From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Message-ID: <3FC47526.1050302@ricom.ru> Date: Wed, 26 Nov 2003 12:40:54 +0300 From: Alexey Morsov Organization: Ricom-Trust User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.0; ru-RU; rv:1.3) Gecko/20030309 X-Accept-Language: ru-ru, ru, ja MIME-Version: 1.0 To: community@altlinux.ru Subject: Re: [Comm] Re: Linux Gate References: <3FC34DE5.90405@ricom.ru> <20031126075223.GC11169@localhost.localdomain> In-Reply-To: <20031126075223.GC11169@localhost.localdomain> X-Enigmail-Version: 0.73.1.0 X-Enigmail-Supports: pgp-inline, pgp-mime Content-Type: text/plain; charset=KOI8-R; format=flowed Content-Transfer-Encoding: 8bit X-BeenThere: community@altlinux.ru X-Mailman-Version: 2.1.3 Precedence: list Reply-To: community@altlinux.ru List-Id: List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Wed, 26 Nov 2003 09:41:10 -0000 Archived-At: List-Archive: List-Post: -----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Денис Смирнов пишет: | On Tue, Nov 25, 2003 at 03:41:09PM +0300, Alexey Morsov wrote: | | > Есть необходимость настроить на базе linux-машины gate для | > небольшой (30-40 компьютеров) сетки с выходом как в интеренет | > через ADSL. | | Ключевые слово для поиска документации -- NAT, MASWUERADE. Погряз уже во всех этих NAT =) | | > 2. Поднимаем и настроаиваем iptables так что бы все порты извне | > кроме http, ftp и https были закрыты. | | Зачем открывать http, ftp, https? Это нужно только если на этой машине | есть соответствующие сервера. Обычно снаружи бывает смысл держать smtp, и, | если админ удалённый, то ssh. Дело в том что в нашей сетке стоят и www и ftp и mail сервера (хотя прописаны они в сетке провайдера - т.е. видны извне) - но физчески они в нашей сетке... Сейчас у нас cisco так и настроена - - от нас вовне доступно все - к нам извне только http, ftp (ну плюс видимо все порты от 1024 и выше... они вроде как почти всегда открыт) - никаких телнетов и ssh А - ну почта конечно... Вот нужно такое же дело изобразить на Linux (для adsl) | | > 3. Указываем в правилах iptables так что бы все запросы из | > феёкового пространства адресов форвардились на второй интерфейс. | | _Форвардились_ это указывается в route. А в iptables нужно настроить NAT. И вот тут непонятка - сейчас у нас route сеть провайдера (те 8 адресов что он нам выделил как внешние) настроен. Если я втыкаю в комп вторую сетевуху, то по идее у меня долна таблица route выглядить типа как: route -net 201.xxx.xxx.xxx netmask 201.xxx.xxx.xxx gw 201.xxx.xxx.xxx dev eth0 (первый провайдер) route -net 202.xxx.xxx.xxx netmask 202.xxx.xxx.xxx gw 202.xxx.xxx.xxx dev eth1 (второй провайдер) И в iptables я так понимаю надо сделать что-то типа: iptables -t nat -A PREROUTING -i eth0 -j SNAT --to-source 202.xxx.xxx.xxx:1024-32000 и дальше route его закинет куда надо, как я поинмаю А вот что с ответной частью (т.е. с ответом что прийдет извне - он ведь прийдет на 202.xxx.xxx.xxx)? | | > 4. Заводим все http, ftp и https запросы пользователй на прокси. | | С ftp, AFAIK, малореально, да и ненужно чаще всего. Пусть лучше через NAT | ходят. Или нужно журналировать все посещения? Да заводить пожалуй не надо - просто я думаю надо настроить iptables так чтобы онно запрещало доступ мимо прокис а прокси прописывать явно... | -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.2 (MingW32) Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org iD8DBQE/xHUmanU3DZdZEiwRAsqtAJ9KuHLoEX+Sc821gWNRqyYUgS6B9QCfWfcl XHimUleQMP0P2D7adxa6JJs= =/oP5 -----END PGP SIGNATURE-----