[Comm] iptables

[Comm] iptables

[Polovnikov Denis]

привет всем,

поделитесь плиз конфигом для iptables с настроеным натом, или дайте
ссылку на хороший мануал на русском. А то чего-то по не получается
настроить :-(



-- 
С уважением,
 Polovnikov                          mailto:altlinux@lg-support.ru

Re: [Comm] iptables

[Nikita Semenov]

Здравствуйте.


Tuesday, April 6, 2004, 1:01:43 PM, вы писали:

PD> привет всем,

PD> поделитесь плиз конфигом для iptables с настроеным натом, или дайте
PD> ссылку на хороший мануал на русском. А то чего-то по не получается
PD> настроить :-(

http://gazette.linux.ru.net/rus/articles/iptables-tutorial.html





-- 
Best regards,
Nikita Semenov
System Administer
InterStep
+7(812)324-8020
nikita@inter-step.ru
ICQ: 3939833

Re: [Comm] iptables

[Gennadiy Redko]

Nikita Semenov пишет:
> Здравствуйте.
> 
> 
> Tuesday, April 6, 2004, 1:01:43 PM, вы писали:
> 
> PD> привет всем,
> 
> PD> поделитесь плиз конфигом для iptables с настроеным натом, или дайте
> PD> ссылку на хороший мануал на русском. А то чего-то по не получается
> PD> настроить :-(
> 
> http://gazette.linux.ru.net/rus/articles/iptables-tutorial.html
> 
И еще:
http://www.opennet.ru/docs/RUS/iptables/

Re: [Comm] iptables

[Alexey Morsov]

Polovnikov Denis wrote:

> привет всем,
> 
> поделитесь плиз конфигом для iptables с настроеным натом, или дайте
> ссылку на хороший мануал на русском. А то чего-то по не получается
> настроить :-(

#!/bin/sh
# объявим переменные
FW="/sbin/iptables"

LAN_NET="192.168.130.0/24"
LAN_IP="192.168.130.2"
LAN_ETH="eth0"

INET_IP="192.168.1.2"
INET_ETH="eth1"

# локалка
LH="127.0.0.1"
PROXY_PORT="3128"

modprobe ip_nat_ftp

# все прочистим
$FW -t nat -F
$FW -F
$FW -X

# наведем маскарад
$FW -t nat -A POSTROUTING -s $LAN_NET -o $INET_ETH -j SNAT 
--to-source $INET_IP

# все всем запретить
$FW -P INPUT DROP
$FW -P FORWARD DROP
$FW -P OUTPUT ACCEPT

# для INPUT
$FW -A INPUT -m state --state ESTABLISHED,RELATED -j IN_SORTING
$FW -A INPUT -m state --state NEW -i ! $INET_ETH -j ACCEPT
$FW -A INPUT -i $INET_ETH -d $INET_IP -j ACCEPT


Этот скрипт (ну я тут выкинул много чего специфичного для моей 
сетки + для подсчета трафика) у меня и работает - замечательно 
так работает 8-)


-- 
С наилучшими пожеланиями,
Алексей.

Re[2]: [Comm] iptables

[Polovnikov Denis]

Здравствуйте, Alexey.

Вы писали 6 апреля 2004 г., 15:55:59:



AM> Polovnikov Denis wrote:

>> привет всем,
>> 
>> поделитесь плиз конфигом для iptables с настроеным натом, или дайте
>> ссылку на хороший мануал на русском. А то чего-то по не получается
>> настроить :-(
Вот что у меня щас . И нефига нат не работает.
eth0 это локалка
eth1 это инет.

*mangle
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
#-A PREROUTING -p tcp --dport 22 -j TOS --set-tos 0x10
COMMIT
*filter
:FORWARD ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:net - [0:0]
COMMIT

*nat
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 192.168.12.0/24 -o eth1 -j SNAT --to-source 195.124.1.1
COMMIT




-- 
С уважением,
 Polovnikov                          mailto:altlinux@lg-support.ru

Re: [Comm] iptables

[Alexey Morsov]

Polovnikov Denis wrote:
> Здравствуйте, Alexey.
> 
> Вы писали 6 апреля 2004 г., 15:55:59:
> 
> Вот что у меня щас . И нефига нат не работает.
> eth0 это локалка
> eth1 это инет.
> 
> *mangle
> :PREROUTING ACCEPT [0:0]
> :OUTPUT ACCEPT [0:0]
> #-A PREROUTING -p tcp --dport 22 -j TOS --set-tos 0x10
Вот это вообще не понял?
Зачем?

> COMMIT
> *filter
> :FORWARD ACCEPT [0:0]
> :INPUT ACCEPT [0:0]
> :OUTPUT ACCEPT [0:0]
> :net - [0:0]
> COMMIT
Ох... ну не люблю я формат iptables-save - тяжко читать его ;-)

> 
> *nat
> :PREROUTING ACCEPT [0:0]
> :OUTPUT ACCEPT [0:0]
> :POSTROUTING ACCEPT [0:0]
> -A POSTROUTING -s 192.168.12.0/24 -o eth1 -j SNAT --to-source 195.124.1.1
> COMMIT
ну вроде так должно работать

а дайте вывод команд
route
и
cat /proc/sys/net/ipv4/ip_forward

А еще лучше вбейте свои iptables в скрипт и на нем отлаживайте а 
то через командную строку все время вбивать - или редактировать 
то что насейвил iptables-save - заколебаетесь
> http://lists.altlinux.ru/mailman/listinfo/community

-- 
С наилучшими пожеланиями,
Алексей.

Re: Re[2]: [Comm] iptables

[Mike Lykov]

В сообщении от Вторник 06 Апрель 2004 18:35 Polovnikov Denis написал:

> Вот что у меня щас . И нефига нат не работает.

> -A POSTROUTING -s 192.168.12.0/24 -o eth1 -j SNAT --to-source 195.124.1.1

три раза одно и то же можно не посылать, вышеуказанной строки должно быть 
достаточно, если включен форвард пакетов в /etc/sysctl.conf

-- 
Mike

Re[4]: [Comm] iptables

[Polovnikov Denis]

Здравствуйте, Mike.

Вы писали 7 апреля 2004 г., 8:24:19:

ML> В сообщении от Вторник 06 Апрель 2004 18:35 Polovnikov Denis написал:

>> Вот что у меня щас . И нефига нат не работает.

>> -A POSTROUTING -s 192.168.12.0/24 -o eth1 -j SNAT --to-source 195.124.1.1

ML> три раза одно и то же можно не посылать, вышеуказанной строки должно быть
ML> достаточно, если включен форвард пакетов в /etc/sysctl.conf
Извеняюсь это чегото мыша сглючила :-(
Включил форвардинг и все заработало :-)



-- 
С уважением,
 Polovnikov                          mailto:altlinux@lg-support.ru

Re[4]: [Comm] iptables

[Polovnikov Denis]

Здравствуйте, Mike.

Вы писали 7 апреля 2004 г., 8:24:19:

Спасибо всем за помощь с натом заработало :-) Теперь остается вопрос с
тем как перенаправить пакеты с 80 порта на 3128 для прозрачного
прокси. Порылся в архиве рассылки и нашол что надо прописать следуещее

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 3128

Squid я уже настроил. Но почему то пакеты не перенаправляются :-(

-- 
С уважением,
 Polovnikov                          mailto:altlinux@lg-support.ru

Re: Re[4]: [Comm] iptables

[Mike Lykov]

В сообщении от Среда 07 Апрель 2004 15:20 Polovnikov Denis написал:

> Squid я уже настроил. Но почему то пакеты не перенаправляются :-(

читать bog.pp.ru насчет особенностей прозрачного проксирования

-- 
Mike

Re: [Comm] iptables

[Alexey Morsov]

Mike Lykov wrote:
> В сообщении от Среда 07 Апрель 2004 15:20 Polovnikov Denis написал:
> 
> 
>>Squid я уже настроил. Но почему то пакеты не перенаправляются :-(
> 
> 
> читать bog.pp.ru насчет особенностей прозрачного проксирования
Да просто гляньте в squid.conf - там так все обкоментированно

Намек - для прозрачки нужно включить в squid.conf опцию 
transparent_proxy и еще опции с virtual_host...
а вообще я себе в прозрачку не настраивал - меньше возможностей 
(имхо), перенаправляеться тока http траффик (он конечно самый 
большой но все же). Я просто запретил трафик через FORWARD - тока 
через squid (т.е. INPUT OUTPUT) -
> 
> 
> 
> ------------------------------------------------------------------------
> 
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> http://lists.altlinux.ru/mailman/listinfo/community

-- 
С наилучшими пожеланиями,
Алексей.

Re[5]: [Comm] iptables

[Nikita Semenov]

Здравствуйте.
А непрозрачно работает?


Wednesday, April 7, 2004, 2:20:18 PM, вы писали:

PD> Здравствуйте, Mike.

PD> Вы писали 7 апреля 2004 г., 8:24:19:

PD> Спасибо всем за помощь с натом заработало :-) Теперь остается вопрос с
PD> тем как перенаправить пакеты с 80 порта на 3128 для прозрачного
PD> прокси. Порылся в архиве рассылки и нашол что надо прописать следуещее

PD> iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 3128

PD> Squid я уже настроил. Но почему то пакеты не перенаправляются :-(





-- 
Best regards,
Nikita Semenov
System Administer
InterStep
+7(812)324-8020
nikita@inter-step.ru
ICQ: 3939833

Re[6]: [Comm] iptables

[Polovnikov Denis]

Здравствуйте, Nikita.

Вы писали 7 апреля 2004 г., 14:55:00:

NS> Здравствуйте.
NS> А непрозрачно работает?

Напрямую Squid работает. Не работает переброс.

В сквиде все прописано как положено, но почемуто мануалы по настройке
все для ipchaшns а iptables нефига нет. :-(

http_port 3128
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on 


NS> Wednesday, April 7, 2004, 2:20:18 PM, вы писали:

PD>> Здравствуйте, Mike.

PD>> Вы писали 7 апреля 2004 г., 8:24:19:

PD>> Спасибо всем за помощь с натом заработало :-) Теперь остается вопрос с
PD>> тем как перенаправить пакеты с 80 порта на 3128 для прозрачного
PD>> прокси. Порылся в архиве рассылки и нашол что надо прописать следуещее

PD>> iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 3128

PD>> Squid я уже настроил. Но почему то пакеты не перенаправляются :-(








-- 
С уважением,
 Polovnikov                          mailto:altlinux@lg-support.ru

Re[7]: [Comm] iptables

[Nikita Semenov]

Здравствуйте.
У меня вот так:

$IPTABLES -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.66


Thursday, April 8, 2004, 9:55:38 AM, вы писали:

PD> Здравствуйте, Nikita.

PD> Вы писали 7 апреля 2004 г., 14:55:00:

NS>> Здравствуйте.
NS>> А непрозрачно работает?

PD> Напрямую Squid работает. Не работает переброс.

PD> В сквиде все прописано как положено, но почемуто мануалы по настройке
PD> все для ipchaшns а iptables нефига нет. :-(

PD> http_port 3128
PD> httpd_accel_host virtual
PD> httpd_accel_port 80
PD> httpd_accel_with_proxy on
PD> httpd_accel_uses_host_header on 


NS>> Wednesday, April 7, 2004, 2:20:18 PM, вы писали:

PD>>> Здравствуйте, Mike.

PD>>> Вы писали 7 апреля 2004 г., 8:24:19:

PD>>> Спасибо всем за помощь с натом заработало :-) Теперь остается вопрос с
PD>>> тем как перенаправить пакеты с 80 порта на 3128 для прозрачного
PD>>> прокси. Порылся в архиве рассылки и нашол что надо прописать следуещее

PD>>> iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 3128

PD>>> Squid я уже настроил. Но почему то пакеты не перенаправляются :-(












-- 
Best regards,
Nikita Semenov
System Administer
InterStep
+7(812)324-8020
nikita@inter-step.ru
ICQ: 3939833

Re[8]: [Comm] iptables

[Polovnikov Denis]

Здравствуйте, Nikita.

Вы писали 8 апреля 2004 г., 10:21:55:


Добил я всетаки iptables пакеты он теперь перекидывает на Сквид
:-)Всем спасибо за советы.

Трабла с правами доступа у сквида написал ACL не пущает... разрешаю
доступ для всех пущает. Подскажите в чем я не прав.

acl clients src 192.168.12.0/255.255.255.0
http_access allow clients



NS> Здравствуйте.
NS> У меня вот так:

NS> $IPTABLES -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j
NS> DNAT --to-destination 192.168.1.66


NS> Thursday, April 8, 2004, 9:55:38 AM, вы писали:

PD>> Здравствуйте, Nikita.

PD>> Вы писали 7 апреля 2004 г., 14:55:00:

NS>>> Здравствуйте.
NS>>> А непрозрачно работает?

PD>> Напрямую Squid работает. Не работает переброс.

PD>> В сквиде все прописано как положено, но почемуто мануалы по настройке
PD>> все для ipchaшns а iptables нефига нет. :-(

PD>> http_port 3128
PD>> httpd_accel_host virtual
PD>> httpd_accel_port 80
PD>> httpd_accel_with_proxy on
PD>> httpd_accel_uses_host_header on 


NS>>> Wednesday, April 7, 2004, 2:20:18 PM, вы писали:

PD>>>> Здравствуйте, Mike.

PD>>>> Вы писали 7 апреля 2004 г., 8:24:19:

PD>>>> Спасибо всем за помощь с натом заработало :-) Теперь остается вопрос с
PD>>>> тем как перенаправить пакеты с 80 порта на 3128 для прозрачного
PD>>>> прокси. Порылся в архиве рассылки и нашол что надо прописать следуещее

PD>>>> iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 3128

PD>>>> Squid я уже настроил. Но почему то пакеты не перенаправляются :-(















-- 
С уважением,
 Polovnikov                          mailto:altlinux@lg-support.ru

Re: [Comm] iptables

[Alexey Morsov]

Polovnikov Denis wrote:
> Здравствуйте, Nikita.
> 
> Вы писали 8 апреля 2004 г., 10:21:55:
> 
> 
> Добил я всетаки iptables пакеты он теперь перекидывает на Сквид
> :-)Всем спасибо за советы.
А не скажите в чем было дело - интересно 8-)
> 
> Трабла с правами доступа у сквида написал ACL не пущает... разрешаю
> доступ для всех пущает. Подскажите в чем я не прав.
Правила (естественно) обрабатывають до первого совпадения,
т.е. скажем если написано

acl src mynet 192.168.130.0/28
http_access allow mynet
http_access deny all

то все из mynet сетки пройдут - остальные нет
А вот если написать
http_access deny all
http_access allow mynet - то конено (посколько all = 0/0) mynet 
тоже удйет курить бамбук

Могу поделить примерами если надо - работает именно как и должно

> 
> acl clients src 192.168.12.0/255.255.255.0
> http_access allow clients
> 
> 
> 
> NS> Здравствуйте.
> NS> У меня вот так:
> 
> NS> $IPTABLES -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j
> NS> DNAT --to-destination 192.168.1.66
> 
> 
> NS> Thursday, April 8, 2004, 9:55:38 AM, вы писали:
> 
> PD>> Здравствуйте, Nikita.
> 
> PD>> Вы писали 7 апреля 2004 г., 14:55:00:
> 
> NS>>> Здравствуйте.
> NS>>> А непрозрачно работает?
> 
> PD>> Напрямую Squid работает. Не работает переброс.
> 
> PD>> В сквиде все прописано как положено, но почемуто мануалы по настройке
> PD>> все для ipchaшns а iptables нефига нет. :-(
> 
> PD>> http_port 3128
> PD>> httpd_accel_host virtual
> PD>> httpd_accel_port 80
> PD>> httpd_accel_with_proxy on
> PD>> httpd_accel_uses_host_header on 
> 
> 
> NS>>> Wednesday, April 7, 2004, 2:20:18 PM, вы писали:
> 
> PD>>>> Здравствуйте, Mike.
> 
> PD>>>> Вы писали 7 апреля 2004 г., 8:24:19:
> 
> PD>>>> Спасибо всем за помощь с натом заработало :-) Теперь остается вопрос с
> PD>>>> тем как перенаправить пакеты с 80 порта на 3128 для прозрачного
> PD>>>> прокси. Порылся в архиве рассылки и нашол что надо прописать следуещее
> 
> PD>>>> iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 3128
> 
> PD>>>> Squid я уже настроил. Но почему то пакеты не перенаправляются :-(
> 
> 
> 
> 
> 
> 
> 
> 
> 
> 
> 
> 
> 
> 
> 
> 
> 
> ------------------------------------------------------------------------
> 
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> http://lists.altlinux.ru/mailman/listinfo/community

-- 
С наилучшими пожеланиями,
Алексей.

Re[2]: [Comm] iptables

[Polovnikov Denis]

Здравствуйте, Alexey.

Вы писали 8 апреля 2004 г., 15:15:14:



AM> Polovnikov Denis wrote:
>> Здравствуйте, Nikita.
>> 
>> Вы писали 8 апреля 2004 г., 10:21:55:
>> 
>> 
>> Добил я всетаки iptables пакеты он теперь перекидывает на Сквид
>> :-)Всем спасибо за советы.
AM> А не скажите в чем было дело - интересно 8-)
В iptables 2 страки следующего содержания прописать надо было.

-A PREROUTING -s 192.168.12.0/24 -d ! 192.168.12.1 -p tcp -m multiport --dport 80 -j REDIRECT --to-port 3128
-A PREROUTING -s 192.168.12.0/24 -d ! 192.168.12.1 -p udp -m multiport --dport 80 -j REDIRECT --to-port 3128

>> 
>> Трабла с правами доступа у сквида написал ACL не пущает... разрешаю
>> доступ для всех пущает. Подскажите в чем я не прав.
AM> Правила (естественно) обрабатывають до первого совпадения,
AM> т.е. скажем если написано

AM> acl src mynet 192.168.130.0/28
AM> http_access allow mynet
AM> http_access deny all

AM> то все из mynet сетки пройдут - остальные нет
AM> А вот если написать
AM> http_access deny all
AM> http_access allow mynet - то конено (посколько all = 0/0) mynet 
AM> тоже удйет курить бамбук

Спасибо что разьяснил этого нюанса я не знал :-)))

AM> Могу поделить примерами если надо - работает именно как и должно

-- 
С уважением,
 Polovnikov                          mailto:altlinux@lg-support.ru

Re: [Comm] iptables

[Alexey Morsov]

Polovnikov Denis wrote:
> Здравствуйте, Alexey.
> 
> Вы писали 8 апреля 2004 г., 15:15:14:
> 
> 
> 
> AM> Polovnikov Denis wrote:
> 
>>>Здравствуйте, Nikita.
>>>
>>>Вы писали 8 апреля 2004 г., 10:21:55:
>>>
>>>
>>>Добил я всетаки iptables пакеты он теперь перекидывает на Сквид
>>>:-)Всем спасибо за советы.
> 
> AM> А не скажите в чем было дело - интересно 8-)
> В iptables 2 страки следующего содержания прописать надо было.
> 
> -A PREROUTING -s 192.168.12.0/24 -d ! 192.168.12.1 -p tcp -m multiport --dport 80 -j REDIRECT --to-port 3128
> -A PREROUTING -s 192.168.12.0/24 -d ! 192.168.12.1 -p udp -m multiport --dport 80 -j REDIRECT --to-port 3128
> 
Млин - Логично - squid же еще и dns сам обрабатывает (и кеширует 
слегка)
> 
>>>Трабла с правами доступа у сквида написал ACL не пущает... разрешаю
>>>доступ для всех пущает. Подскажите в чем я не прав.
> 
> AM> Правила (естественно) обрабатывають до первого совпадения,
> AM> т.е. скажем если написано
> 
> AM> acl src mynet 192.168.130.0/28
> AM> http_access allow mynet
> AM> http_access deny all
> 
> AM> то все из mynet сетки пройдут - остальные нет
> AM> А вот если написать
> AM> http_access deny all
> AM> http_access allow mynet - то конено (посколько all = 0/0) mynet 
> AM> тоже удйет курить бамбук
> 
> Спасибо что разьяснил этого нюанса я не знал :-)))
> 
> AM> Могу поделить примерами если надо - работает именно как и должно
> 
> 
> 
> ------------------------------------------------------------------------
> 
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> http://lists.altlinux.ru/mailman/listinfo/community

-- 
С наилучшими пожеланиями,
Алексей.

Re: [Comm] iptables

[Roman Savochenko]

Alexey Morsov пишет:

>
>>
>> AM> А не скажите в чем было дело - интересно 8-)
>> В iptables 2 страки следующего содержания прописать надо было.
>>
>> -A PREROUTING -s 192.168.12.0/24 -d ! 192.168.12.1 -p tcp -m 
>> multiport --dport 80 -j REDIRECT --to-port 3128
>> -A PREROUTING -s 192.168.12.0/24 -d ! 192.168.12.1 -p udp -m 
>> multiport --dport 80 -j REDIRECT --to-port 3128
>>
Интересно!
А что в squid для этого нужно прописать?
У меня настроена авторизация и выборочный доступ машин из списка.
Если захожу как обычно то спрашивает пароль и пускает.
Если захожу неявно тупо говорит что доступа нет, почему?

С уважением Роман!

Re: [Comm] iptables

[Mike Lykov]

В сообщении от Четверг 08 Апрель 2004 20:40 Roman Savochenko написал:

> У меня настроена авторизация и выборочный доступ машин из списка.
> Если захожу как обычно то спрашивает пароль и пускает.
> Если захожу неявно тупо говорит что доступа нет, почему?

читайте доки и факи.
авторизация и прозрачное проксирование одновременно не работают.

-- 
Mike

Re: [Comm] iptables

[Alexey Morsov]

Roman Savochenko wrote:

> Alexey Morsov пишет:
> 
>>
>>>
>>> AM> А не скажите в чем было дело - интересно 8-)
>>> В iptables 2 страки следующего содержания прописать надо было.
>>>
>>> -A PREROUTING -s 192.168.12.0/24 -d ! 192.168.12.1 -p tcp -m 
>>> multiport --dport 80 -j REDIRECT --to-port 3128
>>> -A PREROUTING -s 192.168.12.0/24 -d ! 192.168.12.1 -p udp -m 
>>> multiport --dport 80 -j REDIRECT --to-port 3128
>>>
> Интересно!
> А что в squid для этого нужно прописать?
> У меня настроена авторизация и выборочный доступ машин из списка.
> Если захожу как обычно то спрашивает пароль и пускает.
> Если захожу неявно тупо говорит что доступа нет, почему?
А авторизация на чем?

> 
> С уважением Роман!
> 
> 
> ------------------------------------------------------------------------
> 
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> http://lists.altlinux.ru/mailman/listinfo/community

-- 
С наилучшими пожеланиями,
Алексей.