架设透明代理实现 HTTP/HTTPS 流量转发的最高效方案是什么？

[billion]

我现在有 10 台内网服务器，他们不能直接访问外网。

有一台公网服务器，可以访问外网。这 11 台服务器内网互通。

希望让公网服务器做代理，把 10 台内网服务器的所有 HTTP/HTTPS 请求，apt-get 请求，git 请求，pip 请求等等所有网络请求全部通过公网服务器转发出去。

请问这种需求，最高效的方案是什么？我是用 mitmproxy 来做转发，发现链接一多效率就极其底下，而且容易崩溃。

如果能系统全局代理最好，因为内网服务器是 CentOS，每一台上面还跑了 4 个系统为 Ubuntu 的 Docker 容器。如果能 CentOS 全局代理，那么就比较方便。

最后使用squid实现了我的需求。

但是我发现一个很奇怪的地方。在Http Headers里面，如果设置了

accept-encoding = 'gzip, deflate, br'

再走Squid，那么返回的网页是乱码。但是如果不使用Squid或者不指定accept-encoding，那么网页就一切正常。

[hduwillsky]

iptables + bridge

[billion]

@hduwillsky 有点麻烦。

[roychan]

tinyproxy? squid?

[Lentin]

-0-那为什么不直接加个交换机
试试 haproxy ？

[billion]

@Lentin 因为是云服务器

[pheyer]

多账户的酸酸？

[xenme]

centos 改成软路由，然后内网网关指向它就好了

[ik]

dhcpd 有什么问题吗？

[fzinfz]

试下 avege

[kuaner]

内网的所有机器设置默认网关到外网到那台就可以了

[kuaner]

lz 应该是阿里云的 vpc?

[billion]

@fzinfz 这个已经废弃了。而且我并不需要梯子。。

[billion]

@kuaner 是的

[hezhe]

能不能用 nginx 来反向代理

[billion]

@kuaner 使用命令
首先使用`route -n`查到了默认网管的地址，然后使用

```
route del default gw x.x.x.x
route add default gw y.y.y.y
```
进行修改。但是改好以后，依然无法 ping 通 baidu.com

[wwqgtxx]

@billion 你要在能上外网的那台机器上配置 iptables 转发的

[ik]

@billion 网关开启转发 ，忘了还有没有其他操作了

[lbp0200]

我厂运维给我的解决方案是 polipo

[billion]

@wwqgtxx 能上网的服务器上没有 iptables

[billion]

@roychan tinyproxy 转发 http 亲测可行。但是 https 全部失败。

[liyvhg]

我们公司几台这么做的：
公网那台架个 pptp server，内网的拨上去（设置好开机自动拨号就行）。

[yingfengi]

出口架一台墙做网关啊

[billion]

@yingfengi 架墙？

[gstqc]

1. 公网机器安装代理软件，比如 squid，然后其它 10 台配置代理，用 export http_proxy https_proxy 即可
2. 公网机器配置成网关，其它 10 台把网关改为公网的内网 IP

建议方案 1

[billion]

@liyvhg 因为还有一个 upstream 上游代理。如果这样做，岂不是公网需要全局走代理了？能不能设置只有来自内网的请求经过公网服务器再走上游代理，公网自己产生的流量不经过上游代理？

[liyvhg]

@billion 加 iptables 转发规则就可以了

[JasperYanky]

tinyproxy 最简单吧

[xdz]

如果用透明代理转发 https，会有证书问题。

[kuaner]

不需要代理软件呀,就是内网主机通过路由器上网嘛,vpc 里面都是这么干的

[sujin190]

直接把内网的默认网关改到那台机器去呗，让后有公网 ip 的机器再开 nat 就行了啊

[billion]

@xdz 那应该怎么办？

[ryd994]

不止是 nat 转发，还要配置 ip_forwarding=1

[billion]

@liyvhg 没有 iptables。。。

[billion]

@gstqc 目前正是用的方法 1，但是发现 tinyproxy 对 https 支持不好。正在尝试 squid

[wwqgtxx]

@billion 你就不能装一个 iptables 么……………………

[pqee]

都让开，我来现身说法：

TCP 代理用 Nginx 最好，同理 HTTP HTTPS SSH 等基于 TCP 的协议全部支持。


不过楼主这种情况，建议还是上 SLB 吧，没几个钱。

[akira]

@pqee 审题审题, 需求理解有偏差啊

[yingfengi]

@billion 防火墙啊，路由模式部署在出口，下面服务器直接一个局域网就好了啊

[yingfengi]

额。。。vps 啊，，，我以为公司的服务器。。。

[pq]

socks 5 proxy ？

[msg7086]

Linux:
iptables masquerade
iptables 是内置在内核里的，除非是自己编译内核并且手动裁剪了 iptables 模块……

Windows:
RRDS https://technet.microsoft.com/en-us/library/dd469812.aspx

BSD:
Packet Filter https://www.openbsd.org/faq/pf/nat.html

[lslqtz]

sniproxy ？

[billion]

最后使用 squid 实现了我的需求。

但是我发现一个很奇怪的地方。在 Http Headers 里面，如果设置了

accept-encoding = 'gzip, deflate, br'
再走 Squid，那么返回的网页是乱码。但是如果不使用 Squid 或者不指定 accept-encoding，那么网页就一切正常。

[flynaj]

简单高效，golang 开发 https://github.com/ginuerzh/gost

[billion]

@flynaj 这就是我想要的东西。感谢。