Я хочу использовать OpenBSD 5.7 в качестве фильтрационного моста перед моим маршрутизатором, и как часть этого запустить прозрачный прокси-сервер (squid 3.5.1) для управления веб-доступом. Я настроил машину openbsd как мост, и это прекрасно работает. Тем не менее, я не могу заставить pf перевести веб-трафик на squid.

Вот так выглядит моя сеть

[Internet]
      |
      |
[OpenBSD]
      |
      |
  [       (Router)     ]
     |                 |
     |                 |
 [Wired Workstations]   [Wi-Fi]

Squid работает правильно, если я подключаю машину OpenBSD к своей сети и вручную настраиваю рабочую станцию, чтобы использовать ее в качестве прокси. У меня есть следующее в моей конфигурации Squid для прозрачного перехвата

http_port 127.0.0.1:3129 tproxy

Это моя конфигурация pf:

# internet facing
ext_if = "em1"

# internal facing
int_if = "em0"

#scrub provides a measure of protection against certain kinds of attacks based on incorrect handling of packet fragments
match in all scrub (no-df max-mss 1440)

# Prevent spoofing
antispoof log for $ext_if label "antispoof"

# Block anything coming form source we have no back routes for
block in log from no-route to any label "no back route"

# Proxy http
pass in quick on $int_if inet proto tcp to port www divert-to 127.0.0.1 port 3129
pass out quick from 127.0.0.1 divert-reply

pass in on $int_if
pass out on $int_if

pass in on $ext_if
pass out on $ext_if

Кто-нибудь знает, почему мое правило отклонения не работает? Я посмотрел в журналах

pass in quick on em0 inet proto tcp from any to any port = 80 flags S/SA divert-to 127.0.0.1 port 3129
  [ Evaluations: 36248     Packets: 544       Bytes: 355122      States: 29    ]
  [ Inserted: uid 0 pid 15666 State Creations: 29    ]

передать быстрый inet из 127.0.0.1 на любые флаги S/SA divert-reply [Оценок: 72399 Пакетов: 0 Байт: 0 Состояний: 0 ] [Вставлено: uid 0 pid 15666 Созданий состояний: 0]

Я вижу, что правило "работает", однако в логах squid ничего не отображается, и я все равно могу получить доступ к веб-сайтам. Это в основном правила, рекомендуемые Squid. Я попытался использовать это правило вместо

pass in log quick on $int_if inet proto tcp from any to any port www rdr-to 127.0.0.1 port 3129

Когда я использую это, я вижу, что перенаправление правил происходит, однако в логах squid ничего не отображается. Также запросы на сайты тайм-аут.

pass in log quick on em0 inet proto tcp from any to any port = 80 flags     S/SA rdr-to 127.0.0.1 port 3129
  [ Evaluations: 25213     Packets: 8         Bytes: 496         States: 1     ]

Это вывод из ifconfig

Ifconfig

lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 32768
    priority: 0
    groups: lo
    inet6 fe80::1%lo0 prefixlen 64 scopeid 0x4
    inet6 ::1 prefixlen 128
    inet 127.0.0.1 netmask 0xff000000
em0: flags=8b43<UP,BROADCAST,RUNNING,PROMISC,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
    lladdr 00:e8:4c:68:1a:f1
    priority: 0
    groups: egress
    media: Ethernet autoselect (1000baseT full-duplex,rxpause,txpause)
    status: active
em1: flags=8b43<UP,BROADCAST,RUNNING,PROMISC,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
    lladdr 00:e8:4c:68:1a:f2
    priority: 0
    media: Ethernet autoselect (100baseTX full-duplex,rxpause,txpause)
    status: active
enc0: flags=0<>
    priority: 0
    groups: enc
    status: active
bridge0: flags=41<UP,RUNNING>
    groups: bridge
    priority 32768 hellotime 2 fwddelay 15 maxage 20 holdcnt 6 proto rstp
    em0 flags=7<LEARNING,DISCOVER,BLOCKNONIP>
            port 1 ifpriority 0 ifcost 0
    em1 flags=7<LEARNING,DISCOVER,BLOCKNONIP>
            port 2 ifpriority 0 ifcost 0
pflog0: flags=141<UP,RUNNING,PROMISC> mtu 33144
    priority: 0
    groups: pflog

Как я могу заставить это работать? Что не так с моими правилами pf?

Обновить

Это становится немного странным

Если я использую

pass in quick log on $int_if inet proto tcp to port 80 divert-to 127.0.0.1 port 3129
pass out quick log from 127.0.0.1 divert-reply

Я получаю следующее в журнале:

rule 3/(match) pass in on em0: 233.297.39.227.32880 > 153.94.152.119.87: S 2656450467:2656450467(0) win 65535 <mss 1460,nop,wscale 5,nop,nop,timestamp 605332037 0,[|tcp]> (DF)

Если я изменю это на

pass in quick log on $int_if inet proto tcp to port 80 rdr-to 127.0.0.1 port 3129
pass out quick log from 127.0.0.1 divert-reply

В журнале я получаю следующее, однако в логах squid ничего не отображается, и неудивительно, что время ожидания запросов к веб-сайтам истекло

rule 3/(match) pass in on em0: 233.297.39.227.39091 > 127.0.0.1.3129: S 409217949:409217949(0) win 65535 <mss 1460,nop,wscale 5,nop,nop,timestamp 605394683 0,[|tcp]> (DF)