squid: ftp e https

[billiejoex]

Ciao a tutti. Ho installato squid per proxare la navigazione di alcuni client della LAN. I client riescono a navigare nei normali siti http ma:
- non riescono a navigare in siti cifrati tramite SSL, https ecc...
- non riescono a navigare su ftp remoti. In questo caso riescono solo a visualizzare il form di login mandato dall'ftp server ma una volta autenticati non riescono a vedere i file.
Questo è lo squid.conf:

http_port 192.168.1.1:54321
cache_mem 50 MB
cache_dir ufs /mnt/squid_cache 100 16 256
acl locallan src 192.168.1.0/255.255.255.0 
http_access allow locallan 
acl FTP proto FTP
always_direct allow FTP

e iptables presenta queste regole:

# abilita il forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
# altro forwarding
iptables -A FORWARD -i eth1 -j ACCEPT
# droppa tutto su FORWARD
iptables -P FORWARD DROP
#permetti icmp dalla LAN
/sbin/iptables -A FORWARD  -p icmp -j ACCEPT

La rete ha una topologia di questo tipo:

client --> eth1[server+squid]eth0 --> internet

Come posso fare in modo che i client accedino a ftp e https?
NB - Questi problemi non avvengono se disabilito il firewall iptables.
Qualche consiglio in merito?

Ringraziamenti anticipati

[Boromir]

le regole di iptables non sono di forwarding ma di input e output dato che iptables risiede sulla stessa macchina di squid giusto ? per l'ftp devi aggiungere i moduli ip_nat_ftp (o ipnat_ftp) non ricordo esattamente il nome

[billiejoex]

Si, iptables e squid risiedono sulla stessa macchina. Devo forse specificare una regola particolare su iptables? il traffico http funziona benissimo senza alcuna regola, a differenza di ftp.
Non ho trovato alcun ip_nat_ftp o parametri "simili".

[Boromir]

si infatti hai per default le regole input e output aperte ... iptables -nvL

si chiama esattamente ip_nat_ftp ... quando crei uno script di iptables ( a seconda della distro) devi aggiungere modprobe ip_nat_ftp .
Per quanto riguarda l'SSL ci sono delle regole di default di squid che permettono la navigazione sslsenza cacharla , eviterei di toccare troppo la configurazione di squid se sei alle prime armi , per farlo partire devi solo aggiustare la path della cache , la dimensione della cache e aggiungere le acl della tua subnet !

[billiejoex]

Ho aggiunto il modulo ip_nat_ftp ma non ho capito come implementarlo. Che regola dovrei dare?

per farlo partire devi solo aggiustare la path della cache , la dimensione della cache e aggiungere le acl della tua subnet !

Non basta questo:
cache_dir ufs /mnt/squid_cache 100 16 256
acl locallan src 192.168.1.0/255.255.255.0
...che ho gia specificato?