[Comm] Re: Linux Gate

["Денис Смирнов" <mithraen@freesource.info>]

On Wed, Nov 26, 2003 at 12:40:54PM +0300, Alexey Morsov wrote:

 >> Ключевые слово для поиска документации -- NAT, MASWUERADE.
 > Погряз уже во всех этих NAT =)

Сейчас есть неплохие FAQ на эти темы. Помнится я его настроил на второй
день после того, как первый раз увидел живьём сетевую карту :)
 
 > Дело в том что в нашей сетке стоят и www и ftp и mail сервера
 > (хотя прописаны они в сетке провайдера - т.е. видны извне) - но
 > физчески они в нашей сетке... Сейчас у нас cisco так и настроена
 > - - от нас вовне доступно все - к нам извне только http, ftp (ну
 > плюс видимо все порты от 1024 и выше... они вроде как почти
 > всегда открыт) - никаких телнетов и ssh
 > А - ну почта конечно...
 > Вот нужно такое же дело изобразить на Linux (для adsl)

Тогда лучше всего сделать так:
 - извне разрешить все пакеты по уже установленым соединениям
 - извне разрешить http/ftp/https траффик
 - всё остальное извне запретить (по всем портам)
 
 > И вот тут непонятка - сейчас у нас route сеть провайдера (те 8
 > адресов что он нам выделил как внешние) настроен. Если я втыкаю в
 > комп вторую сетевуху, то по идее у меня долна таблица route
 > выглядить типа как:
 > route -net 201.xxx.xxx.xxx netmask 201.xxx.xxx.xxx gw
 > 201.xxx.xxx.xxx dev eth0 (первый провайдер)
 > route -net 202.xxx.xxx.xxx netmask 202.xxx.xxx.xxx gw
 > 202.xxx.xxx.xxx  dev eth1 (второй провайдер)
 > И в iptables я так понимаю надо сделать что-то типа:
 > iptables -t nat -A PREROUTING -i eth0 -j SNAT --to-source
 > 202.xxx.xxx.xxx:1024-32000
 > и дальше route его закинет куда надо, как я поинмаю
 > А вот что с ответной частью (т.е. с ответом что прийдет извне -
 > он ведь прийдет на 202.xxx.xxx.xxx)?

NAT адреса переделает.
 
 > |  > 4. Заводим все http, ftp и  https запросы пользователй на
 > прокси.
 > | С ftp, AFAIK, малореально, да и ненужно чаще всего. Пусть лучше
 > через NAT
 > | ходят. Или нужно журналировать все посещения?
 > Да заводить пожалуй не надо - просто я думаю надо настроить
 > iptables так чтобы онно запрещало доступ мимо прокис а прокси
 > прописывать явно...

Для ftp это траффик вряд ли сэкономит, а вот место в кэше займёт. Зачем?

-- 
С уважением, Денис

http://freesource.info