{"id":300088,"date":"2020-03-13T15:00:12","date_gmt":"2020-03-13T15:00:12","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=300088"},"modified":"-0001-11-30T00:00:00","modified_gmt":"2020-03-13T15:00:12","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=300088","title":{"rendered":"\u041f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u044b\u0439 Squid \u0441 SSL-Bump \u0434\u043b\u044f Gentoo \u0441 nft"},"content":{"rendered":"\n<div class=\"post__text post__text-html post__text_v1\" id=\"post-content-body\" data-io-article-url=\"https:\/\/habr.com\/ru\/company\/infowatch\/blog\/492260\/\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/6i\/gj\/ij\/6igjijyvov-oxhfi4er8ecb6fu4.png\" alt=\"image\"><\/p>\n<h3>\u041f\u0440\u0435\u0434\u044b\u0441\u0442\u043e\u0440\u0438\u044f<\/h3>\n<p>  \u041d\u0435\u0434\u0430\u0432\u043d\u043e \u044f \u0432\u0437\u044f\u043b\u0441\u044f \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u0442\u044c \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u044d\u043a\u0440\u0430\u043d \u043d\u0430 \u0441\u0432\u043e\u0435\u0439 \u0420\u0421 \u0441 \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u044b\u0445 \u0432\u0440\u0435\u043c\u0435\u043d\u0435\u043c iptables \u043d\u0430 \u043d\u043e\u0432\u0435\u043d\u044c\u043a\u0438\u0435 nftables. \u0414\u043b\u044f \u0431\u043e\u043b\u0435\u0435 \u0443\u0433\u043b\u0443\u0431\u043b\u0451\u043d\u043d\u043e\u0433\u043e \u0438\u0437\u0443\u0447\u0435\u043d\u0438\u044f \u0442\u0430\u0431\u043b\u0438\u0446 nf \u044f \u043f\u043e\u0441\u0442\u0430\u0432\u0438\u043b \u0441\u0435\u0431\u0435 \u0437\u0430\u0434\u0430\u0447\u0443: \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u044b\u0439 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440 (Squid) \u0441 \u0440\u0430\u0437\u0431\u043e\u0440\u043e\u043c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439 (HTTPS) \u0434\u043b\u044f \u0440\u0430\u0437\u0434\u0430\u0447\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0432 \u0418\u043d\u0442\u0435\u0440\u043d\u0435\u0442 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c \u043c\u0430\u0448\u0438\u043d\u0430\u043c, \u0420\u0421 \u00abRaspberry Pi\u00bb, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0441\u0432\u043e\u0435\u043c\u0443 \u0441\u043c\u0430\u0440\u0442\u0444\u043e\u043d\u0443 (\u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u043c\u0443 \u0441 \u041e\u0421 \u00abAndroid\u00bb 6-\u0433\u043e \u0432\u044b\u043f\u0443\u0441\u043a\u0430) \u043f\u043e \u0431\u0435\u0441\u043f\u0440\u043e\u0432\u043e\u0434\u043d\u043e\u043c\u0443 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044e (\u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f hostapd).<a name=\"habracut\"><\/a><\/p>\n<h3>\u041e\u0431\u043e\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f<\/h3>\n<p>  <\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<td>\u0411\u0443\u043a\u0432\u044b \u0440\u0430\u0432\u043d\u043e\u0439 \u0448\u0438\u0440\u0438\u043d\u044b<\/td>\n<td>\u041f\u0440\u0438\u043a\u0430\u0437\u044b \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438 \u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432.<\/td>\n<\/tr>\n<tr>\n<td><b>\u041f\u043e\u043b\u0443\u0436\u0438\u0440\u043d\u044b\u0435 \u0431\u0443\u043a\u0432\u044b<\/b><\/td>\n<td>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438, \u0441\u0442\u0440\u043e\u0433\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u0434\u043b\u044f \u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u043e\u0433\u043e \u043f\u043e\u0441\u0440\u0435\u0434\u043d\u0438\u0447\u0435\u0441\u0442\u0432\u0430.<\/td>\n<\/tr>\n<tr>\n<td><i>\u041d\u0430\u043a\u043b\u043e\u043d\u043d\u044b\u0435 \u0431\u0443\u043a\u0432\u044b<\/i><\/td>\n<td>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438, \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b\u0435 \u0434\u043b\u044f \u043c\u043e\u0435\u0439 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 (\u043d\u043e\u043c\u0435\u0440\u0430 \u0432\u044b\u043f\u0443\u0441\u043a\u043e\u0432 \u041f\u041e, \u0430\u0434\u0440\u0435\u0441\u0430 \u043a\u0430\u043d\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0438 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f, \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432 \u0438 \u0442. \u043f.). \u0412 \u0432\u0430\u0448\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f, \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0431\u0443\u0434\u0443\u0442 \u0434\u0440\u0443\u0433\u0438\u043c\u0438.<\/td>\n<\/tr>\n<tr>\n<td><u>\u041f\u043e\u0434\u0447\u0451\u0440\u043a\u043d\u0443\u0442\u044b\u0435 \u0431\u0443\u043a\u0432\u044b<\/u><\/td>\n<td>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438, \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439<\/td>\n<\/tr>\n<\/table>\n<\/div>\n<p>  <\/p>\n<h3>\u0414\u0430\u043d\u043e<\/h3>\n<p>  <\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<td>\u041e\u043f\u0435\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u0430\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430<\/td>\n<td>\u00abGentoo Linux\u00bb \u0441\u043e \u0441\u043b\u0443\u0436\u0431\u043e\u0439 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0441\u043b\u0443\u0436\u0431 \u00abOpenRC\u00bb.<br \/>  \u0412\u0441\u0435 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0438\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0431\u0443\u0434\u0443\u0442 \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043c\u044b \u043a \u044d\u0442\u043e\u0439 \u043f\u043e\u0441\u0442\u0430\u0432\u043a\u0435  <\/td>\n<\/tr>\n<tr>\n<td>\u042f\u0434\u0440\u043e<\/td>\n<td>sys-kernel\/gentoo-sources-5.3.1<br \/>  USE=&quot;&quot;<br \/>  \u0417\u0434\u0435\u0441\u044c \u0438 \u0434\u0430\u043b\u0435\u0435 \u0441\u043d\u044f\u0442\u044b\u0435 USE-\u0444\u043b\u0430\u0433\u0438 \u043d\u0435 \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u044b  <\/td>\n<\/tr>\n<tr>\n<td>\u041f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440<\/td>\n<td>net-proxy\/squid-4.8<br \/>  USE=&quot;<b>caps<\/b> ssl ssl-crtd&quot;  <\/td>\n<\/tr>\n<tr>\n<td><u>\u0411\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f<\/u><\/td>\n<td>dev-libs\/openssl-1.1.1c-r1<br \/>  USE=\u00abasm test zlib\u00bb  <\/td>\n<\/tr>\n<tr>\n<td><b>\u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 nft<\/b><\/td>\n<td>net-firewall\/nftables-0.9.2<br \/>  USE=\u00abdoc gmp modern_kernel\u00bb  <\/td>\n<\/tr>\n<tr>\n<td><b>\u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 ip<\/b><\/td>\n<td>sys-apps\/iproute2-5.2.0-r1<br \/>  USE=\u00abcaps minimal\u00bb  <\/td>\n<\/tr>\n<tr>\n<td>\u0421\u043b\u0443\u0436\u0431\u0430 \u0437\u0430\u043f\u0438\u0441\u0438 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b<\/td>\n<td>app-admin\/ulogd-2.0.7-r1<br \/>  USE=\u00abnfct nflog\u00bb  <\/td>\n<\/tr>\n<\/table>\n<\/div>\n<p>  <\/p>\n<h3>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u044f\u0434\u0440\u0430<\/h3>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/ji\/de\/sw\/jideswukirdke8u-7ud5kv6zsya.png\" alt=\"image\">  <\/p>\n<div class=\"spoiler\"><b class=\"spoiler_title\">\u0422\u043e\u0436\u0435 \u0441\u0430\u043c\u043e\u0435, \u043d\u043e \u0442\u0435\u043a\u0441\u0442\u043e\u043c<\/b><\/p>\n<div class=\"spoiler_text\"><code>[*] Networking support ---&gt;<br \/>   Networking options ---&gt;<br \/>   [*] TCP\/IP networking<br \/>   [*] IP: advanced router<br \/>   [*] IP: policy routing<br \/>   [*] Network packet filtering framework (Netfilter) ---&gt;<br \/>   [*] Advanced netfilter configuration<br \/>   Core Netfilter Configuration ---&gt;<br \/>   # \u043d\u0435 \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u043d\u043e \u043f\u0440\u0438\u0433\u043e\u0434\u0438\u0442\u0441\u044f \u0434\u043b\u044f \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043d\u0430 \u0432\u0445\u043e\u0434\u0435 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432<br \/>   [*] Netfilter ingress support<br \/>   # \u043d\u0435 \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u043d\u043e \u043f\u0440\u0438\u0433\u043e\u0434\u0438\u0442\u0441\u044f \u0434\u043b\u044f \u043e\u0442\u043b\u0430\u0434\u043a\u0438<br \/>   &lt;*&gt; Netfilter LOG over NFNETLINK interface<br \/>   &lt;*&gt; Netfilter connection tracking support<br \/>   &lt;*&gt; Netfilter nf_tables support<br \/>   &lt;*&gt; Netfilter nf_tables set infrastructure<br \/>   # \u043d\u0435 \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u043d\u043e \u043f\u0440\u0438\u0433\u043e\u0434\u0438\u0442\u0441\u044f \u0434\u043b\u044f \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043d\u0430 \u0432\u0445\u043e\u0434\u0435 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432<br \/>   [*] Netfilter nf_tables netdev tables support<br \/>   &lt;*&gt; Netfilter nf_tables conntrack module<br \/>   # \u043d\u0435 \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u043d\u043e \u043f\u0440\u0438\u0433\u043e\u0434\u0438\u0442\u0441\u044f \u0434\u043b\u044f \u043e\u0442\u043b\u0430\u0434\u043a\u0438<br \/>   &lt;*&gt; Netfilter nf_tables counter module<br \/>   # \u043d\u0435 \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u043d\u043e \u043f\u0440\u0438\u0433\u043e\u0434\u0438\u0442\u0441\u044f \u0434\u043b\u044f \u043e\u0442\u043b\u0430\u0434\u043a\u0438<br \/>   &lt;*&gt; Netfilter nf_tables log module<br \/>   &lt;*&gt; Netfilter nf_tables masquerade support<br \/>   &lt;*&gt; Netfilter nf_tables nat module<br \/>   &lt;*&gt; Netfilter nf_tables socket match support<br \/>   &lt;*&gt; Netfilter nf_tables tproxy support<br \/>   IP: Netfilter Configuration ---&gt;<br \/>   [*] IPv4 nf_tables support<br \/>   # \u043d\u0435 \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u043d\u043e \u043f\u0440\u0438\u0433\u043e\u0434\u0438\u0442\u0441\u044f \u0434\u043b\u044f \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043d\u0430 \u043a\u0430\u043d\u0430\u043b\u044c\u043d\u043e\u043c \u0443\u0440\u043e\u0432\u043d\u0435<br \/>   &lt;*&gt; Ethernet Bridge nf_tables support ---&gt;<br \/>  <\/code>  <\/div>\n<\/div>\n<p>  \u0414\u043b\u044f \u0441\u043f\u0440\u0430\u0432\u043a\u0438 \u043f\u0440\u0438\u0432\u043e\u0436\u0443 \u0432\u044b\u0434\u0435\u0440\u0436\u043a\u0443 \u0438\u0437 \/usr\/src\/linux\/.config:<\/p>\n<p>  CONFIG_NET=y<br \/>  CONFIG_INET=y<br \/>  <b>CONFIG_IP_ADVANCED_ROUTER=y<br \/>  CONFIG_IP_MULTIPLE_TABLES=y<\/b><br \/>  CONFIG_NETFILTER=y<br \/>  CONFIG_NETFILTER_ADVANCED=y<br \/>  CONFIG_NETFILTER_INGRESS=y<br \/>  CONFIG_NETFILTER_NETLINK=y<br \/>  CONFIG_NETFILTER_NETLINK_LOG=y<br \/>  CONFIG_NF_CONNTRACK=y<br \/>  CONFIG_NF_TABLES=y<br \/>  CONFIG_NF_TABLES_SET=y<br \/>  CONFIG_NF_TABLES_NETDEV=y<br \/>  CONFIG_NFT_CT=y<br \/>  CONFIG_NFT_COUNTER=y<br \/>  CONFIG_NFT_LOG=y<br \/>  CONFIG_NFT_MASQ=y<br \/>  CONFIG_NFT_NAT=y<br \/>  <b>CONFIG_NFT_SOCKET=y<br \/>  CONFIG_NFT_TPROXY=y<\/b><br \/>  CONFIG_NF_TABLES_BRIDGE=y<\/p>\n<h3>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u0441\u0435\u0442\u0438<\/h3>\n<p>  \u0415\u0441\u043b\u0438 \u0441\u043b\u0443\u0436\u0431\u0430 net.lo \u043d\u0435 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u0432 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u00abboot\u00bb, \u0442\u043e \u0435\u0451 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0442\u0443\u0434\u0430 \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c:<\/p>\n<pre><code class=\"bash\">rc-config add net.lo boot<\/code><\/pre>\n<p>  \u041f\u043e\u0434\u043e\u0431\u043d\u044b\u043c \u0436\u0435 \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0441\u043e\u0437\u0434\u0430\u043d\u044b \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d\u044b \u043d\u0430 \u0437\u0430\u043f\u0443\u0441\u043a \u0434\u043b\u044f \u0443\u0440\u043e\u0432\u043d\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u00abdefault\u00bb \u0441\u043b\u0443\u0436\u0431\u044b net.<i>br0<\/i> (\u043c\u043e\u0441\u0442 \u0434\u043b\u044f \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d \u0438 \u0441\u043c\u0430\u0440\u0442\u0444\u043e\u043d\u0430), net.<i>enp0s25<\/i> (\u043f\u0440\u043e\u0432\u043e\u0434\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441) \u0438 net.<i>wlp3s0<\/i> (\u0431\u0435\u0441\u043f\u0440\u043e\u0432\u043e\u0434\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441), \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440:<\/p>\n<pre><code class=\"bash\">ln -s net.lo \/etc\/init.d\/net.br0 rc-config add net.br0 default <\/code><\/pre>\n<p>  \u0418\u0442\u043e\u0433\u043e\u0432\u044b\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \/etc\/conf.d\/net \u0432 \u043d\u0430\u0448\u0435\u043c \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a (\u0437\u0430 \u0432\u044b\u0447\u0435\u0442\u043e\u043c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u044f\u0449\u0438\u0445\u0441\u044f \u043a \u043d\u0430\u0448\u0435\u0439 \u0437\u0430\u0434\u0430\u0447\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a):<br \/>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/ij\/tr\/ss\/ijtrssmgqse8ds1utvhxm5pyafm.png\" alt=\"image\">  <\/p>\n<div class=\"spoiler\"><b class=\"spoiler_title\">\u0422\u043e\u0436\u0435 \u0441\u0430\u043c\u043e\u0435, \u043d\u043e \u0442\u0435\u043a\u0441\u0442\u043e\u043c<\/b><\/p>\n<div class=\"spoiler_text\"><code># TProxy<br \/>  routes_lo='local default dev lo table 3128'<\/p>\n<p>  # Qemu bridge<br \/>  bridge_force_br0=''<br \/>  mac_br0='XX:XX:XX:XX:XX:XX'<br \/>  config_br0='192.168.120.1\/24'<\/p>\n<p>  # Ethernet<br \/>  config_enp0s25='dhcp'<br \/>  modules_enp0s25='udhcpc'<br \/>  dhcp_enp0s25='release nontp'<br \/>  udhcpc_enp0s25='--retries 8 --timeout 10'<br \/>  fallback_enp0s25='10.a.b.c\/16'<br \/>  fallback_routes_enp0s25='default via 10.a.0.1'<\/p>\n<p>  # Wi-Fi<br \/>  if [[ -f \/var\/lib\/misc\/hostapd ]]; then<br \/>   modules_wlp3s0=&quot;!ifconfig !iwconfig !wpa_supplicant&quot;<br \/>   config_wlp3s0='null'<br \/>  else<br \/>   config_wlp3s0='dhcp'<br \/>   modules_wlp3s0='udhcpc'<br \/>   wpa_supplicant_wlp3s0='-Dnl80211'<br \/>  fi<\/p>\n<p>  postup() {<br \/>   if [ &quot;${IFACE}&quot; == lo ]; then<br \/>   ip rule add fwmark 3128 lookup 3128<br \/>   fi<br \/>   return 0<br \/>  }<br \/>  <\/code>  <\/div>\n<\/div>\n<p>  \u0412\u044b\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u044e\u0442 \u043d\u043e\u0432\u0443\u044e \u0442\u0430\u0431\u043b\u0438\u0446\u0443 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438, \u0432 \u0434\u0430\u043d\u043d\u043e\u043c \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u043f\u043e\u0434 \u043d\u043e\u043c\u0435\u0440\u043e\u043c 3128, \u0438 \u0432\u043e\u0440\u043e\u0442\u0430 \u2014 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0434\u043b\u044f \u043d\u0435\u0451 (\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u00abloopback\u00bb), \u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u2014 \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043f\u0430\u043a\u0435\u0442\u044b, \u043f\u043e\u043c\u0435\u0447\u0435\u043d\u043d\u044b\u0435 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u044b\u043c \u044d\u043a\u0440\u0430\u043d\u043e\u043c \u043c\u0435\u0442\u043a\u043e\u0439 \u043d\u043e\u043c\u0435\u0440 3128 (\u0434\u0435\u0441\u044f\u0442\u0438\u0447\u043d\u044b\u0435 \u0447\u0438\u0441\u043b\u0430 \u0432 \u043e\u0431\u043e\u0438\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445), \u0431\u0443\u0434\u0443\u0442 \u043e\u0431\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u044d\u0442\u0438\u043c \u0440\u0430\u0441\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c.<br \/>  \u0427\u0442\u043e\u0431\u044b \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c\u044b\u0435 \u043f\u0430\u043a\u0435\u0442\u044b \u043d\u0435 \u0431\u044b\u043b\u0438 \u043e\u0442\u0431\u0440\u043e\u0448\u0435\u043d\u044b \u0438\u0437-\u0437\u0430 \u043d\u0435\u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u044f \u0430\u0434\u0440\u0435\u0441\u043e\u0432 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f (\u043f\u0440\u0438 \u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u043e\u043c \u043f\u0440\u043e\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0430\u043a\u0435\u0442\u044b \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u044e\u0442\u0441\u044f \u0432 \u043f\u0435\u0440\u0432\u043e\u0437\u0434\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435!) \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u0432 \/etc\/sysctl.conf \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 (\u0438\u043b\u0438 \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0443\u0436\u0435 \u0438\u043c\u0435\u044e\u0449\u0438\u0435\u0441\u044f):<br \/>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/hn\/44\/lp\/hn44lpq6q4fnukzklzjnanliucy.png\" alt=\"image\"><br \/>  \u0415\u0441\u043b\u0438 \u043d\u0443\u0436\u043d\u043e \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u0442\u044c \u044d\u0442\u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0434\u043e \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438, \u0442\u043e \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0437\u0430\u0434\u0430\u0442\u044c \u0438\u0445 \u0434\u043b\u044f \u043e\u0431\u043e\u0438\u0445 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432 \u0441 \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c \u0432 \u0418\u043d\u0442\u0435\u0440\u043d\u0435\u0442:<\/p>\n<pre><code class=\"bash\">sysctl net.ipv4.conf.enp0s25.rp_filter=0 sysctl net.ipv4.conf.wlp3s0.rp_filter=0<\/code><\/pre>\n<p>  <\/p>\n<h3>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430<\/h3>\n<p>  \u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 (\u043d\u0435\u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u044b\u0439) \u043f\u043e\u0440\u0442 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0443 \u043d\u0430\u0441 \u0431\u0443\u0434\u0435\u0442 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0451\u043d \u043d\u0430 \u0430\u0434\u0440\u0435\u0441\u0435 \u043c\u043e\u0441\u0442\u0430 (<i>192.168.120.1<\/i>), \u0434\u043e\u0431\u0430\u0432\u0438\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443 \u0432 \/etc\/rc.conf:<\/p>\n<pre><code class=\"bash\">rc_squid_need=&quot;net.br0&quot;<\/code><\/pre>\n<p>  \u0421\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0432 \u0440\u0430\u043c\u043a\u0430\u0445 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d\u044b \u043d\u0435 \u0431\u0443\u0434\u0443\u0442:  <\/p>\n<ul>\n<li>\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043b\u0438\u0447\u043d\u043e\u0441\u0442\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u043d\u0430 \u043e\u0431\u044b\u0447\u043d\u043e\u043c (\u043d\u0435\u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u043e\u043c) \u043f\u043e\u0440\u0442\u0443;<\/li>\n<li>ICAP \u0434\u043b\u044f \u043e\u0431\u044a\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0441 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e\u043c \u043f\u0440\u0435\u0434\u043e\u0442\u0432\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u0443\u0442\u0435\u0447\u0435\u043a \u0434\u0430\u043d\u043d\u044b\u0445 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, InfoWatch Traffic Monitor);<\/li>\n<li>\u0412\u044b\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u043a\u043b\u044e\u0447\u0435\u0439 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430.<\/li>\n<\/ul>\n<p>  \u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \/etc\/squid\/squid.conf \u0432 \u0438\u0442\u043e\u0433\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a (\u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439 \u043f\u0440\u0438\u0432\u043e\u0436\u0443 \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e):<br \/>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/9l\/q8\/k3\/9lq8k3q9zsxsp8iedwfxqdnvzeq.png\" alt=\"image\"><br \/>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/3t\/4n\/zz\/3t4nzzhfayg0nz-fjnlyetksspy.png\" alt=\"image\">  <\/p>\n<div class=\"spoiler\"><b class=\"spoiler_title\">\u0422\u043e\u0436\u0435 \u0441\u0430\u043c\u043e\u0435, \u043d\u043e \u0442\u0435\u043a\u0441\u0442\u043e\u043c<\/b><\/p>\n<div class=\"spoiler_text\"><code> # \u0417\u0430\u0434\u0430\u0451\u043c \u043f\u0435\u0440\u0435\u0447\u0435\u043d\u044c \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d<br \/>  1 acl virtual_machines src 192.168.120.0\/24<br \/>  2 acl SSL_ports port 443<br \/>   # \u041f\u0440\u0438\u043c\u0435\u0440 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u043d\u0435\u043e\u0431\u044b\u0447\u043d\u043e\u0433\u043e \u0434\u043b\u044f \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439 HTTPS \u043f\u043e\u0440\u0442\u0430<br \/>  3 acl SSL_ports port 1012 # \u0434\u043b\u044f badssl.com<br \/>   # \u041f\u0440\u0438\u043c\u0435\u0440 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u043d\u0435\u043e\u0431\u044b\u0447\u043d\u043e\u0433\u043e \u0434\u043b\u044f \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439 HTTPS \u043f\u043e\u0440\u0442\u0430<br \/>  4 acl SSL_ports port 33443 # getcourse.ru \u0434\u043b\u044f artlinerschool.ru<br \/>  5 acl Safe_ports port 21 # ftp<br \/>  6 acl Safe_ports port 80 # http<br \/>  7 acl Safe_ports port 443 # https<br \/>   # \u041f\u0440\u0438\u043c\u0435\u0440 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u043d\u0435\u043e\u0431\u044b\u0447\u043d\u043e\u0433\u043e \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u0440\u0442\u0430<br \/>  8 acl Safe_ports port 1012 # \u0434\u043b\u044f badssl.com<br \/>  9 acl Safe_ports port 1025-65535 # \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u043f\u043e\u0440\u0442\u044b<br \/>  10 acl CONNECT method CONNECT <br \/>  11 http_access deny !Safe_ports<br \/>  12 http_access deny CONNECT !SSL_ports<br \/>  13 http_access allow localhost manager<br \/>  14 http_access deny manager<br \/>  15 http_access allow localhost<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d \u043a \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0443<br \/>  16 http_access allow virtual_machines<br \/>  17 http_access deny all<br \/>   # \u041d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 (\u043d\u0435\u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u044b\u0439) \u043f\u043e\u0440\u0442. \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c \u0430\u0434\u0440\u0435\u0441 \u043c\u043e\u0441\u0442\u0430, \u043d\u0430 \u0441\u043b\u0443\u0447\u0430\u0439 \u043f\u0440\u044f\u043c\u043e\u0433\u043e \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043a\u0430\u043a \u043a \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0443 FTP)<br \/>  18 http_port 192.168.120.1:3128 ssl-bump options=ALL:NO_SSLv3:NO_TLSv1 cert=\/etc\/squid\/squid.pem<br \/>   # \u041d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c \u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u044b\u0439 \u043f\u043e\u0440\u0442 \u0434\u043b\u044f \u043d\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439. \u0422\u0443\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c \u0430\u0434\u0440\u0435\u0441 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 \u00abloopback\u00bb, \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u043d\u0430 \u043d\u0435\u0433\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0442\u0430\u0431\u043b\u0438\u0446\u0430 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u043e\u0434 \u043d\u043e\u043c\u0435\u0440\u043e\u043c 3128, \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u043e\u0435 \u0440\u0430\u043d\u0435\u0435, \u0438 \u043d\u0430 \u043d\u0435\u0433\u043e \u0436\u0435 \u0431\u0443\u0434\u0443\u0442 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u044d\u043a\u0440\u0430\u043d\u0430<br \/>  19 http_port 127.0.0.1:3129 tproxy<br \/>   # \u041d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c \u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u044b\u0439 \u043f\u043e\u0440\u0442\u044b \u0434\u043b\u044f \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439. \u0422\u0443\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c \u0430\u0434\u0440\u0435\u0441 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 \u00abloopback\u00bb, \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u043d\u0430 \u043d\u0435\u0433\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0442\u0430\u0431\u043b\u0438\u0446\u0430 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u043e\u0434 \u043d\u043e\u043c\u0435\u0440\u043e\u043c 3128, \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u043e\u0435 \u0440\u0430\u043d\u0435\u0435, \u0438 \u043d\u0430 \u043d\u0435\u0433\u043e \u0436\u0435 \u0431\u0443\u0434\u0443\u0442 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u044d\u043a\u0440\u0430\u043d\u0430<br \/>  20 https_port 127.0.0.1:3130 tproxy ssl-bump options=ALL:NO_SSLv3:NO_TLSv1 cert=\/etc\/squid\/squid.pem<br \/>   # \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440 \u0432\u044b\u0445\u043e\u0434\u0438\u0442 \u0432 \u0441\u0435\u0442\u044c \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e, \u0431\u0435\u0437 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432<br \/>  21 always_direct allow all<br \/>   # \u0417\u0430\u0434\u0430\u0451\u043c \u043f\u0435\u0440\u0435\u0447\u0435\u043d\u044c \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u044b\u0445 \u0441\u0442\u0440\u0430\u043d\u0438\u0446, \u0438\u043c\u0435\u044e\u0449\u0438\u043c \u0441\u0430\u043c\u043e\u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442<br \/>  22 acl BrokenButTrustedServers dstdomain &quot;\/etc\/squid\/selfsigned.txt&quot;<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u043a \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u044b\u043c \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0430\u043c, \u0438\u043c\u0435\u044e\u0449\u0438\u043c \u0441\u0430\u043c\u043e\u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442<br \/>  23 sslproxy_cert_error allow BrokenButTrustedServers<br \/>  24 sslproxy_cert_error deny all<br \/>   # \u0414\u043b\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0442\u043e\u043b\u044c\u043a\u043e \u0441\u0432\u0435\u0436\u0430\u0439\u0448\u0438\u0435 \u0432\u044b\u043f\u0443\u0441\u043a\u0438 TLS<br \/>  25 tls_outgoing_options min-version=1.2<br \/>   # \u0417\u0430\u0434\u0430\u0451\u043c \u043f\u0435\u0440\u0435\u0447\u0435\u043d\u044c \u043d\u0435\u043f\u043e\u0442\u0440\u0435\u0431\u043d\u044b\u0445 \u0441\u0442\u0440\u0430\u043d\u0438\u0446<br \/>  26 acl blocked ssl::server_name &quot;\/etc\/squid\/blocked_domains.txt&quot;<br \/>   # \u0417\u0430\u0434\u0430\u0451\u043c \u043f\u0435\u0440\u0435\u0447\u0435\u043d\u044c \u0441\u0442\u0440\u0430\u043d\u0438\u0446, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u044e\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0438\u0437-\u0437\u0430 \u043f\u043e\u0434\u043c\u0435\u043d\u044b \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 (\u0432 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c \u044d\u0442\u043e \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u0447\u0430\u0441\u0442\u043d\u044b\u0445 \u0441\u0435\u0442\u0435\u0439 \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 SSL)<br \/>  27 acl fragile dstdomain &quot;\/etc\/squid\/fragile_domains.txt&quot;<br \/>  28 acl step1 at_step SslBump1<br \/>  29 ssl_bump peek step1<br \/>   # \u0417\u0430\u043f\u0440\u0435\u0449\u0430\u0435\u043c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u043d\u0435\u043f\u043e\u0442\u0440\u0435\u0431\u043d\u044b\u043c \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0430\u043c<br \/>  30 ssl_bump terminate blocked<br \/>   # \u0414\u0435\u043b\u0430\u0435\u043c \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0438\u0437 \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0434\u043b\u044f \u0441\u0442\u0440\u0430\u043d\u0438\u0446, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u044e\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0438\u0437-\u0437\u0430 \u043f\u043e\u0434\u043c\u0435\u043d\u044b \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430<br \/>  31 ssl_bump splice fragile<br \/>   # \u0412\u0441\u0435 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u043c, \u043f\u043e\u0434\u043c\u0435\u043d\u044f\u044f \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430<br \/>  32 ssl_bump bump all<br \/>   # \u041d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u043f\u043e\u0434\u043c\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432<br \/>  33 sslcrtd_program \/usr\/libexec\/squid\/security_file_certgen -s \/var\/lib\/squid\/ssl -M 4MB<br \/>  34 cache_dir rock \/var\/cache\/squid-r 512 max-size=32768<br \/>  35 cache_dir aufs \/var\/cache\/squid 512 64 1024 min-size=32768<br \/>  36 coredump_dir \/var\/tmp\/squid<br \/>  37 refresh_pattern ^ftp: 1440 20% 10080<br \/>  38 refresh_pattern -i (\/cgi-bin\/|\\?) 0 0% 0<br \/>  39 refresh_pattern . 0 20% 4320<br \/>  40 memory_replacement_policy heap GDSF<br \/>  41 cache_replacement_policy LFUDA<br \/>  42 maximum_object_size 32 MB<br \/>  43 logfile_rotate 3<br \/>  44 debug_options ALL,1,rotate=3<br \/>  45 cache_mem 512 MB<br \/>  46 visible_hostname host.shadow.amn<br \/>  47 udp_incoming_address 127.0.0.1<br \/>  48 pinger_enable off<br \/>  <\/code>  <\/div>\n<\/div>\n<p>  <\/p>\n<h3>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u044d\u043a\u0440\u0430\u043d\u0430<\/h3>\n<p>  \u041d\u0430\u0441\u0442\u0440\u043e\u0438\u043c \u0437\u0430\u043f\u0443\u0441\u043a \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u00abdefault\u00bb \u0441\u043b\u0443\u0436\u0431 nftables \u0438 ulogd (\u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044f\u044f \u043d\u0443\u0436\u043d\u0430 \u0434\u043b\u044f \u0443\u0432\u0435\u0434\u043e\u043c\u043b\u0435\u043d\u0438\u044f \u043e \u043f\u0430\u043a\u0435\u0442\u0430\u0445):<\/p>\n<pre><code class=\"bash\">rc-config add nftables default rc-config add ulogd default<\/code><\/pre>\n<p>  \u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0432 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u0445 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u044d\u043a\u0440\u0430\u043d\u0430 \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u0442\u044c \u043c\u043e\u0441\u0442, \u0434\u043e\u0431\u0430\u0432\u0438\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443 \u0432 \/etc\/rc.conf:<\/p>\n<pre><code class=\"bash\">rc_nftables_need=&quot;net.br0&quot;<\/code><\/pre>\n<p>  \u0414\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0443\u0432\u0435\u0434\u043e\u043c\u043b\u0435\u043d\u0438\u044f \u0432 \/etc\/sysctl.conf \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443:<\/p>\n<pre><code class=\"bash\">net.netfilter.nf_log.2 = nfnetlink_log<\/code><\/pre>\n<p>  \u0427\u0442\u043e\u0431\u044b \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u043d\u0430\u0445\u043e\u0434\u0438\u043b\u0441\u044f \u0432 \u043f\u0430\u043f\u043a\u0435 \/etc\/nftables, \u0432\u043d\u0435\u0441\u0451\u043c \u0442\u0430\u043a\u043e\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0432 \/etc\/conf.d\/nftables:<\/p>\n<pre><code class=\"bash\">NFTABLES_SAVE=&quot;\/etc\/nftables\/rules-save&quot;<\/code><\/pre>\n<p>  \u0427\u0442\u043e\u0431\u044b \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u043d\u0435 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u043b\u0438\u0441\u044c \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u043c \u0444\u0430\u0439\u043b\u0435, \u0432\u043d\u0435\u0441\u0451\u043c \u0435\u0449\u0451 \u043e\u0434\u043d\u043e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0432 \/etc\/conf.d\/nftables:<\/p>\n<pre><code class=\"bash\">SAVE_ON_STOP=&quot;no&quot;<\/code><\/pre>\n<p>  \u041e\u043f\u0438\u0448\u0443 \u0437\u0430\u0434\u0430\u0447\u0438, \u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u043f\u0435\u0440\u0435\u0434 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u044b\u043c \u044d\u043a\u0440\u0430\u043d\u043e\u043c:<\/p>\n<ol>\n<li>\u041f\u0440\u0430\u0432\u0438\u043b\u0430 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0432\u043e \u0432\u0441\u0435\u0445 \u0446\u0435\u043f\u043e\u0447\u043a\u0430\u0445 \u0442\u0430\u0431\u043b\u0438\u0446\u044b ip filter \u0434\u043e\u043b\u0436\u043d\u044b \u043f\u0430\u043a\u0435\u0442\u044b \u0443\u0434\u0430\u043b\u044f\u0442\u044c (\u0434\u0430\u0436\u0435 \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 output!). \u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e \u0434\u043b\u044f \u0442\u0430\u0431\u043b\u0438\u0446 netdev filter;<\/li>\n<li>\u041e\u0431\u043c\u0435\u043d \u043b\u044e\u0431\u043e\u0433\u043e \u0432\u0438\u0434\u0430, \u043a\u0440\u043e\u043c\u0435 IPv4 \u0438 \u043e\u0442\u043d\u043e\u0441\u044f\u0449\u0435\u0433\u043e\u0441\u044f \u043a \u043d\u0435\u043c\u0443 \u0441\u043b\u0443\u0436\u0435\u0431\u043d\u043e\u0433\u043e \u043e\u0431\u043c\u0435\u043d\u0430 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, ARP), \u043f\u0440\u0435\u0441\u0435\u043a\u0430\u0435\u0442\u0441\u044f \u043d\u0430\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e \u0440\u0430\u043d\u044c\u0448\u0435 (\u043d\u0438 IPv4, \u043d\u0438 IPSec \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f);<\/li>\n<li>\u041c\u043d\u043e\u0433\u043e\u0430\u0434\u0440\u0435\u0441\u043d\u044b\u0435 \u043f\u0430\u043a\u0435\u0442\u044b IPv4 \u0442\u0430\u043a\u0436\u0435 \u0443\u0434\u0430\u043b\u044f\u044e\u0442\u0441\u044f \u043d\u0430\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e \u0440\u0430\u043d\u044c\u0448\u0435;<\/li>\n<li>\u0414\u043b\u044f \u0437\u0430\u0449\u0438\u0442\u044b Android-\u0441\u043c\u0430\u0440\u0442\u0444\u043e\u043d\u0430 (\u043f\u0440\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0438 \u043a \u043c\u043e\u0441\u0442\u0443 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f hostapd) \u0448\u0438\u0440\u043e\u043a\u043e\u0432\u0435\u0449\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043e\u0431\u043c\u0435\u043d, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c\u044b\u0439 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u043c\u0430\u0448\u0438\u043d\u0430\u043c\u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u043c\u0438 \u043f\u043e\u0434 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u041e\u0421 \u00abMicrosoft Windows\u00bb, \u043d\u0435 \u0434\u043e\u043b\u0436\u0435\u043d \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u0431\u0435\u0441\u043f\u0440\u043e\u0432\u043e\u0434\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441.<\/li>\n<li>\u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u043d\u0430\u0448\u0438\u043c Wi-Fi \u043c\u043e\u0436\u043d\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c\u0438 \u0441 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u043c\u0438 MAC-\u0430\u0434\u0440\u0435\u0441\u0430\u043c\u0438.<\/li>\n<\/ol>\n<p>  \u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \/etc\/nftables\/rules-save \u0432 \u0438\u0442\u043e\u0433\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a (\u0437\u0430 \u0432\u044b\u0447\u0435\u0442\u043e\u043c \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0430 \u043f\u043e\u044f\u0441\u043d\u0435\u043d\u0438\u0439):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/ch\/wy\/fw\/chwyfwcn5nv_n7nlt2zxrpdm53w.png\" alt=\"image\"><br \/>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/l4\/ne\/7s\/l4ne7sbb2axs_3d05e23aiq0qhg.png\" alt=\"image\"><br \/>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/sg\/fi\/tw\/sgfitwvevtdo4fz54ggdjrmosn4.png\" alt=\"image\"><br \/>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/iu\/o8\/hs\/iuo8hs0m7zteeidibt9auoamnca.png\" alt=\"image\"><br \/>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/ak\/9j\/xi\/ak9jxifxhq1s44cuanzyfqgyxlu.png\" alt=\"image\"><br \/>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/lt\/sb\/iw\/ltsbiweb6a1n-na0cabv2xegvjq.png\" alt=\"image\">  <\/p>\n<div class=\"spoiler\"><b class=\"spoiler_title\">\u0422\u043e\u0436\u0435 \u0441\u0430\u043c\u043e\u0435, \u043d\u043e \u0442\u0435\u043a\u0441\u0442\u043e\u043c<\/b><\/p>\n<div class=\"spoiler_text\"><code>1 #!\/sbin\/nft -f<br \/>   # \u0417\u0430\u0434\u0430\u0451\u043c \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0431\u0443\u0434\u0443\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u0445<br \/>  2 define icmp_types = { destination-unreachable, time-exceeded, parameter-problem, echo-request, echo-reply }<br \/>  3 define host = 192.168.120.1<br \/>  4 define br = br0<br \/>  5 define my_br_mac = XX:XX:XX:XX:XX:XX<br \/>  6 define eth = enp0s25<br \/>  7 define my_eth_mac = YY:YY:YY:YY:YY:YY<br \/>  8 define wifi = wlp3s0<br \/>  9 define my_wifi_mac = WW:WW:WW:WW:WW:WW<br \/>  10 define my_phone = TT:TT:TT:TT:TT:TT<br \/>  11 define virtual_machines = 192.168.120.0\/24<br \/>  12 define privileged_vm = { 192.168.120.22, 192.168.120.129 }<br \/>  13 define dhcp_client = 192.168.120.224\/27<br \/>  14 define transmission_port = 51413<br \/>  15 define no_track = { microsoft-ds, ms-wbt-server }<br \/>  16 define vm_ssh = 192.168.120.70<br \/>  17 define infowatch_pc = { 10.a.0.0\/16, 10.h.0.0\/16 }<br \/>  18 define infowatch_my = 10.a.b.c<br \/>  19 define squid_normal = 3128<br \/>  20 define squid_transp = 3129<br \/>  21 define squid_trassl = 3130<br \/>  22 define sslvpn.infowatch.com = 46.148.194.86<br \/>  23 define files.infowatch.ru = 178.16.25.15<br \/>  24 define iwprint.infowatch.ru = 10.d.e.f<br \/>  25 define s163.getcourses.ru = 95.213.153.163<br \/>  26 define tls-v1-2.badssl.com = 104.154.89.105<br \/>  27 flush ruleset<br \/>  28 table ip raw {<br \/>  29 chain prerouting {<br \/>  30 type filter hook prerouting priority -300;<br \/>   # \u041f\u044b\u0442\u0430\u0435\u043c\u0441\u044f \u043e\u0431\u043b\u0435\u0433\u0447\u0438\u0442\u044c \u0440\u0430\u0431\u043e\u0442\u0443 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u044d\u043a\u0440\u0430\u043d\u0430 \u0442\u0435\u043c, \u0447\u0442\u043e \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0441 \u0441\u0430\u043c\u044b\u043c \u0431\u043e\u043b\u044c\u0448\u0438\u043c \u043e\u0431\u044a\u0451\u043c\u043e\u043c \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u043d\u0435 \u0431\u0443\u0434\u0443\u0442<br \/>  31 meta l4proto { tcp, udp } th dport $transmission_port notrack<br \/>  32 tcp sport $no_track ip saddr != $iwprint.infowatch.ru notrack<br \/>  33 ip saddr { $sslvpn.infowatch.com, $files.infowatch.ru } tcp sport https notrack<br \/>  34 }<br \/>  35 }<br \/>  36 table ip filter {<br \/>  37 chain input {<br \/>  38 type filter hook input priority 0; policy drop;<br \/>   # \u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0432 \u044d\u0442\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0443\u0434\u0430\u043b\u044f\u0435\u0442 \u043f\u0430\u043a\u0435\u0442\u044b, \u0442\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0440\u0430\u0437\u0440\u0435\u0448\u0438\u0442\u044c \u0432\u0441\u0435 \u043f\u0430\u043a\u0435\u0442\u044b \u043d\u0430 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u00abloopback\u00bb<br \/>  39 iif lo accept<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u043f\u0430\u043a\u0435\u0442\u044b ICMP \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0445 \u0432\u0438\u0434\u043e\u0432 \u0434\u043b\u044f \u043e\u0431\u0445\u043e\u0434\u0430 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0445 \u0441 \u0440\u0435\u0434\u043a\u0438\u043c\u0438 \u0438 \u043d\u0435\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u043c\u0438 \u0432\u0438\u0434\u0430\u043c\u0438 ICMP<br \/>  40 icmp type $icmp_types accept<br \/>   # \u0423\u0434\u0430\u043b\u044f\u0435\u043c \u0431\u0438\u0442\u044b\u0435 \u043f\u0430\u043a\u0435\u0442\u044b<br \/>  41 ct state invalid counter drop<br \/>   # \u041e\u0431\u0445\u043e\u0434 \u043f\u0430\u0434\u0435\u043d\u0438\u044f \u044f\u0434\u0440\u0430, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0441 \u0438\u0437\u0431\u0438\u0440\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u043c \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435\u043c (SACK) \u043f\u0430\u043a\u0435\u0442\u043e\u0432 TCP. \u041f\u0430\u0434\u0435\u043d\u0438\u044f \u044d\u0442\u0438 \u0443\u0436\u0435 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u044b \u0432 \u0441\u0432\u0435\u0436\u0438\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u0445 \u044f\u0434\u0440\u0430, \u043d\u043e \u0434\u0430\u043d\u043d\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043e \u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439<br \/>  42 tcp flags syn tcp option maxseg size &lt; 999 counter drop<br \/>   # \u041f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c Bittorrent, \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u043c\u044b \u0438\u0441\u043a\u043b\u044e\u0447\u0438\u043b\u0438 \u0435\u0433\u043e \u0438\u0437 \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u043d\u0438\u044f \u0432 \u0441\u0442\u0440\u043e\u043a\u0435 31<br \/>  43 iif $eth meta l4proto { tcp, udp } th dport $transmission_port accept<br \/>   # \u0423\u0434\u0430\u043b\u044f\u0435\u043c \u043f\u0430\u043a\u0435\u0442\u044b, \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0449\u0438\u0435 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435, \u0438 \u0437\u0430\u043d\u043e\u0441\u0438\u043c \u043e \u043d\u0438\u0445 \u0437\u0430\u043f\u0438\u0441\u044c \u0432 \u0434\u043d\u043d\u0432\u043d\u0438\u043a, \u0435\u0441\u043b\u0438 \u043e\u043d\u0438 \u043f\u0440\u0438\u0448\u043b\u0438 \u0441 \u043d\u0435\u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u0435\u043c\u044b\u0445 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439<br \/>  44 tcp flags &amp; (syn | ack) == syn ct state untracked log prefix &quot;Untracked:&quot; group 2 counter counter drop<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u043f\u0430\u043a\u0435\u0442\u044b \u0441 \u043f\u043e\u0440\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u044b \u0438\u0441\u043a\u043b\u044e\u0447\u0438\u043b\u0438 \u0438\u0437 \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u043d\u0438\u044f \u0432 \u0441\u0442\u0440\u043e\u043a\u0435 32<br \/>  45 tcp sport $no_track accept<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u043f\u0430\u043a\u0435\u0442\u044b \u0441 \u0430\u0434\u0440\u0435\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u044b \u0438\u0441\u043a\u043b\u044e\u0447\u0438\u043b\u0438 \u0438\u0437 \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u043d\u0438\u044f \u0432 \u0441\u0442\u0440\u043e\u043a\u0435 33<br \/>  46 ip saddr { $sslvpn.infowatch.com, $files.infowatch.ru } tcp sport https accept<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u043f\u0430\u043a\u0435\u0442\u044b \u043e\u0442 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d, \u043f\u043e\u043c\u0435\u0447\u0435\u043d\u043d\u044b\u0435 \u043c\u0435\u0442\u043a\u043e\u0439 3128 (\u0434\u0435\u0441\u044f\u0442\u0438\u0447\u043d\u043e\u0435 \u0447\u0438\u0441\u043b\u043e)<br \/>  47 iif $br ip saddr $virtual_machines mark set 3128 counter accept<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c \u043c\u0430\u0448\u0438\u043d\u0430\u043c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c\u0441\u044f \u043a \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0441\u043b\u0443\u0436\u0431\u0430\u043c, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u043a \u043e\u0431\u044b\u0447\u043d\u043e\u043c\u0443 (\u043d\u0435\u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u043e\u043c\u0443) \u043f\u043e\u0440\u0442\u0443 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430<br \/>  48 iif $br ip daddr $host ip saddr $virtual_machines tcp dport { domain, http, microsoft-ds, nfs, $squid_normal } accept<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0432\u0441\u0435 \u0437\u0430\u043a\u043e\u043d\u043d\u044b\u0435 \u043e\u0442\u0441\u043b\u0435\u0436\u0435\u043d\u043d\u044b\u0435 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f<br \/>  49 ct state { established, related } accept<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c \u043c\u0430\u0448\u0438\u043d\u0430\u043c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c\u0441\u044f \u043a \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0441\u043b\u0443\u0436\u0431\u0430\u043c, \u043f\u043e\u0434\u0440\u0430\u0437\u0443\u043c\u0435\u0432\u0430\u044e\u0449\u0438\u043c \u0448\u0438\u0440\u043e\u043a\u043e\u0432\u0435\u0449\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043e\u0431\u043c\u0435\u043d<br \/>  50 iif $br udp dport { domain, bootps, tftp, 4011 } counter accept<br \/>   # \u041f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c \u043f\u043e\u0434\u0441\u0447\u0451\u0442 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u0442\u0430\u043a \u043a\u0430\u043a \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043f\u0440\u0430\u0432\u0438\u043b\u043e\u043c \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e, \u0443\u0434\u0430\u043b\u044f\u044e\u0449\u0435\u0435 \u043f\u0430\u043a\u0435\u0442\u044b (\u0441\u043c. \u0441\u0442\u0440\u043e\u043a\u0443 38)<br \/>  51 counter comment &quot;\u0421\u0447\u0438\u0442\u0430\u0435\u043c \u0432\u044b\u0431\u0440\u043e\u0448\u0435\u043d\u043d\u044b\u0435 \u043f\u0430\u043a\u0435\u0442\u044b&quot;<br \/>  52 }<br \/>  53 chain output {<br \/>  54 type filter hook output priority 100; policy drop;<br \/>   # \u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0432 \u044d\u0442\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0443\u0434\u0430\u043b\u044f\u0435\u0442 \u043f\u0430\u043a\u0435\u0442\u044b, \u0442\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0440\u0430\u0437\u0440\u0435\u0448\u0438\u0442\u044c \u0432\u0441\u0435 \u043f\u0430\u043a\u0435\u0442\u044b \u0441\u043e \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 \u00abloopback\u00bb<br \/>  55 oif lo accept<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u043f\u0430\u043a\u0435\u0442\u044b ICMP \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0445 \u0432\u0438\u0434\u043e\u0432 \u0434\u043b\u044f \u043e\u0431\u0445\u043e\u0434\u0430 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0445 \u0441 \u0440\u0435\u0434\u043a\u0438\u043c\u0438 \u0438 \u043d\u0435\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u043c\u0438 \u0432\u0438\u0434\u0430\u043c\u0438 ICMP<br \/>  56 icmp type $icmp_types counter accept<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0441\u043b\u0443\u0436\u0431\u0430\u043c \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c \u043c\u0430\u0448\u0438\u043d\u0430\u043c \u0441 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u043e\u0440\u0442\u043e\u0432 (\u0441\u0440\u0430\u0432\u043d\u0438\u0442\u0435 \u0441\u043e \u0441\u0442\u0440\u043e\u043a\u0430\u043c\u0438 48 \u0438 50)<br \/>  57 oif { $eth, $wifi } udp dport . udp sport { bootps . bootpc } counter accept<br \/>  58 oif $br ip saddr $host ip daddr { $dhcp_client, 255.255.255.255 } udp sport . udp dport { bootps . bootpc } counter accept<br \/>  59 oif $br ip saddr $host ip daddr $virtual_machines udp sport { domain, tftp } counter accept<br \/>  60 oif $br ip saddr $host ip daddr $virtual_machines tcp sport { domain, http, microsoft-ds } accept<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u043f\u043e\u0442\u0440\u0435\u0431\u0438\u0442\u0435\u043b\u044f\u043c \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u0441\u0442\u0440\u0430\u043d\u0438\u0446 \u0432\u0441\u0435\u043c\u0438\u0440\u043d\u043e\u0439 \u043f\u0430\u0443\u0442\u0438\u043d\u044b \u0441 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u043e\u0440\u0442\u043e\u0432. \u0415\u0441\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043d\u0435\u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u043f\u043e\u0440\u0442 \u0434\u043b\u044f HTTPS \u0432\u043d\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043a\u0430, \u0442\u043e \u043e\u043d \u043f\u043e\u0434\u043f\u0430\u0434\u0451\u0442 \u043f\u043e\u0434 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0438 \u0435\u0433\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u0437\u0434\u0435\u0441\u044c \u043d\u0435 \u043d\u0443\u0436\u043d\u043e<br \/>  61 oif $br ip daddr $virtual_machines tcp sport { http, https, 1012 } counter accept<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0443 \u043b\u044e\u0431\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0441 \u043f\u043e\u0440\u0442\u043e\u0432, \u0438\u043c\u0435\u044e\u0449\u0438\u0445 \u043d\u043e\u043c\u0435\u0440\u0430 \u0432\u043d\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043a\u0430, \u0442\u043e \u0435\u0441\u0442\u044c \u0432\u044b\u0448\u0435 1024<br \/>  62 meta l4proto { tcp, udp } th sport &gt;= 1025 accept<br \/>   # \u041f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c \u043f\u043e\u0434\u0441\u0447\u0451\u0442 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u0442\u0430\u043a \u043a\u0430\u043a \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043f\u0440\u0430\u0432\u0438\u043b\u043e\u043c \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e, \u0443\u0434\u0430\u043b\u044f\u044e\u0449\u0435\u0435 \u043f\u0430\u043a\u0435\u0442\u044b (\u0441\u043c. \u0441\u0442\u0440\u043e\u043a\u0443 54)<br \/>  63 counter comment &quot;\u0421\u0447\u0438\u0442\u0430\u0435\u043c \u0432\u044b\u0431\u0440\u043e\u0448\u0435\u043d\u043d\u044b\u0435 \u043f\u0430\u043a\u0435\u0442\u044b&quot;<br \/>  64 }<br \/>  65 chain forward {<br \/>  66 type filter hook forward priority 0; policy drop;<br \/>   # \u041f\u043e\u043c\u043e\u0433\u0430\u0435\u043c \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c \u043c\u0430\u0448\u0438\u043d\u0430\u043c \u0441 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u043e\u0439 \u0440\u0430\u0437\u043c\u0435\u0440\u0430 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 (MTU)<br \/>  67 tcp flags syn tcp option maxseg size set rt mtu counter<br \/>   # \u0417\u0430\u043f\u0440\u0435\u0449\u0430\u0435\u043c \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c \u043c\u0430\u0448\u0438\u043d\u0430\u043c \u043e\u0431\u0440\u0430\u0449\u0430\u0442\u044c\u0441\u044f \u043a \u0447\u0443\u0436\u0438\u043c \u0441\u043b\u0443\u0436\u0431\u0430\u043c \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0438\u043c\u0451\u043d<br \/>  68 iif $br ip daddr != $host meta l4proto { tcp, udp } th dport domain drop<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u043e\u0431\u043c\u0435\u043d \u0441 \u0432\u043d\u0435\u0448\u043d\u0438\u043c \u043c\u0438\u0440\u043e\u043c (\u043f\u043e\u043c\u0438\u043c\u043e \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430) \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c \u043c\u0430\u0448\u0438\u043d\u0430\u043c \u0438 \u0432\u0441\u0435\u043c, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0438\u043c \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f, \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u044d\u0442\u043e \u0431\u0443\u0434\u0435\u0442 \u0441\u043c\u0430\u0440\u0442\u0444\u043e\u043d. \u042d\u0442\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043d\u0435 \u043e\u0437\u043d\u0430\u0447\u0430\u044e\u0442, \u0447\u0442\u043e \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a\u043e \u0432\u0441\u0435\u043c\u0438\u0440\u043d\u043e\u0439 \u043f\u0430\u0443\u0442\u0438\u043d\u0435 (\u043f\u043e\u0440\u0442\u044b 80 \u0438 443) \u043f\u0440\u043e\u0438\u0437\u043e\u0439\u0434\u0451\u0442 \u0434\u043b\u044f \u043d\u0438\u0445 \u0431\u0435\u0437 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u0442\u0430\u043a \u043a\u0430\u043a \u0446\u0435\u043f\u043e\u0447\u043a\u0430 divert \u0438\u043c\u0435\u0435\u0442 \u0431\u043e\u043b\u0435\u0435 \u0432\u044b\u0441\u043e\u043a\u043e\u0435 \u043f\u0435\u0440\u0432\u0435\u043d\u0441\u0442\u0432\u043e \u043f\u043e \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044e \u0441 \u0446\u0435\u043f\u043e\u0447\u043a\u043e\u0439 forward (\u0441\u0440\u0430\u0432\u043d\u0438\u0442\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 66 \u0438 81). \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u0432 \u0441\u0442\u0440\u043e\u043a\u0435 96 \u043c\u044b \u043d\u0435 \u043f\u0440\u0435\u043e\u0431\u0440\u0430\u0437\u0443\u0435\u043c \u0430\u0434\u0440\u0435\u0441 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f, \u0435\u0441\u043b\u0438 \u043d\u043e\u043c\u0435\u0440 \u043f\u043e\u0440\u0442\u0430 \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0440\u0430\u0432\u0435\u043d 80 \u0438\u043b\u0438 443<br \/>  69 iif $br ip saddr { $privileged_vm, $dhcp_client } accept<br \/>  70 oif $br ip daddr { $privileged_vm, $dhcp_client } accept<br \/>   # \u041f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c \u043f\u043e\u0434\u0441\u0447\u0451\u0442 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u0442\u0430\u043a \u043a\u0430\u043a \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043f\u0440\u0430\u0432\u0438\u043b\u043e\u043c \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e, \u0443\u0434\u0430\u043b\u044f\u044e\u0449\u0435\u0435 \u043f\u0430\u043a\u0435\u0442\u044b (\u0441\u043c. \u0441\u0442\u0440\u043e\u043a\u0443 66)<br \/>  71 counter comment &quot;\u0421\u0447\u0438\u0442\u0430\u0435\u043c \u0432\u044b\u0431\u0440\u043e\u0448\u0435\u043d\u043d\u044b\u0435 \u043f\u0430\u043a\u0435\u0442\u044b&quot;<br \/>  72 }<br \/>   # \u0421\u043e\u0437\u0434\u0430\u0451\u043c \u043d\u0430\u0431\u043e\u0440 \u043f\u0430\u0440 \u00ab\u0430\u0434\u0440\u0435\u0441 \u043a\u0430\u043d\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u2022 \u043f\u043e\u0440\u0442\u00bb \u0434\u043b\u044f \u0441\u043b\u0443\u0447\u0430\u0435\u0432 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u043c\u0438 HTTPS \u043d\u043e\u043c\u0435\u0440\u043e\u0432 \u043f\u043e\u0440\u0442\u043e\u0432, \u043e\u0442\u043b\u0438\u0447\u0430\u044e\u0449\u0438\u0445\u0441\u044f \u043e\u0442 443<br \/>  73 set nonstandard_https {<br \/>  74 type ipv4_addr . inet_service;<br \/>  75 elements = {<br \/>  76 $s163.getcourses.ru . 33443, # \u0434\u043b\u044f \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b artlinerschool.ru<br \/>  77 $tls-v1-2.badssl.com . 1012, # \u0434\u043b\u044f \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b badssl.com<br \/>  78 }<br \/>  79 }<br \/>  80 chain divert {<br \/>  81 type filter hook prerouting priority -150; policy accept;<br \/>   # \u041f\u043e\u043c\u0435\u0447\u0430\u0435\u043c \u043c\u0435\u0442\u043a\u043e\u0439 3128 (\u0434\u0435\u0441. \u0447.) \u0432\u0441\u0435 \u043f\u0430\u043a\u0435\u0442\u044b TCP, \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0435\u0441\u044f \u0438\u0437 \u0441\u043e\u043a\u0435\u0442\u0430, \u0438\u043c\u0435\u044e\u0449\u0435\u0433\u043e \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u043e \u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u043e\u0441\u0442\u0438 (\u0441\u0432\u043e\u0439\u0441\u0442\u0432\u043e \u0437\u0430\u0434\u0430\u0451\u0442\u0441\u044f \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c)<br \/>  82 meta l4proto tcp socket transparent 1 mark set 3128 accept<br \/>   # \u041f\u043e\u043c\u0435\u0447\u0430\u0435\u043c \u043c\u0435\u0442\u043a\u043e\u0439 3128 (\u0434\u0435\u0441. \u0447.) \u0432\u0441\u0435 \u043f\u0430\u043a\u0435\u0442\u044b TCP \u0441 \u043f\u043e\u0440\u0442\u043e\u043c \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f, \u0438\u043c\u0435\u044e\u0449\u0438\u043c \u043d\u043e\u043c\u0435\u0440 80. \u041e\u0434\u043d\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e \u0437\u0430\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u043c \u0438\u0445 \u043d\u0430 \u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430<br \/>  83 ip daddr != { 127.0.0.1, $host } tcp dport http tproxy to 127.0.0.1:$squid_transp mark set 3128 counter accept<br \/>   # \u041f\u043e\u043c\u0435\u0447\u0430\u0435\u043c \u043c\u0435\u0442\u043a\u043e\u0439 3128 (\u0434\u0435\u0441. \u0447.) \u0432\u0441\u0435 \u043f\u0430\u043a\u0435\u0442\u044b TCP \u0441 \u043f\u043e\u0440\u0442\u043e\u043c \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f, \u0438\u043c\u0435\u044e\u0449\u0438\u043c \u043d\u043e\u043c\u0435\u0440 443. \u041e\u0434\u043d\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e \u0437\u0430\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u043c \u0438\u0445 \u043d\u0430 \u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430<br \/>  84 ip daddr != { 127.0.0.1, $host } tcp dport https tproxy to 127.0.0.1:$squid_trassl mark set 3128 counter accept<br \/>   # \u041f\u043e\u043c\u0435\u0447\u0430\u0435\u043c \u043c\u0435\u0442\u043a\u043e\u0439 3128 (\u0434\u0435\u0441. \u0447.) \u0432\u0441\u0435 \u043f\u0430\u043a\u0435\u0442\u044b TCP \u0441 \u0430\u0434\u0440\u0435\u0441\u0430\u043c\u0438 \u0438 \u043f\u043e\u0440\u0442\u0430\u043c\u0438 \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0438\u0437 \u043d\u0430\u0431\u043e\u0440\u0430 nonstandard_https (\u0441\u043c. \u0441\u0442\u0440\u043e\u043a\u0438 76 \u0438 77 \u0434\u043b\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u0430). \u041e\u0434\u043d\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e \u0437\u0430\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u043c \u0438\u0445 \u043d\u0430 \u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430<br \/>  85 ip daddr . tcp dport @nonstandard_https tproxy to 127.0.0.1:$squid_trassl mark set 3128 counter accept<br \/>  86 }<br \/>  87 }<br \/>  88 table ip nat {<br \/>  89 chain prerouting {<br \/>  90 type nat hook prerouting priority 0; policy accept;<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0434\u0440\u0443\u0433\u0438\u043c \u0420\u0421 \u0438\u0437 \u0440\u0430\u0431\u043e\u0447\u0435\u0439 \u0441\u0435\u0442\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c\u0441\u044f \u043a \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e SSH<br \/>  91 iif $eth ip daddr $infowatch_my ip saddr $infowatch_pc tcp dport ssh counter dnat $vm_ssh<br \/>  92 }<br \/>  93 chain postrouting {<br \/>  94 type nat hook postrouting priority 100; policy accept;<br \/>   # \u041f\u0440\u0435\u043e\u0431\u0440\u0430\u0437\u0443\u0435\u043c \u0430\u0434\u0440\u0435\u0441\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u0432 \u043f\u0430\u043a\u0435\u0442\u0430\u0445, \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c\u044b\u0445 \u0432\u043e\u0432\u043d\u0435 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c, \u0442\u0430\u043a \u043a\u0430\u043a \u043e\u043d \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0438\u0445 \u043e\u0442 \u043b\u0438\u0446\u0430 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d. \u041f\u0440\u0438\u043d\u0430\u0434\u043b\u0435\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u043c \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0441\u0432\u043e\u0439\u0441\u0442\u0432 UID \u0438 GID \u0441\u043e\u043a\u0435\u0442\u0430<br \/>  95 oif { $eth, $wifi } ip saddr $virtual_machines skuid . skgid { squid . squid } counter masquerade<br \/>   # \u041f\u0440\u0435\u043e\u0431\u0440\u0430\u0437\u0443\u0435\u043c \u0430\u0434\u0440\u0435\u0441\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u0432 \u043f\u0430\u043a\u0435\u0442\u0430\u0445, \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c\u044b\u0445 \u0432\u043e\u0432\u043d\u0435 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u043c\u0430\u0448\u0438\u043d\u0430\u043c\u0438, \u0438 \u0432\u0441\u0435\u043c\u0438, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0438\u043c\u0438 \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f, (\u0441\u0440\u0430\u0432\u043d\u0438\u0442\u0435 \u0441\u043e \u0441\u0442\u0440\u043e\u043a\u0430\u043c\u0438 69 \u0438 70). \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0432\u0435\u0434\u0451\u043c \u0438\u043c \u0443\u0447\u0451\u0442, \u0437\u0430\u043d\u043e\u0441\u044f \u0432 \u043e\u0431\u0449\u0438\u0439 \u0436\u0443\u0440\u043d\u0430\u043b, \u0441 \u0446\u0435\u043b\u044c\u044e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u043d\u0435\u043e\u0431\u044b\u0447\u043d\u044b\u0445 \u0434\u043b\u044f \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439 HTTPS \u043f\u043e\u0440\u0442\u043e\u0432. \u041f\u043e\u0441\u043b\u0435 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0442\u0430\u043a\u043e\u0432\u044b\u0445 \u0437\u0430\u043d\u043e\u0441\u0438\u043c \u0438\u0445 \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u0430\u0434\u0440\u0435\u0441\u0430\u043c\u0438 \u0432 \u043d\u0430\u0431\u043e\u0440 nonstandard_https (\u0441\u043c. \u0441\u0442\u0440\u043e\u043a\u0438 76 \u0438 77 \u0434\u043b\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u0430).<br \/>  96 oif { $eth, $wifi } ip saddr { $privileged_vm, $dhcp_client } tcp dport != { http, https } log prefix &quot;NAT:&quot; group 2 counter masquerade<br \/>  97 }<br \/>  98 }<\/p>\n<p>  99 table bridge filter {<br \/>   # \u0420\u0435\u0448\u0430\u0435\u043c \u0437\u0430\u0434\u0430\u0447\u0443 \u21165: \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0435 \u043d\u0430\u0448\u0435\u043c\u0443 Wi-Fi \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c<br \/>  100 chain input {<br \/>   type filter hook input priority -200; policy accept;<br \/>   iif $wifi ether saddr != $my_phone counter drop<br \/>   }<br \/>   # \u0420\u0435\u0448\u0430\u0435\u043c \u0437\u0430\u0434\u0430\u0447\u0443 \u21164: \u0437\u0430\u0449\u0438\u0442\u0430 \u0441\u043c\u0430\u0440\u0442\u0444\u043e\u043d\u0430 \u043e\u0442 \u0432\u0441\u0435\u0433\u043e, \u043d\u0435 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0441 IPv4, \u0438 \u043e\u0442 \u043d\u0435\u043d\u0443\u0436\u043d\u044b\u0445 \u0435\u043c\u0443 \u0448\u0438\u0440\u043e\u043a\u043e\u0432\u0435\u0449\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0440\u0430\u0441\u0441\u044b\u043b\u043e\u043a<br \/>   chain forward {<br \/>  101 type filter hook forward priority -200; policy accept;<br \/>  102 oif $wifi ether type arp accept<br \/>  103 oif $wifi ip protocol { icmp, tcp, udp } ip daddr != 192.168.120.255 accept<br \/>  104 oif $wifi drop<br \/>  105 }<br \/>   # \u0420\u0435\u0448\u0430\u0435\u043c \u0437\u0430\u0434\u0430\u0447\u0443 \u21165: \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u043d\u0430\u0448\u0435\u043c\u0443 Wi-Fi \u043e\u0442\u0434\u0430\u0432\u0430\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c<br \/>  106 chain output {<br \/>   type filter hook input priority 200; policy accept;<br \/>   oif $wifi ether daddr != $my_phone counter drop<br \/>   }<br \/>  }<br \/>   # \u0420\u0435\u0448\u0430\u0435\u043c \u0437\u0430\u0434\u0430\u0447\u0443 \u21162: \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043d\u0430 \u0432\u0445\u043e\u0434\u0430\u0445 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432 \u0432\u0441\u0435\u0433\u043e, \u043d\u0435 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0441 IPv4<br \/>  107 table netdev filter {<br \/>  108 chain enp0s25 {<br \/>  109 type filter hook ingress device enp0s25 priority 0; policy drop;<br \/>  110 ether type arp accept<br \/>  111 ether daddr $my_eth_mac ip protocol { icmp, tcp, udp, gre } accept<br \/>  112 }<br \/>  113 chain wlp3s0 {<br \/>  114 type filter hook ingress device wlp3s0 priority 0; policy drop;<br \/>   # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c ARP \u0438 EAPOL \u043d\u0430 \u0441\u043b\u0443\u0447\u0430\u0439, \u043a\u043e\u0433\u0434\u0430 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0418\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0443 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0447\u0435\u0440\u0435\u0437 \u0431\u0435\u0441\u043f\u0440\u043e\u0432\u043e\u0434\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441<br \/>  115 ether type { arp, 0x888e } accept<br \/>   # \u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0431\u0435\u0441\u043f\u0440\u043e\u0432\u043e\u0434\u043d\u044b\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c\u0441\u044f \u043a \u043c\u043e\u0441\u0442\u0443, \u0437\u0434\u0435\u0441\u044c \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0443\u043a\u0430\u0437\u0430\u0442\u044c \u0430\u0434\u0440\u0435\u0441\u0430 \u043a\u0430\u043d\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u043a\u0430\u043a \u0441\u0430\u043c\u043e\u0433\u043e \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430, \u0442\u0430\u043a \u0438 \u043c\u043e\u0441\u0442\u0430<br \/>  116 ether daddr { $my_br_mac, $my_wifi_mac, ff:ff:ff:ff:ff:ff } ip protocol { icmp, tcp, udp, gre } accept<br \/>  117 }<br \/>  118 }<br \/>  <\/code>  <\/div>\n<\/div>\n<p>  <\/p>\n<h3>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u043f\u043e\u0442\u0440\u0435\u0431\u0438\u0442\u0435\u043b\u0435\u0439<\/h3>\n<p>  <\/p>\n<h4>\u041d\u0430 \u0441\u0430\u043c\u043e\u0439 \u0420\u0421<\/h4>\n<p>  \u0414\u043b\u044f \u0431\u043e\u043b\u0435\u0435 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0438\u0441\u043f\u044b\u0442\u0430\u043d\u0438\u0439 \u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u044f \u0440\u0435\u0448\u0438\u043b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0435\u0433\u043e \u0438 \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 (\u0437\u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f\u043c\u0438, \u043e \u0447\u0451\u043c \u0434\u0430\u043b\u044c\u0448\u0435) \u043d\u0430 \u0441\u0430\u043c\u043e\u0439 \u0420\u0421.<\/p>\n<p>  \u0414\u043e\u0431\u0430\u0432\u0438\u043c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0432 \u043e\u0431\u0449\u0435\u0435 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435:<\/p>\n<pre><code class=\"bash\">mkdir -p \/usr\/local\/share\/ca-certificates cp \/etc\/squid\/squid.pem \/usr\/local\/share\/ca-certificates\/squid.crt<\/code><\/pre>\n<p>  \u041e\u0431\u043d\u043e\u0432\u0438\u043c \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435:<\/p>\n<pre><code class=\"bash\">update-ca-certificates<\/code><\/pre>\n<p>  \u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u2014 \u0432\u0435\u0431-\u0431\u0440\u0430\u0443\u0437\u0435\u0440\u044b \u00abFirefox\u00bb \u0438 \u00abChromium\u00bb \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u043e\u0431\u0449\u0435\u0435 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0435\u0433\u043e \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0442\u044c \u0432 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0430 \u044d\u0442\u0438\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439.<\/p>\n<p>  \u0421\u043e\u0437\u0434\u0430\u0434\u0438\u043c \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \/etc\/env.d\/38proxy \u0441 \u0442\u0430\u043a\u0438\u043c\u0438 \u0441\u0442\u0440\u043e\u043a\u0430\u043c\u0438:<\/p>\n<pre><code class=\"bash\">http_proxy=http:\/\/192.168.120.1:3128 https_proxy=http:\/\/192.168.120.1:3128 ftp_proxy=http:\/\/192.168.120.1:3128 <\/code><\/pre>\n<p>  \u041e\u0431\u043d\u043e\u0432\u0438\u043c \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f:<\/p>\n<pre><code class=\"bash\">env-update<\/code><\/pre>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0433\u043e \u0432\u0445\u043e\u0434\u0430 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0431\u0443\u0434\u0443\u0442 \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u044b \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439.<\/p>\n<p>  \u041e\u0431 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f\u0445:  <\/p>\n<ol>\n<li>\u041d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439 \u043e\u0441\u0442\u0430\u0432\u0438\u043c \u0432\u0435\u0431-\u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u00abChromium\u00bb, \u043e\u043d \u0431\u0443\u0434\u0435\u0442 \u0432\u0441\u0435\u0433\u0434\u0430 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c\u0441\u044f \u043a \u0441\u0435\u0442\u0438 \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e, \u0431\u0435\u0437 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \/etc\/chromium\/default \u0438\u0437\u043c\u0435\u043d\u0438\u043c \u0442\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:\n<pre><code class=\"bash\">CHROMIUM_FLAGS=&quot;--enable-seccomp-sandbox \u2014no-proxy-server&quot;<\/code><\/pre>\n<\/li>\n<li>\u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 xfreerdp \u043f\u0440\u0438 \u043d\u0430\u043b\u0438\u0447\u0438\u0438 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f https_proxy \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c\u0441\u044f \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438 \u0434\u043e\u0431\u0430\u0432\u0438\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443:\n<pre><code class=\"bash\">alias xfreerdp='https_proxy= xfreerdp'<\/code><\/pre>\n<\/li>\n<li>\u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 youtube-dl \u043d\u0435 \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442, \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0438\u0437-\u0437\u0430 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0435\u0439 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u044f\u0437\u044b\u043a\u0430 Python. \u041f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u043f\u043e\u043a\u0430 \u043d\u0435 \u043d\u0430\u0439\u0434\u0435\u043d\u043e, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438 \u0434\u043e\u0431\u0430\u0432\u0438\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443:\n<pre><code class=\"bash\">alias youtube-dl='youtube-dl --no-check-certificate'<\/code><\/pre>\n<\/li>\n<\/ol>\n<p>  <\/p>\n<h4>\u041d\u0430 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d\u0430\u0445 \u0441 \u041e\u0421 \u00abRed Hat Enterprise Linux\u00bb 6-\u0433\u043e \u0438 7-\u0433\u043e \u0432\u044b\u043f\u0443\u0441\u043a\u0430<\/h4>\n<p>  \u041d\u0430 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435 \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u043c \u0440\u0430\u0431\u043e\u0442\u0443 \u0441 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u043c\u0438 PEM:<\/p>\n<pre><code class=\"bash\">update-ca-trust force-enable<\/code><\/pre>\n<p>  \u041f\u0435\u0440\u0435\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u043c \u0441 \u0420\u0421 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043d\u0430 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u0443\u044e \u043c\u0430\u0448\u0438\u043d\u0443:<\/p>\n<pre><code class=\"bash\">scp squid.crt root@192.168.120.66:\/etc\/pki\/ca-trust\/source\/anchors\/<\/code><\/pre>\n<p>  \u041d\u0430 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435 \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0435\u043c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430:  <\/p>\n<pre><code class=\"bash\">update-ca-trust extract<\/code><\/pre>\n<p>  <\/p>\n<h4>\u041d\u0430 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d\u0430\u0445 \u0441 \u041e\u0421 \u00abMicrosoft Windows\u00bb \u0440\u0430\u0437\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u043e\u0432<\/h4>\n<p>  \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442\u0441\u044f \u0432 \u043e\u0431\u0449\u0435\u0435 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043c\u0430\u0448\u0438\u043d\u044b (\u043d\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f!) \u0432 \u0440\u0430\u0437\u0434\u0435\u043b \u00ab\u0414\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u044b\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0435&#8230;\u00bb. \u0412\u0435\u0431-\u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u00abFirefox\u00bb \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u043e\u0431\u0449\u0435\u0435 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0442\u044c \u0432 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0435 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f.<\/p>\n<h4>\u041d\u0430 \u0420\u0421 \u00abRaspberry Pi\u00bb \u0441 \u041e\u0421 \u00abRaspbian\u00bb<\/h4>\n<p>  \u041e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u043f\u0440\u043e\u0448\u043b\u043e \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u0431\u0435\u0437 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430.<\/p>\n<h4>\u041d\u0430 \u0441\u043c\u0430\u0440\u0442\u0444\u043e\u043d\u0430\u0445 \u0441 \u041e\u0421 \u00abAndroid\u00bb<\/h4>\n<p>  \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e, \u0437\u0430\u0442\u0435\u043c \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u043c\u0438. \u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0431\u0443\u0434\u0435\u0442 \u0437\u0430\u043f\u0440\u043e\u0448\u0435\u043d\u043e \u0443\u0441\u0438\u043b\u0435\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u0445\u043e\u0434\u0430 \u0432 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e (\u0435\u0441\u043b\u0438 \u044d\u0442\u043e \u0435\u0449\u0451 \u043d\u0435 \u0441\u0434\u0435\u043b\u0430\u043d\u043e) \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043a\u043b\u044e\u0447\u0430 \u0438\u043b\u0438 \u043f\u0430\u0440\u043e\u043b\u044f.<\/p>\n<h3>\u0412\u044b\u0432\u043e\u0434<\/h3>\n<p>  \u041d\u043e\u0432\u044b\u0439 \u0431\u0440\u0430\u043d\u0434\u043c\u0430\u0443\u044d\u0440 \u0432 \u043b\u0438\u043d\u0443\u043a\u0441\u0435 (nft) \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u043a\u0440\u0430\u0441\u043d\u044b\u0439 \u043e\u0431\u0440\u0430\u0437\u0447\u0438\u043a \u0441\u0432\u043e\u0431\u043e\u0434\u043d\u043e\u0433\u043e \u041f\u041e, \u0445\u043e\u0440\u043e\u0448\u043e \u0441\u043e\u0447\u0435\u0442\u0430\u044e\u0449\u0438\u0439\u0441\u044f \u0441\u043e Squid\u2019\u043e\u043c, \u0434\u0435-\u0444\u0430\u043a\u0442\u043e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043e\u043c \u0441\u0432\u043e\u0431\u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430.  <\/p>\n<h3>\u041f\u0435\u0440\u0432\u043e\u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0438<\/h3>\n<p>  1. <a href=\"http:\/\/wiki.squid-cache.org\/Features\/Tproxy4\">http:\/\/wiki.squid-cache.org\/Features\/Tproxy4<\/a><br \/>  2. \/usr\/src\/linux\/Documentation\/networking\/tproxy.txt<br \/>  3. <a href=\"http:\/\/wiki.nftables.org\">http:\/\/wiki.nftables.org<\/a><br \/>  4. nft(8)<br \/>  5. <a href=\"https:\/\/www.bounca.org\/tutorials\/install_root_certificate.html\">https:\/\/www.bounca.org\/tutorials\/install_root_certificate.html<\/a><\/p>\n<p>  <b>\u0410\u0432\u0442\u043e\u0440:<\/b> \u0428\u0430\u043c\u0438\u043b\u044c \u0421\u0430\u0438\u0442\u043e\u0432 <a href=\"https:\/\/habr.com\/ru\/users\/nikodim_tychoblin\/\" class=\"user_link\">Nikodim_Tychoblin<\/a><\/div>\n<p> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/company\/infowatch\/blog\/492260\/\"> https:\/\/habr.com\/ru\/company\/infowatch\/blog\/492260\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"\n<div class=\"post__text post__text-html post__text_v1\" id=\"post-content-body\" data-io-article-url=\"https:\/\/habr.com\/ru\/company\/infowatch\/blog\/492260\/\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/6i\/gj\/ij\/6igjijyvov-oxhfi4er8ecb6fu4.png\" alt=\"image\"><\/p>\n<h3>\u041f\u0440\u0435\u0434\u044b\u0441\u0442\u043e\u0440\u0438\u044f<\/h3>\n<p>  \u041d\u0435\u0434\u0430\u0432\u043d\u043e \u044f \u0432\u0437\u044f\u043b\u0441\u044f \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u0442\u044c \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u044d\u043a\u0440\u0430\u043d \u043d\u0430 \u0441\u0432\u043e\u0435\u0439 \u0420\u0421 \u0441 \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u044b\u0445 \u0432\u0440\u0435\u043c\u0435\u043d\u0435\u043c iptables \u043d\u0430 \u043d\u043e\u0432\u0435\u043d\u044c\u043a\u0438\u0435 nftables. \u0414\u043b\u044f \u0431\u043e\u043b\u0435\u0435 \u0443\u0433\u043b\u0443\u0431\u043b\u0451\u043d\u043d\u043e\u0433\u043e \u0438\u0437\u0443\u0447\u0435\u043d\u0438\u044f \u0442\u0430\u0431\u043b\u0438\u0446 nf \u044f \u043f\u043e\u0441\u0442\u0430\u0432\u0438\u043b \u0441\u0435\u0431\u0435 \u0437\u0430\u0434\u0430\u0447\u0443: \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u043f\u0440\u043e\u0437\u0440\u0430\u0447\u043d\u044b\u0439 \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440 (Squid) \u0441 \u0440\u0430\u0437\u0431\u043e\u0440\u043e\u043c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439 (HTTPS) \u0434\u043b\u044f \u0440\u0430\u0437\u0434\u0430\u0447\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0432 \u0418\u043d\u0442\u0435\u0440\u043d\u0435\u0442 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c \u043c\u0430\u0448\u0438\u043d\u0430\u043c, \u0420\u0421 \u00abRaspberry Pi\u00bb, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0441\u0432\u043e\u0435\u043c\u0443 \u0441\u043c\u0430\u0440\u0442\u0444\u043e\u043d\u0443 (\u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u043c\u0443 \u0441 \u041e\u0421 \u00abAndroid\u00bb 6-\u0433\u043e \u0432\u044b\u043f\u0443\u0441\u043a\u0430) \u043f\u043e \u0431\u0435\u0441\u043f\u0440\u043e\u0432\u043e\u0434\u043d\u043e\u043c\u0443 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044e (\u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f hostapd).<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-300088","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/300088","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=300088"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/300088\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=300088"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=300088"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=300088"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}