Bump konfigurieren:
ssl_bump peek all
ssl_bump bump all
sslproxy_cert_error allow all
sslproxy_flags DONT_VERIFY_PEER

== Squid-Rechte anpassen ==
Squid benötigt zusätzliche CAPs zum Binden fremder IPs:
*setcap cap_net_bind_service,cap_net_admin=eip /usr/sbin/squid

== Test & Diagnose ==
Überprüfen ob Pakete markiert werden:
*nft list chain inet tproxy prerouting

;Policy-Routing prüfen:
*ip rule show
*ip route show table 100

;Squid-Logs im Auge behalten:
*tail -f /var/log/squid/access.log
*tail -f /var/log/squid/cache.log

== Hinweise ==
Clientzertifikate oder CA-Zertifikate müssen ggf. angepasst werden.

Browserwarnungen bei HTTPS sind zu erwarten, falls keine eigene Root-CA ausgerollt ist.

Diese Methode ist technisch aufwendig – in produktiven Umgebungen sollte, wenn möglich, ein expliziter Proxy via WPAD bevorzugt werden.

@@ Zeile 1: / Zeile 1: @@
-= Squid im Intercept-Modus via TPROXY auf separatem Proxyserver =
+= Squid im Intercept-Modus per REDIRECT (lokal auf dem Proxy) =
 == Voraussetzungen ==
-* Die Firewall hat die interne IP 172.17.113.1
+* Der Proxy hat eine eigene IP im LAN, z. B. 10.88.113.51
-* Der Squid-Proxy läuft auf einer separaten Maschine mit der IP 10.88.113.51
+* Squid läuft direkt auf diesem Host
-* Der Proxy soll HTTP (Port 80) und HTTPS (Port 443) Verkehr transparent abfangen.
+* Der Traffic wird per iptables/nftables von Port 80/443 auf lokale Ports umgeleitet
-* Die Original-Ziel-IP soll erhalten bleiben – kein DNAT, sondern reines Routing mit Policy-Markierung.
+* Keine TPROXY-Konfiguration nötig
-== nftables-Regeln auf der Firewall ==
+== Squid-Konfiguration ==
-*Tabelle und Set anlegen:
+http_port 3128 intercept
-nft add table inet fwmark
+https_port 3129 intercept ssl-bump cert=/etc/squid/certs/proxyCA.pem key=/etc/squid/certs/proxyCA.key
-*Kette für PREROUTING:
+;Optional: SSL-Bump
 ssl_bump peek all
 ssl_bump bump all
@@ Zeile 52: / Zeile 17: @@
 sslproxy_flags DONT_VERIFY_PEER
-== Squid-Rechte anpassen ==
+== nftables-Konfiguration (lokal auf dem Proxy) ==
-*setcap cap_net_admin=eip /usr/sbin/squid
+*nft add table ip nat
-== Logs & Diagnose ==
+== Test & Logs ==
 *tail -f /var/log/squid/access.log
 *tail -f /var/log/squid/cache.log

@@ Zeile 5: / Zeile 5: @@
 * Der Squid-Proxy läuft auf einer separaten Maschine mit der IP 10.88.113.51
 * Der Proxy soll HTTP (Port 80) und HTTPS (Port 443) Verkehr transparent abfangen.
-* Die Original-Ziel-IP soll erhalten bleiben – daher wird auf der Firewall DNAT gemacht, und **TPROXY erfolgt auf dem Proxyserver**.
+* Die Original-Ziel-IP soll erhalten bleiben – kein DNAT, sondern reines Routing mit Policy-Markierung.
-* Die Firewall nutzt nftables für DNAT.
+* TPROXY erfolgt ausschließlich auf dem Proxyserver.
 == nftables-Regeln auf der Firewall ==
-;NAT-Tabelle und Weiterleitung an den Proxy:
+*Tabelle und Set anlegen:
-*nft add table ip nat
+nft add table inet fwmark
-*nft add chain ip nat prerouting '{ type nat hook prerouting priority dstnat; policy accept; }'
+nft add set inet fwmark ports { type inet_service\; flags constant\; elements = { 80, 443 } }
-*nft add rule ip nat prerouting tcp dport 80  dnat to 10.88.113.51:3029
-*nft add rule ip nat prerouting tcp dport 443 dnat to 10.88.113.51:3030
+*Kette für PREROUTING:
 == nftables-Regeln auf dem Proxyserver ==
-;Tabelle und Kette erstellen (Name nicht "tproxy", da reserviert):
+*Tabelle und Kette erstellen:
-*nft add table inet myproxy
+nft add table inet myproxy
-*nft add chain inet myproxy prerouting '{ type filter hook prerouting priority mangle; policy accept; }'
+nft add chain inet myproxy prerouting '{ type filter hook prerouting priority mangle\; policy accept\; }'
-;TPROXY-Regeln für HTTP und HTTPS:
+*TPROXY-Regeln:
-*nft add rule inet myproxy prerouting ip daddr 10.88.113.51 tcp dport 3029 tproxy ip to :3029 mark set 1
+nft add rule inet myproxy prerouting ip daddr 10.88.113.51 tcp dport 3129 tproxy ip to :3129 meta mark set 0x1
-*nft add rule inet myproxy prerouting ip daddr 10.88.113.51 tcp dport 3030 tproxy ip to :3030 mark set 1
+nft add rule inet myproxy prerouting ip daddr 10.88.113.51 tcp dport 3130 tproxy ip to :3130 meta mark set 0x1
 == Policy Routing auf dem Proxyserver ==
@@ Zeile 29: / Zeile 36: @@
 *ip route add local 0.0.0.0/0 dev lo table 100
-== Notwendige Kernel-Module auf dem Proxyserver ==
+== Kernel-Module auf dem Proxyserver laden ==
 *modprobe nf_conntrack
 *modprobe nf_tproxy_ipv4
@@ Zeile 35: / Zeile 42: @@
 *modprobe xt_TPROXY
-== Squid-Setup auf dem Proxyserver ==
+== Squid-Konfiguration auf dem Proxy ==
-Squid muss mit TPROXY-Support kompiliert sein (mit --enable-linux-netfilter)
+http_port 3129 tproxy
+https_port 3130 ssl-bump tproxy cert=/etc/squid/certs/squid_proxyCA.pem key=/etc/squid/certs/squid_proxyCA.key
-;Optional: SSL-Bump konfigurieren:
+;Optional SSL-Bump:
- ssl_bump peek all
+ssl_bump peek all
- ssl_bump bump all
+ssl_bump bump all
- sslproxy_cert_error allow all
+sslproxy_cert_error allow all
- sslproxy_flags DONT_VERIFY_PEER
+sslproxy_flags DONT_VERIFY_PEER
 == Squid-Rechte anpassen ==
 *setcap cap_net_admin=eip /usr/sbin/squid
-== Test & Diagnose ==
+== Logs & Diagnose ==
-;Firewall:
+*nft list chain inet fwmark prerouting
 *nft list chain inet myproxy prerouting
 *ip rule show
@@ Zeile 62: / Zeile 62: @@
 *tail -f /var/log/squid/access.log
 *tail -f /var/log/squid/cache.log

@@ Zeile 22: / Zeile 22: @@
 ;TPROXY-Regeln für HTTP und HTTPS:
-*nft add rule inet myproxy prerouting ip daddr 10.88.113.51 tcp dport 3029 tproxy to :3029 mark set 1
+*nft add rule inet myproxy prerouting ip daddr 10.88.113.51 tcp dport 3029 tproxy ip to :3029 mark set 1
-*nft add rule inet myproxy prerouting ip daddr 10.88.113.51 tcp dport 3030 tproxy to :3030 mark set 1
+*nft add rule inet myproxy prerouting ip daddr 10.88.113.51 tcp dport 3030 tproxy ip to :3030 mark set 1
 == Policy Routing auf dem Proxyserver ==

@@ Zeile 1: / Zeile 1: @@
-= Squid im Intercept-Modus via TPROXY mit nftables =
+= Squid im Intercept-Modus via TPROXY auf separatem Proxyserver =
 == Voraussetzungen ==
@@ Zeile 5: / Zeile 5: @@
 * Der Squid-Proxy läuft auf einer separaten Maschine mit der IP 10.88.113.51
 * Der Proxy soll HTTP (Port 80) und HTTPS (Port 443) Verkehr transparent abfangen.
-* Die Original-Ziel-IP soll erhalten bleiben – daher wird auf der Firewall nur DNAT durchgeführt, und **TPROXY erfolgt ausschließlich auf dem Proxyserver**.
+* Die Original-Ziel-IP soll erhalten bleiben – daher wird auf der Firewall DNAT gemacht, und **TPROXY erfolgt auf dem Proxyserver**.
-* Die Firewall nutzt nftables für NAT.
+* Die Firewall nutzt nftables für DNAT.
 * Der Proxyserver setzt nftables und Policy Routing für TPROXY ein.
 == nftables-Regeln auf der Firewall ==
-;NAT-Tabelle und Weiterleitung der Verbindungen an den Proxy:
+;NAT-Tabelle und Weiterleitung an den Proxy:
 *nft add table ip nat
 *nft add chain ip nat prerouting '{ type nat hook prerouting priority dstnat; policy accept; }'
@@ Zeile 17: / Zeile 17: @@
 == nftables-Regeln auf dem Proxyserver ==
-;Tabelle und Kette erstellen:
+;Tabelle und Kette erstellen (Name nicht "tproxy", da reserviert):
-*nft add table inet tproxy
+*nft add table inet myproxy
-*nft add chain inet tproxy prerouting '{ type filter hook prerouting priority mangle; policy accept; }'
+*nft add chain inet myproxy prerouting '{ type filter hook prerouting priority mangle; policy accept; }'
 ;TPROXY-Regeln für HTTP und HTTPS:
-*nft add rule inet tproxy prerouting ip daddr 10.88.113.51 tcp dport 3029 tproxy to :3029 mark set 1
+*nft add rule inet myproxy prerouting ip daddr 10.88.113.51 tcp dport 3029 tproxy to :3029 mark set 1
-*nft add rule inet tproxy prerouting ip daddr 10.88.113.51 tcp dport 3030 tproxy to :3030 mark set 1
+*nft add rule inet myproxy prerouting ip daddr 10.88.113.51 tcp dport 3030 tproxy to :3030 mark set 1
 == Policy Routing auf dem Proxyserver ==
@@ Zeile 50: / Zeile 50: @@
 == Squid-Rechte anpassen ==
-*setcap cap_net_bind_service,cap_net_admin=eip /usr/sbin/squid
+*setcap cap_net_admin=eip /usr/sbin/squid
 == Test & Diagnose ==
@@ Zeile 57: / Zeile 57: @@
 ;Proxyserver:
-*nft list chain inet tproxy prerouting
+*nft list chain inet myproxy prerouting
 *ip rule show
 *ip route show table 100
@@ Zeile 64: / Zeile 64: @@
 == Hinweise ==
-* Die Weiterleitung funktioniert nur, wenn keine zusätzlichen NAT- oder Firewall-Regeln die Pakete blockieren.
+* Diese Konfiguration funktioniert nur, wenn der Proxyserver die Zieladresse 10.88.113.51 lokal empfangen kann.
-* Für HTTPS müssen die Clients die Root-CA des Proxyservers akzeptieren, wenn SSL-Bump aktiviert ist.
+* Clients müssen ggf. die Root-CA akzeptieren, wenn SSL-Bump aktiv ist.
-* Diese Methode ist technisch aufwendig – in produktiven Umgebungen sollte, wenn möglich, ein expliziter Proxy via WPAD bevorzugt werden.
+* Für produktive Umgebungen ist WPAD mit explizitem Proxy oft die bessere Lösung.

@@ Zeile 2: / Zeile 2: @@
 == Voraussetzungen ==
-* Die Firewall hat die interne IP **172.17.113.1**
+* Die Firewall hat die interne IP 172.17.113.1
-* Der Squid-Proxy läuft auf einer separaten Maschine mit der IP **10.88.113.51**
+* Der Squid-Proxy läuft auf einer separaten Maschine mit der IP 10.88.113.51
 * Der Proxy soll HTTP (Port 80) und HTTPS (Port 443) Verkehr transparent abfangen.
 * Die Original-Ziel-IP soll erhalten bleiben – daher TPROXY statt DNAT/REDIRECT.
-* Die Firewall nutzt `nftables` und unterstützt Policy-Based Routing.
+* Die Firewall nutzt nftables und unterstützt Policy-Based Routing.
 == nftables-Regeln auf der Firewall ==
@@ Zeile 12: / Zeile 12: @@
 *nft add table inet tproxy
 *nft add chain inet tproxy prerouting '{ type filter hook prerouting priority mangle; policy accept; }'
 ;TPROXY-Regeln für HTTP und HTTPS einfügen:
-*nft add rule inet tproxy prerouting ip daddr != 10.88.113.51 tcp dport 80  tproxy to :3029 mark set 1
+*nft add rule inet tproxy prerouting ip daddr != 10.88.113.51 tcp dport 80 tproxy to :3029 mark set 1
 *nft add rule inet tproxy prerouting ip daddr != 10.88.113.51 tcp dport 443 tproxy to :3030 mark set 1
@@ Zeile 29: / Zeile 30: @@
 == Squid-Setup auf dem Proxyserver ==
-Squid muss mit TPROXY-Support kompiliert sein (`--enable-linux-netfilter`)
+Squid muss mit TPROXY-Support kompiliert sein (mit --enable-linux-netfilter)
 Squid-Konfiguration anpassen: