vyattaを使って透過型プロキシ環境を構築する時の設定内容

透過型プロキシ環境は、クライアントPC（下図のubuntu1）側でプロキシサーバを使うための設定を一切していないにも関わらず、プロキシサーバ（下図のSquid）がクライアントPCの通信に介入して、クライアントPCにプロキシサーバの存在を意識させることなく（透過的に）使わせる環境です。

この透過型プロキシ環境をvyattaのPolicy Based Routing (PBR)機能を使って構築したので、vyattaの設定内容をメモします。なお、透過型プロキシとして使う場合のsquidの設定はsquidを透過型プロキシとして使う時の設定を参照して下さい。

PBRはその名の通り、一般のルーティングが宛先アドレスに基づいてルーティングを行うのに対して、ポリシー（例えば宛先ポート番号や送信元アドレスなど）に基づいてルーティングを行うための機能です。

構築した環境の構成は下図になります。

※ちなみに、vyattaはプロキシサーバ、キャッシュサーバとして利用されるsquidが標準でインストールされており、vyatta自体をプロキシサーバとして使うことができます（vyattaをプロキシサーバとして使うを参照）が、ここではvyattaとは別にプロキシサーバ（ubuntuにsquidをインストールして使用）を用意し、vyattaのPolicy Based Routing (以降、PBR)を使って透過型のプロキシサーバ環境を構築しました。なお、実機ではなくKVM上の仮想マシンで構築した環境になります。

設定内容と方法について

上図のvyatta Aにubuntu1のhttpトラフィック(宛先ポート番号80番)をSquidにルーティングするためのPBRの設定を行います。vyattaのPBRでは、

• vyattaに流入してきたトラフィックの内、ルーティングするトラフィックの条件
• ルーティングするトラフィックの条件に合致したトラフィックのルーティング先

条件に合致したトラフィックのルーティング先の設定

説明の都合上、はじめに条件に合致したトラフィックのルーティング先の指定方法を説明します。今回の環境では、vyatta Aに流入したトラフィックの内、条件に合致したトラフィックをSquid(IPアドレス：192.168.101.101)にルーティングします。そのために、下記のコマンドをvyatta Aで実行してtableを作成します。

set protocols static table 1 route 0.0.0.0/0 next-hop 192.168.101.101

上記のように宛先アドレスが0.0.0.0/0であるトラフィック（つまり宛先アドレスに関わらない全トラフィック）を192.168.101.101(図中のSquidのIPアドレス)にルーティングするためのtableを作成しています。そして、ここで作成した「table 1」をルーティングするトラフィックの条件の設定時に使用します。なお「table」の後に続く数字の1は任意につける適当な数字です。下記がtable 1の設定内容です。

vyatta@vyatta# show protocols static table 1
   route 0.0.0.0/0 {
      next-hop 192.168.101.101 {
      }
   }

ルーティングするトラフィックの条件の設定

次にルーティングするトラフィックの条件を下記のコマンドを実行して指定します。下記では、vyatta Aに流入してきたトラフィックの内、

• 送信元アドレスのネットワークアドレスが192.168.101.0/24である
• 宛先ポート番号が80番である

set policy route PROXYROUTE rule 10 protocol tcp
set policy route PROXYROUTE rule 10 destination address 0.0.0.0/0
set policy route PROXYROUTE rule 10 destination port 80
set policy route PROXYROUTE rule 10 source address 192.168.101.0/24
set policy route PROXYROUTE rule 10 source mac-address !aa:bb:cc:dd:ee:ff
set policy route PROXYROUTE rule 10 set table 1

・1行目

・2行目

・3行目

・4行目

・5行目

・6行目

上記のコマンドによる設定内容が下記になります。

vyatta@vyatta#show policy route PROXYROUTE
rule 10 {
   destination {
       address 0.0.0.0/0
       port 80
   }
   protocol tcp
   set {
       table 1
   }
   source {
      address 192.168.101.0/24
   }
}

インターフェースへのポリシーの適用

最後に上記で設定したポリシー（ルーティングの条件とルーティング先）を下記のコマンドによってインターフェースに適用します。ここでは、vyatta Aのeth0に適用します。これにより、vyatta Aのeth0に入ってきたトラフィックのうち、上記で設定した条件に合致するトラフィックはプロキシサーバ(図中squid)にルーティングされます。

vyatta@vyatta# set interfaces ethernet eth0 policy route PROXYROUTE

以上でvyatta Aでの設定は完了です。ここまでの設定で、ubuntu1のhttpトラフィックはSquidにルーティングされます。squidの設定についてはsquidを透過型プロキシとして使う時の設定を参照して下さい。