Добрый день!

Почти внедрил TraffPro у себя в офисе, но осталась одна нерешённая проблема. Пытался искать решение на этом форуме и на других, но пока тщетно. Понял, что нужно основательно изучать iptables, чем я и планирую заняться в ближайшее время, а пока нужно оперативно решить задачу. Собственно, обращаюсь сюда в надежде, что знающие люди помогут.

У нас в офисе каждый сотрудник имеет определённую недельную квоту. Это настроено и работает. Но есть ряд служебных сайтов, траффик с которых не должен попадать в эту квоту, то есть другими словами, не должен учитываться. А заодно нужно дать возможность пользоваться сотрудниками ICQ, Jabber'ом и почтой даже в том случае, если квота исчерпана.

На сколько я понимаю, нужно в файле traffpro_rule.cfg прописать правила для iptables, чтобы пакеты с нужных IP-адресов и портов шли напрямую в локальную сеть, минуя систему TraffPro.

Вот исходные данные сервера, на котором крутится TraffPro: карта, которая смотрит в сторону провайдера имеет IP 10.0.0.3, карта, которая смотрит в сторону офиса - 192.168.0.4, DNS+AD - 192.168.0.1, сама офисная сеть 192.168.0.XX.

Убедительно прошу помочь парой строчек примеров для исключения адреса (диапазона адресов) и для портов!

С уважением, Станислав.

Офис план внимательно просмотрите, там есть поле какиеп порты доступны при отрицательном балансе.

Вот как пустить мимо сайты, собственно это из FAQ для 2х сетей локальных, но оно же на 100% и лоя глобальных сайтов:

# Как не учитывать трафик двух локальных сетей?

1. Вариант при включенном редиректе правила пишутся в mangle
iptables -t mangle -A PREROUTING -s 192.168.2.0/24 -d IP_САЙТА -j ACCEPT
iptables -t mangle -A POSTROUTING -d 192.168.2.0/24 -s IP_САЙТА -j ACCEPT
iptables -t mangle -A POSTROUTING -s 192.168.2.0/24 -d IP_САЙТА -j ACCEPT
iptables -t mangle -A PREROUTING -d 192.168.2.0/24 -s IP_САЙТА -j ACCEPT


2. Вариант, если редирект не включён, правила пишутся filter
iptables -t filter -A FORWARD -s 192.168.2.0/24 -d IP_САЙТА -j ACCEPT
iptables -t filter -A FORWARD -d 192.168.2.0/24 -s IP_САЙТА -j ACCEPT

Большое спасибо за оперативный ответ! Буду экспериментировать.

Ещё раз спасибо за помощь! Прописать IP нужных сайтов вроде получилось и всё на первый взгляд работает именно так, как нужно. Осталось дело за малым - за портами. Нашёл где их можно прописать в офис плане, однако, мне кажется, что в моём случае это будет не совсем корректно. Хочется по аналогии с IP прописать порты в traffpro_rule.cfg, чтобы трафик с этих портов не учитывался и не блокировался при превышении лимита или отключении Интернета пользователем. Это вообще возможно?

Пока своими силами оперативно не удаётся решить проблему. Остаётся надеяться, что кто-нибудь ответит на этом форуме.

Вообще это поле и предназначено для проскания портов при отрицательном балансе, если вы всё правильно заполнили то пишите багу если не работает.

Вообще лучше сперва скриншот покажите офис плана, а то как бы и отвечать пока не на что.

На самом деле мне нужно пробросить порты так, чтобы одновременно соблюсти два условия:

1. Чтобы траффик, проходящий через эти порты, не считался.
2. Чтобы траффик шел через эти порты, даже если пользователь сам себе отключил интернет.

С нужными IP адресами, благодаря Вашему совету, всё получилось. Теперь траффик с корпоративных сайтов идёт мимо TraffPro и, соответственно, не считается и работает даже тогда, когда Интернет у пользователя отключен.

Сейчас мне нужно по аналогии весь траффик с нужных портов точно также пустить мимо TraffPro. Если с портами для разных IM ситуация терпимая, так как траффик там незначительный и эти порты можно прописать в офис план, то, например, есть необходимость прокинуть порты Steam, а там траффик уже серьёзный. Дело в том, что вот уже пару лет половина офиса, включая начальство, в обеденный перерыв и после работы в обязательном порядке играет в Left4Dead через Steam. И эта игра бесконечно что-то там себе обновляет. Мне приходится каждый раз накидывать трафик на эти обновления. Вот и нужно сделать так, чтобы этот траффик никак не учитывался. Если прописать порты в оффис план, то первое же обновление Steam \"сожрёт\" весь полезный трафик пользователя и хотя далее Steam продолжит работать, но все остальные сайты, исключая корпоративные, которые я поставил в исключения, работать перестанут. Вот и получается, что порты Steam\'а нужно прописать в traffpro_rule.cfg. Я гуглил на этот предмет и нагуглил вот такой конфиг:



Но нужно как-то адаптировать эти записи применительно к моим условиям. А сделать это у меня не получается, потому что я пока не дружу с iptables.

Жжоте :)

1. Вариант при включенном редиректе правила пишутся в mangle
iptables -t mangle -A PREROUTING -p tcp --dport 1234 -j ACCEPT
iptables -t mangle -A POSTROUTING -p tcp --sport 1234 -j ACCEPT

2. Вариант, если редирект не включён, правила пишутся filter
iptables -t filter -A FORWARD -p tcp --dport 1234 -j ACCEPT
iptables -t filter -A FORWARD -p tcp --sport 1234 -j ACCEPT

Спасибо! Это именно то, что было нужно. Смог всё настроить и теперь всё работает так, как было задумано.