[Comm] Linux Gate

[Comm] Linux Gate

[Alexey Morsov]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Привет,

Есть необходимость настроить на базе linux-машины gate для
небольшой (30-40 компьютеров) сетки с выходом как в интеренет
через ADSL.
Сейчас сетка выходит в  инет через cisco текущего провайдера
(ADSL будем брать у другого).

Теоритические исследования привели к слудующему порядку действий:
1. На linux-машине ставим две сетевые карты. Одной даем фэйковый
адрес и втыкаем в локальную сеть, другой даем внешний адрес
(который дадут нам с ADSL) и втыкаем в нее ADSL.
2. Поднимаем и настроаиваем iptables так что бы все порты извне
кроме http, ftp и https были закрыты.
3. Указываем в правилах iptables так что бы все запросы из
феёкового пространства адресов форвардились на второй интерфейс.
4. Заводим все http, ftp и  https запросы пользователй на прокси.

И вот тут у меня непонятки... Как можно закинуть (и можно ли) все
запросы по http, ftp, https на прокси (без transparent_proxy)?
Или можно как-то запретить http-трафик в обход прокси (ну т.е.
если у юзера в браузере прописаны настйроки прокси - милости
просим, а если нет - гуляй)?
И еще один вопрос возникает - в машине с двумя сетевыми картами
на какую из них будет посылать обработанный запрос squid? Там
есть опция tcp_outgoing_address но я не уверен что это оно...

Буду очень благодарен за любую помощь ибо мои мозги уже
окончательно плавяться (а покупать еще одну двухзпортовую cisco с
настройкой под ключ не хочется да и дороговато)..

- --
Заранее благодарен,
Алексей
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (MingW32)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org

iD8DBQE/w03lanU3DZdZEiwRAgJ6AJ91bidIp20CQSbx1HECEOqnQjUAHACfddWa
x6ofZynJiA/BRsaGuajfuoc=
=DnbO
-----END PGP SIGNATURE-----

Re: [Comm] Linux Gate

[Dmitry Nechaev]

В сообщении от Вторник 25 Ноябрь 2003 15:41 Alexey Morsov написал(a):

>
> Есть необходимость настроить на базе linux-машины gate для
> небольшой (30-40 компьютеров) сетки с выходом как в интеренет
> через ADSL.
> Сейчас сетка выходит в  инет через cisco текущего провайдера
> (ADSL будем брать у другого).
>
> Теоритические исследования привели к слудующему порядку действий:
> 1. На linux-машине ставим две сетевые карты. Одной даем фэйковый
> адрес и втыкаем в локальную сеть, другой даем внешний адрес
> (который дадут нам с ADSL) и втыкаем в нее ADSL.
> 2. Поднимаем и настроаиваем iptables так что бы все порты извне
> кроме http, ftp и https были закрыты.
У тебя есть необходимость держать у себя http/ftp сервера?

> 3. Указываем в правилах iptables так что бы все запросы из
> феёкового пространства адресов форвардились на второй интерфейс.
> 4. Заводим все http, ftp и  https запросы пользователй на прокси.
iptables -A PREROUTING....

>
> И вот тут у меня непонятки... Как можно закинуть (и можно ли) все
> запросы по http, ftp, https на прокси (без transparent_proxy)?
Просто закрываешь форвард по портам 20, 21, 80 и 443.

> Или можно как-то запретить http-трафик в обход прокси (ну т.е.
> если у юзера в браузере прописаны настйроки прокси - милости
> просим, а если нет - гуляй)?
Так и выйдет.

> И еще один вопрос возникает - в машине с двумя сетевыми картами
> на какую из них будет посылать обработанный запрос squid? Там
> есть опция tcp_outgoing_address но я не уверен что это оно...
squid послыает запрос на хост, а пакеты на этот хост идут в соответствии с 
таблицей маршрутизации ядра. Плясать с бубном тут вовсе не нужно.

>
> Буду очень благодарен за любую помощь ибо мои мозги уже
> окончательно плавяться (а покупать еще одну двухзпортовую cisco с
> настройкой под ключ не хочется да и дороговато)..
ничего трудного тут нет.

-- 
2.4.20-alt5-up GNU/Linux

[Comm] Re: Linux Gate

[Денис Смирнов]

On Tue, Nov 25, 2003 at 03:41:09PM +0300, Alexey Morsov wrote:

 > Есть необходимость настроить на базе linux-машины gate для
 > небольшой (30-40 компьютеров) сетки с выходом как в интеренет
 > через ADSL.

Ключевые слово для поиска документации -- NAT, MASWUERADE.
 
 > 2. Поднимаем и настроаиваем iptables так что бы все порты извне
 > кроме http, ftp и https были закрыты.

Зачем открывать http, ftp, https? Это нужно только если на этой машине
есть соответствующие сервера. Обычно снаружи бывает смысл держать smtp, и,
если админ удалённый, то ssh.
 
 > 3. Указываем в правилах iptables так что бы все запросы из
 > феёкового пространства адресов форвардились на второй интерфейс.

_Форвардились_ это указывается в route. А в iptables нужно настроить NAT.
 
 > 4. Заводим все http, ftp и  https запросы пользователй на прокси.

С ftp, AFAIK, малореально, да и ненужно чаще всего. Пусть лучше через NAT
ходят. Или нужно журналировать все посещения?
 
-- 
С уважением, Денис

http://dimline.ru/

Re: [Comm] Re: Linux Gate

[@ 2003-11-26 8:14 UTC (permalink / raw)]

Re: [Comm] Re: Linux Gate

[@ 2003-11-26 9:40 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-11-26 12:56 UTC (permalink / raw)]

Re: [Comm] Re: Linux Gate

[@ 2003-11-26 15:02 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-11-27 3:02 UTC (permalink / raw)]

Re: [Comm] Re: Linux Gate

[@ 2003-11-27 3:30 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-11-27 4:04 UTC (permalink / raw)]

Re: [Comm] Re: Linux Gate

[@ 2003-11-27 7:52 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-11-27 8:07 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-11-27 8:07 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-11-27 11:45 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-11-27 11:49 UTC (permalink / raw)]

[Comm] DROP vs. REJECT (was: Linux Gate)

[@ 2003-11-27 15:52 UTC (permalink / raw)]

[Comm] Re: DROP vs. JECT (was: Linux Gate)

[@ 2003-11-28 8:02 UTC (permalink / raw)]

Re: [Comm] Re: DROP vs. JECT (was: Linux Gate)

[@ 2003-11-28 8:14 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-11-28 21:59 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-11-29 5:00 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-11-29 10:29 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-11-30 8:04 UTC (permalink / raw)]

Re: [Comm] Re: Linux Gate

[@ 2003-11-30 14:32 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-11-30 21:46 UTC (permalink / raw)]

Re: [Comm] Re: Linux Gate

[@ 2003-12-01 4:24 UTC (permalink / raw)]

Re: [Comm] Re: Linux Gate

[@ 2003-12-01 7:52 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-12-01 9:43 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-12-01 11:17 UTC (permalink / raw)]

Re: [Comm] Re: Linux Gate

[@ 2003-12-01 11:33 UTC (permalink / raw)]

Re: [Comm] Re: Linux Gate

[@ 2003-12-01 18:10 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-12-01 19:04 UTC (permalink / raw)]

Re: [Comm] Re: Linux Gate

[@ 2003-12-01 19:50 UTC (permalink / raw)]

[Comm] Re: Linux Gate

[@ 2003-12-02 7:57 UTC (permalink / raw)]