From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Date: Wed, 26 Nov 2003 15:56:15 +0300 From: =?koi8-r?B?5MXOydMg883J0s7P1w==?= To: community@altlinux.ru Message-ID: <20031126125615.GB25325@localhost.localdomain> References: <3FC34DE5.90405@ricom.ru> <20031126075223.GC11169@localhost.localdomain> <3FC47526.1050302@ricom.ru> Mime-Version: 1.0 Content-Type: text/plain; charset=koi8-r Content-Disposition: inline Content-Transfer-Encoding: 8bit In-Reply-To: <3FC47526.1050302@ricom.ru> Subject: [Comm] Re: Linux Gate X-BeenThere: community@altlinux.ru X-Mailman-Version: 2.1.3 Precedence: list Reply-To: community@altlinux.ru List-Id: List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Wed, 26 Nov 2003 14:12:53 -0000 Archived-At: List-Archive: List-Post: On Wed, Nov 26, 2003 at 12:40:54PM +0300, Alexey Morsov wrote: >> Ключевые слово для поиска документации -- NAT, MASWUERADE. > Погряз уже во всех этих NAT =) Сейчас есть неплохие FAQ на эти темы. Помнится я его настроил на второй день после того, как первый раз увидел живьём сетевую карту :) > Дело в том что в нашей сетке стоят и www и ftp и mail сервера > (хотя прописаны они в сетке провайдера - т.е. видны извне) - но > физчески они в нашей сетке... Сейчас у нас cisco так и настроена > - - от нас вовне доступно все - к нам извне только http, ftp (ну > плюс видимо все порты от 1024 и выше... они вроде как почти > всегда открыт) - никаких телнетов и ssh > А - ну почта конечно... > Вот нужно такое же дело изобразить на Linux (для adsl) Тогда лучше всего сделать так: - извне разрешить все пакеты по уже установленым соединениям - извне разрешить http/ftp/https траффик - всё остальное извне запретить (по всем портам) > И вот тут непонятка - сейчас у нас route сеть провайдера (те 8 > адресов что он нам выделил как внешние) настроен. Если я втыкаю в > комп вторую сетевуху, то по идее у меня долна таблица route > выглядить типа как: > route -net 201.xxx.xxx.xxx netmask 201.xxx.xxx.xxx gw > 201.xxx.xxx.xxx dev eth0 (первый провайдер) > route -net 202.xxx.xxx.xxx netmask 202.xxx.xxx.xxx gw > 202.xxx.xxx.xxx dev eth1 (второй провайдер) > И в iptables я так понимаю надо сделать что-то типа: > iptables -t nat -A PREROUTING -i eth0 -j SNAT --to-source > 202.xxx.xxx.xxx:1024-32000 > и дальше route его закинет куда надо, как я поинмаю > А вот что с ответной частью (т.е. с ответом что прийдет извне - > он ведь прийдет на 202.xxx.xxx.xxx)? NAT адреса переделает. > | > 4. Заводим все http, ftp и https запросы пользователй на > прокси. > | С ftp, AFAIK, малореально, да и ненужно чаще всего. Пусть лучше > через NAT > | ходят. Или нужно журналировать все посещения? > Да заводить пожалуй не надо - просто я думаю надо настроить > iptables так чтобы онно запрещало доступ мимо прокис а прокси > прописывать явно... Для ftp это траффик вряд ли сэкономит, а вот место в кэше займёт. Зачем? -- С уважением, Денис http://freesource.info