Komunitas Indonesia Open Source

yogii wrote:

opikdesign wrote:

Code:

/tool netwatch
add comment="" disabled=no down-script="/ip firewall nat set [find comment=\"\
    Redirect_Proxy_Warnet\"] disabled=yes\r\
    \n/ip firewall nat set [find comment=\"Redirect_Proxy_WiFi\"] disabled=yes\r\
    \n:log error \"External Server is DOWN...!\"" host=192.168.3.253 \
    interval=1s timeout=20ms up-script="/ip firewall nat set [find comment=\"Redirect_Proxy_Warnet\"] disabled=no\r\
    \n/ip firewall nat set [find comment=\"Redirect_Proxy_WiFi\"] disabled=no\r\
    \n:log error \"External Server is UP...!\""

lapor pak opik, di bagian ini set [find comment=\"\Redirect_Proxy_Warnet\"], bagaimana kalau diganti dengan set nomor_item, agar lebih mudah.

silahkan, bisa aja koq...

Terima Kasih yang sangat besar buat om Mod @opikdesign

@opik dkk

punteun, kalo boleh sedikit koreksi

access.log hanya muncul 1 ip saja?
topology-nya pasti seperti ini yah...


modem --------- server proxy -------- mikrotik --------- client


klo posisi mikrotik tidak bridge melainkan NAT/Router,
pasti hanya kebaca IP Mikrotik aja yg muncul...

coba di rubah topology-nya seperti ini...


modem --------- mikrotik --------- client
                             |
                             |
                      server proxy

*sepertinya* jawabannya kurang tepat, antara topologi 1 dan 2 adalah sama.

yg membuat squid access.log mencatat hanya 1 klien IP adalah fungsi NAT MASQUERADE atau SNAT pada routernya (bukan masalah metode bridge, atau router dan DNAT -> ketiga metode ini tidak merubah IP klien).

jadi solusinya adalah pastikan tidak ada fungsi NAT MASQUERADE atau SNAT antara klien dgn mesin proxy, yaitu tidak menerapkan NAT MASQUERADE atau SNAT pada interface router yang mengarah langsung ke mesin proxynya - entah itu iptables -t nat -j MASQUERADE atau -j SNAT. sedangkan fungsi -j DNAT (untuk PBR klien ke proxy) hanya bersifat mengarahkan - juga tidak merubah alamat IP dari klien.

untuk NAT MASQUERADE atau SNAT yang mengarah ke internet (pada interface WAN) - tentunya diperbolehkan

insyaAlloh HTH.

Om mod @opik,  setelah beberapa hari script failover-proxy nya gak jalan lagi

Liat di log/file mana ya pada proxy external yang menyebabkan kalo squidnya mati, rule di mt nya gak ikut menyesuaikan

ps. kalo mesinnya mati/dimatikan, rules di mt ikut ter-disable juga

Makasih

Last edited by ichalssy (19-04-2011 13:45:34)

yogii wrote:

ichalssy wrote:

Om mod @opik,  setelah beberapa hari script failover-proxy nya gak jalan lagi

Liat di log/file mana ya pada proxy external yang menyebabkan kalo squidnya mati, rule di mt nya gak ikut menyesuaikan
Makasih

maaf mas ikut bantu, saya kurang ngerti permaslahannya, bisa lebih jelas lagi?

ichalssy wrote:

ps. kalo mesinnya mati/dimatikan, rules di mt ikut ter-disable juga
Makasih

nah ini tujuan script ini mas. , kalau mesin idup rule di MT pun otomatis enable.

Makasih mas, dah mau ikutan bantu

Gini, memang mesin proxy & RB Mikrotik saya gak hidup 24 jam nonstop, setelah beberapa hari script "failover-proxy" ini gak jalan sebagaimana mestinya; padahal 2-3 hari setelah saya berhasil ikuti step by step tuts ini scriptnya berjalan dengan baik.

nah sekarang, waktu saya test matikan service squid nya rules di MT gak ikut ter-disable   maksudku kalo misalnya ada error di script ato apa gitu saya liat dimana ya log nya ?

Kalo mesin proxy nya yang ku matikan rules di MT ikut ter-disable dan kalo aku hidupin lagi mesin proxy, rule di MT gak ikut ter-enable lagi.

terima kasih,
salam

@yogii

saya coba tulis ulang script pada tools>netwatchnya dan menghilangkan "redirect_proxy_wifi" karena saya blm punya AP wifi/hotspot trus script "/sbin/failover-proxy" saya hilangkan juga yg mengenai "redirect_proxy_wifi" dan Alhamdulillah kedua script jalan sempurna setelah saya coba reboot mesin proxy beberapa kali dan mematikan service squid nya saat mesin proxy running, sepertinya newbie seperti saya harus lebih teliti dalam menyesuaikan dgn keadaan jaringan lokal saya

kalo boleh saya minta bantuannya lagi, kalo kita memiliki satu service DNS server seperti unbound pada mesin external, apakah harus membuat rule yang baru lagi pada netwatchnya dan script baru di ubuntu untuk service tersebut? saya sudah coba-coba dengan menambahkan parameter mengenai unbound pada script di ubuntunya tapi belum berhasil.

Bener yang om mod @opik tulis di scriptnya "Mulai baris ini .... Jangan Merubah Script jika tidak ahli" ha.ha.ha

juga mungkin udah beda protocol ya, unbound pake protocol UDP sedangkan squid pake protocol TCP

Mohon bantuan dari rekan KIOSer, mungkin ada yang sudah mengaplikasikannya pada warnetnya.

salam

yogii wrote:

kalo boleh saya minta bantuannya lagi, kalo kita memiliki satu service DNS server seperti unbound pada mesin external, apakah harus membuat rule yang baru lagi pada netwatchnya

langsung saja mas set ip dns server external sebagai dns MT.

Maaf mas yogii, saya masih belum ngerti maksud yang ini

Saya sudah punya rule nat redirect pada MT untuk service 'unbound' di ubuntu (external), apa yang harus saya sesuaikan atau mungkin tambahkan pada netwatch di MT dan pada script 'failover-proxy' di ubuntu

salam

@ichalssy & yogii

wah, sepertinya - berdua ini semakin asyik aja ngoprek skrip failover-nya
bagus bagus... sila dilanjut, berdiskusi dan berkolaborasi bersama2 rekan2 KIOSer

@ ichalssy

kalo boleh saya minta bantuannya lagi, kalo kita memiliki satu service DNS server seperti unbound pada mesin external, apakah harus membuat rule yang baru lagi pada netwatchnya

insyaAlloh, sila dicoba aja dulu - membuat 2 peraturan : 1 untuk squid, ditambah 1 lagi untuk dns-nya

punteun, ini hanya coret2an dgn iptables (sila disesuaikan/dikonversi ke skrip mikrotiknya):
# untuk squid
1 iptables -t nat -A PREROUTING -i LAN -s LAN -p tcp --dport 80 -j DNAT --to-address ip_server
# untuk dns
2 iptables -t nat -A PREROUTING -i LAN -s LAN -p udp --dport 53 -j DNAT --to-address ip_server
# dst...

bila port pada server berbeda port dari dgn apa yg di-redirect oleh router - sila disesuaikan lagi peraturan iptables-nya pada server dgn opsi -j REDIRECT --to-port

insyaAlloh, HTH.

abdi_wae wrote:

@ichalssy & yogii

wah, sepertinya - berdua ini semakin asyik aja ngoprek skrip failover-nya
bagus bagus... sila dilanjut, berdiskusi dan berkolaborasi bersama2 rekan2 KIOSer

hehe, terima kasih pak abdi , maaf pak abdi saya pelajari command commandnya. terima kasih.

abdi_wae wrote:

@ichalssy & yogii

wah, sepertinya - berdua ini semakin asyik aja ngoprek skrip failover-nya
bagus bagus... sila dilanjut, berdiskusi dan berkolaborasi bersama2 rekan2 KIOSer

@ ichalssy

kalo boleh saya minta bantuannya lagi, kalo kita memiliki satu service DNS server seperti unbound pada mesin external, apakah harus membuat rule yang baru lagi pada netwatchnya

insyaAlloh, sila dicoba aja dulu - membuat 2 peraturan : 1 untuk squid, ditambah 1 lagi untuk dns-nya

@akang abdi, maaf saya potong postingnya

seperti kang abdi bilang, saya coba dengan menambahkan satu rule lagi pada tools>netwatch di MT, berikut cuplikan ip>firewall>nat saya dan tools>netwatch nya

0   ;;; MASQ ALL TO SPEEDY
     chain=srcnat action=masquerade out-interface=speedy

1 X ;;; TRANSPARENT_PROXY
     chain=dstnat action=dst-nat to-addresses=192.168.2.2 to-ports=3128
     protocol=tcp in-interface=ether4-lan dst-port=80,8080,3128
     packet-mark=http_packet

2 X ;;; TRANSPARENT_DNS
     chain=dstnat action=dst-nat to-addresses=192.168.2.2 protocol=udp
     in-interface=ether4-lan dst-port=53

Flags: X - disabled
#   HOST            TIMEOUT              INTERVAL             STATUS
0   ;;; squid
     192.168.2.2     20ms                 1s                   down   
1   ;;; unbound
     192.168.2.2     20ms                 1s                   down

sampai disini, sudah berhasil, kalo saya matikan server ato cabut kabel dari server ke router MT maka otomatis rules di router juga disable, demikian sebaliknya

tinggal masih bingung (a.k.a gak mengerti skrip2an ) menyesuaikan skrip failover di server nya; supaya nanti bilamana dan moga-moga gak terjadi yaitu service unboundnya error, rule di routernya juga ikut ter-disable seperti yg sudah berhasil pada rule proxy nya

mohon bantuannya,
salam

@kang abdi

instruksi kang abdi sudah berhasil saya terapkan, seperti pada cuplikan status rules pada netwatch saya.  saya berikan comment rule pertama (peraturan1) adalah proxy dan kedua (peraturan2) adalah unbound, ini ss nya (saat ini lagi on/up)

[ichal@MyRouter] > tool netwatch print 
Flags: X - disabled 
 #   HOST            TIMEOUT              INTERVAL             STATUS 
 0   ;;; squid
     192.168.2.2     20ms                 1s                   up     
 1   ;;; unbound
     192.168.2.2     20ms                 1s                   up

mengacu pada tutorial di halaman 1, langkah pertama dan kedua untuk "failover-dns" sudah berjalan setelah dilakukan pengetesan.  Tinggal langkah ketiga dan seterusnya nih kang yg belum berhasil (memanfaatkan tools nmap pada server untuk deteksi port serta protocol dns sama bikin skrip /sbin/failover-dns (misalkan kalo tidak boleh di gabung dengan skrip /sbin/failover-proxy)

mohon maaf kang apabila postingan ini terkesan melakukan pertanyaan yang berulang, mohon berkenan diedit/delete jika dianggap bikin penuh postingan, karena memang saya belum mengerti.

Salam

logicpoto wrote:

Maaf um momod... pertanyaan saya belum dijawab :

opikdesign wrote:

kenapa harus dihapus manual?! dia akan menghapus dengan sendirinya ketika penuh berapa persen sesuai settingannya dan menghapus content yg terlama. jadi jangan kuatir full... kecuali log-nya bisa di rotate...

bang opik, saya pemula banget, blank tapi nekat usaha RT RWnet... karena blank, instalasi squid di ubuntu saya pasrahkan ke jasa instal squid. Nah menurut si pemasang, kalo squid nya sudah penuh harus dihapus secara manual... yang jadi masalah, kan sayang proxy 80GB sudah banyak isi nya harus terhapus... nah settingan di squid/ubuntu nya gimana ya supaya

opikdesign wrote:

akan menghapus dengan sendirinya ketika penuh berapa persen sesuai settingannya dan menghapus content yg terlama. jadi jangan kuatir full... kecuali log-nya bisa di rotate...

masalah anda sudah saya jawab disini...

@kang adbi, wah terima kasih, dapat script baru, dan akan dicoba

@mas opik: benar, saya coba bikin satu skrip lagi "/sbin/failover-dns" dengan merubah beberapa parameter, berikut cuplikan skripnya mungkin bisa berguna buat rekan yang lain

#!/bin/bash
#######################################################
#  DIBUAT OLEH OPiKdesign EMAIL [email protected]
#  DIDEDIKASIKAN UNTUK KOMUNITAS INDONESIA OPENSOURCE
#######################################################
#######################################################
#  VARIABLE......
#  SILAHKAN DISESUAIKAN
#######################################################
#User Mikrotik tanpa password
user="server-ext"
#IP Mikrotik yang terhubung ke proxy
ip_mt="192.168.2.1"
#Comment redirect sesuaikan seperti rule di Mikrotik > ip > firewall > nat
comment_nat_dns="TRANSPARENT_DNS"
#Port DNS Unbound
port=53
#Interval berapa detik sekali
INTERVAL=1
#######################################################
#  MULAI BARIS INI......
#  JANGAN MERUBAH SCRIPT JIKA TIDAK AHLI
#######################################################
#  VARIABLE FILE TEMP
TEMP="/root/failover-dns.status"
#  VARIABLE CONNECT SSH KE MIKROTIK
connect_ssh="ssh $user@$ip_mt"
#  VARIABLE PERINTAH REDIRECT ENABLE/DISABLE KE MIKROTIK
redirect_dis_dns='/ip firewall nat set [find comment="'$comment_nat_dns'"] disabled=yes'
redirect_ena_dns='/ip firewall nat set [find comment="'$comment_nat_dns'"] disabled=no'
#  VARIABLE PENGIRIMAN PESAN LOG KE MIKROTIK
log_down='/log error message="DNS Server is DOWN...!"'
log_up='/log error message="DNS Server is UP...!"'
#  PENGECEKAN AWAL: PORT PROXY DAN PENGATURAN KE MIKROTIK
nmap localhost | grep $port > /dev/null 2>&1
TEST_DNS=$?
if [ $TEST_DNS -ne 0 ]; then
    $connect_ssh $redirect_dis_dns
    $connect_ssh $log_down
    echo "disable" > $TEMP
else
    $connect_ssh $redirect_ena_dns
    $connect_ssh $log_up
    echo "enable" > $TEMP
fi
#  PENGECEKAN SECARA CONTINUE: PORT PROXY DAN PENGATURAN KE MIKROTIK
while : ; do
    nmap localhost | grep $port > /dev/null 2>&1
    TEST_DNS=$?
    if [ $TEST_DNS -ne 0 ]; then
        cat $TEMP | grep enable > /dev/null 2>&1
        STATUS=$?
        if [ $STATUS -ne 1 ]; then
            $connect_ssh $redirect_dis_dns
            $connect_ssh $log_down
            echo "disable" > $TEMP
        fi
    else
        cat $TEMP | grep disable > /dev/null 2>&1
        STATUS=$?
        if [ $STATUS -ne 1 ]; then
            $connect_ssh $redirect_ena_dns
            $connect_ssh $log_up
            echo "enable" > $TEMP
        fi
    fi
    sleep $INTERVAL
done
#######################################################
#  AKHIR SCRIPT
#######################################################

Dah di coba reboot beberapa kali dan mematikan salah satu service secara bergantian, rules pada ip>firewall>nat berjalan sesuai keinginan.

Terima Kasih atas bantuan nya
Salam