[sisyphus] Настройка элементарного маскарада

[sisyphus] Настройка элементарного маскарада

[Vitaly Lipatov]

Неужели в Сизифе нет ни одной программы, которая
может настроить internet sharing?

Для начала мне всего лишь нужно, чтобы с любой
машины в локальной сети проходит ping
на внешний адрес.
Изучать все возможности iptables для этого в данный
момент мне совсем не хочется.
Есть drakconf, который может это сам настроить, и раньше
настраивал и работало. Сейчас он сообщает в настройке
internet sharing, что ошибка при установка caching-nameserver.
Во-первых, этот пакет у меня установлен.
Во-вторых, urpmi у меня настроен, и если caching-nameserver
удалить, то drakconf его устанавливает вновь, но всё равно говорит
что ошибка при установке.
На худой конец может кто может файлом /etc/rc.d/rc.firewall.inet_sharing
готовым поделится.
Случай-то самый простой - локалка на eth0 и ppp0 наружу.
Да, по tcpdump -i ppp0 видно, что ping из локалки выходит наружу,
ответ возвращается, но обратно в локалку не залезает :(

Всё самое свежее из Сизифа. (09.03.02)

-- 
Lav
Виталий Липатов
ФГУП "ЦНИИ Судовой Электротехники и Технологии", Санкт-Петербург
GNU! Linux! LaTeX! LyX!

[sisyphus] Re: [sisyphus] Настройка элементарного маскарада

[Aleksandr Blohin]

On Sat, 9 Mar 2002 16:48:47 +0300
Vitaly Lipatov <LAV@VL3143.spb.edu> wrote:

VL> На худой конец может кто может файлом
VL> /etc/rc.d/rc.firewall.inet_sharing
VL> готовым поделится.
#-----------------------------------------------------------------
#!/bin/sh
insmod ip_conntrack
insmod ip_conntrack_ftp

# Interface to Internet

EXTIF=ppp+

ANY=0.0.0.0/0
localnet="192.168.0.0/24"
firewallhost="192.168.0.8/32"
localhost_localdomain="127.0.0.1/32"

iptables -P INPUT ACEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

# Deny TCP and UDP packets to privileged ports
iptables -A INPUT -i $EXTIF -d $ANY -p udp -dport 0:1023  -j DROP
iptables -A INPUT -i $EXTIF -d $ANY -p tcp -dport 0:1023 -j DROP

# Маскарадим ppp0.
iptables -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE

# Включаем маршрутизацию пакетов.
echo 1 > /proc/sys/net/ipv4/ip_forward
#-----------------------------------------------------------------
--
Best regards
AB
--
				... In nomine Altli, et Ctrli, et Spititus Deli, Reset!

Re: [sisyphus] Re: [sisyphus] Настройка элементарного маскарада

[Vitaly Lipatov]

On 9 March 2002 20:43, Aleksandr Blohin wrote:
> EXTIF=ppp+
я написал здесь ppp0
>
> ANY=0.0.0.0/0
> localnet="192.168.0.0/24"
> firewallhost="192.168.0.8/32"
> localhost_localdomain="127.0.0.1/32"
>
> iptables -P INPUT ACEPT
> iptables -P OUTPUT ACCEPT
> iptables -P FORWARD DROP
>
> iptables -F INPUT
> iptables -F OUTPUT
> iptables -F FORWARD
>
> # Deny TCP and UDP packets to privileged ports
> iptables -A INPUT -i $EXTIF -d $ANY -p udp -dport 0:1023  -j DROP
> iptables -A INPUT -i $EXTIF -d $ANY -p tcp -dport 0:1023 -j DROP
> #-----------------------------------------------------------------
Эти строчки выдают следующее:
iptables: Bad policy name
iptables v1.2.5: multiple -d flags not allowed
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.2.5: multiple -d flags not allowed
Try `iptables -h' or 'iptables --help' for more information.
[root@lav rc.d]#
Увы мне, увы.
-- 
Lav
Виталий Липатов
ФГУП "ЦНИИ Судовой Электротехники и Технологии", Санкт-Петербург
GNU! Linux! LaTeX! LyX!

[sisyphus] Re: [sisyphus] Re: [sisyphus] Настройка элементарного маскарада

[Aleksandr Blohin]

On Sat, 9 Mar 2002 22:51:37 +0300
Vitaly Lipatov <LAV@VL3143.spb.edu> wrote:

VL> On 9 March 2002 20:43, Aleksandr Blohin wrote:
>> EXTIF=ppp+
VL> я написал здесь ppp0
>>
>> ANY=0.0.0.0/0
>> localnet="192.168.0.0/24"
>> firewallhost="192.168.0.8/32"
>> localhost_localdomain="127.0.0.1/32"
>>
>> iptables -P INPUT ACEPT
>> iptables -P OUTPUT ACCEPT
>> iptables -P FORWARD DROP
>>
>> iptables -F INPUT
>> iptables -F OUTPUT
>> iptables -F FORWARD
>>
>> # Deny TCP and UDP packets to privileged ports
>> iptables -A INPUT -i $EXTIF -d $ANY -p udp -dport 0:1023  -j DROP
>> iptables -A INPUT -i $EXTIF -d $ANY -p tcp -dport 0:1023 -j DROP
>> #-----------------------------------------------------------------
VL> Эти строчки выдают следующее:
VL> iptables: Bad policy name
VL> iptables v1.2.5: multiple -d flags not allowed
VL> Try `iptables -h' or 'iptables --help' for more information.
VL> iptables v1.2.5: multiple -d flags not allowed
VL> Try `iptables -h' or 'iptables --help' for more information.
VL> [root@lav rc.d]#

Сорри!
Очепятка :)
Там где -dport должно быть --dport
Подправьте.

--
Best regards
AB
--
				... In nomine Altli, et Ctrli, et Spititus Deli, Reset!

Re: [sisyphus] Настройка элементарного маскарада

[Vitaly Lipatov]

On 9 March 2002 23:00, Aleksandr Blohin wrote:

Вот что выводит iptables -L после запуска этого скрипта:
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
DROP       udp  --  anywhere             anywhere           udp dpts:0:1023
DROP       tcp  --  anywhere             anywhere           tcp dpts:0:1023

Chain FORWARD (policy DROP)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination


А что, никаких программ не существует для настройки iptables для
этого частого случая? По-моему, большое упущение для нового дистрибутива.
Новые винды сразу умеют...

-- 
Lav
Виталий Липатов
ФГУП "ЦНИИ Судовой Электротехники и Технологии", Санкт-Петербург
GNU! Linux! LaTeX! LyX!

[sisyphus] Re: [sisyphus] Настройка элементарного маскарада

[Aleksandr Blohin]

On Sun, 10 Mar 2002 00:34:01 +0300
Vitaly Lipatov <LAV@VL3143.spb.edu> wrote:

VL> On 9 March 2002 23:00, Aleksandr Blohin wrote:

VL> Вот что выводит iptables -L после запуска этого скрипта:
VL> Chain INPUT (policy ACCEPT)
VL> target     prot opt source               destination
VL> DROP       udp  --  anywhere             anywhere           udp
VL> dpts:0:1023
VL> DROP       tcp  --  anywhere             anywhere           tcp
VL> dpts:0:1023

VL> Chain FORWARD (policy DROP)
VL> target     prot opt source               destination

VL> Chain OUTPUT (policy ACCEPT)
VL> target     prot opt source               destination

iptables не нравится -P FORWARD DROP. Измените DROP на ACCEPT.
Почему? Не знаю. Я сам только недавно обратил свой взляд не iptables.
Для ipchains это же правило работает.

--
Best regards
AB
--
				... In nomine Altli, et Ctrli, et Spititus Deli, Reset!

Re: [sisyphus] Re: [sisyphus] Настройка элементарного маскарада

[Vitaly Lipatov]

On 10 March 2002 14:18, Aleksandr Blohin wrote:

> iptables не нравится -P FORWARD DROP. Измените DROP на ACCEPT.
> Почему? Не знаю. Я сам только недавно обратил свой взляд не iptables.
> Для ipchains это же правило работает.
Большое спасибо, заработало.

-- 
Lav
Виталий Липатов
ФГУП "ЦНИИ Судовой Электротехники и Технологии", Санкт-Петербург
GNU! Linux! LaTeX! LyX!

[sisyphus] Re: Настройка элементарного маскарада

[Michael Shigorin]

On Sat, Mar 09, 2002 at 07:43:56PM +0200, Aleksandr Blohin wrote:
> iptables -P INPUT ACEPT
именно с одной "C"?  ^

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ http://visa.chem.univ.kiev.ua/~mike/

[sisyphus] Re: [sisyphus] Re: Настройка элементарного маскарада

[Aleksandr Blohin]

On Sun, 10 Mar 2002 14:07:43 +0200
Michael Shigorin <mike@lic145.kiev.ua> wrote:

MS> On Sat, Mar 09, 2002 at 07:43:56PM +0200, Aleksandr Blohin wrote:
>> iptables -P INPUT ACEPT
MS> именно с одной "C"?  ^

Нет конечно, с двумя.

--
Best regards
AB
--
				... In nomine Altli, et Ctrli, et Spititus Deli, Reset!

[sisyphus] Re: [sisyphus] Настройка элементарного маскарада

[cornet]

[-- Attachment #1: Type: text/plain, Size: 1367 bytes --]

Vitaly Lipatov wrote:
> 
> Неужели в Сизифе нет ни одной программы, которая
> может настроить internet sharing?
> 
> Для начала мне всего лишь нужно, чтобы с любой
> машины в локальной сети проходит ping
> на внешний адрес.
> Изучать все возможности iptables для этого в данный
> момент мне совсем не хочется.
> Есть drakconf, который может это сам настроить, и раньше
> настраивал и работало. Сейчас он сообщает в настройке
> internet sharing, что ошибка при установка caching-nameserver.
> Во-первых, этот пакет у меня установлен.
> Во-вторых, urpmi у меня настроен, и если caching-nameserver
> удалить, то drakconf его устанавливает вновь, но всё равно говорит
> что ошибка при установке.
> На худой конец может кто может файлом /etc/rc.d/rc.firewall.inet_sharing
> готовым поделится.
> Случай-то самый простой - локалка на eth0 и ppp0 наружу.
> Да, по tcpdump -i ppp0 видно, что ping из локалки выходит наружу,
> ответ возвращается, но обратно в локалку не залезает :(
> 
> Всё самое свежее из Сизифа. (09.03.02)

Вот, ловите, проще некуда. Маскарадит все из внутренней сети
192.168.9.0 наружу.

Есть еще тулза gfcc но она через ipchains работает так что не
забудьте перед употреблением сделать
modprobe ipchains
если конечно у Вас ядро 2.4.X, если 2.2.X и так заработает.
 
-- 
Власенко Олег.
Отдел технической поддержки ALT Linux Team.
mailto:cornet@altlinux.ru

[-- Attachment #2: masq.sh --]
[-- Type: application/x-sh, Size: 329 bytes --]

Re: [sisyphus] Re: [sisyphus] Настройка элементарного маскарада

[Vitaly Lipatov]

On 9 March 2002 21:28, cornet wrote:
> Вот, ловите, проще некуда. Маскарадит все из внутренней сети
> 192.168.9.0 наружу.
>
> Есть еще тулза gfcc но она через ipchains работает так что не
> забудьте перед употреблением сделать
> modprobe ipchains
> если конечно у Вас ядро 2.4.X, если 2.2.X и так заработает.
Хотелось бы iptables. Я вот думаю, может нельзя иметь сетевой
адрес 192.168.0.1? Может 0 это что-то запрещённое? Мне так drakconf
сделал...
Я так понимаю, вот главные строки:
/sbin/iptables -A FORWARD -s 192.168.0.1/24 -j ACCEPT
/sbin/iptables -t nat -A POSTROUTING -j MASQUERADE

-- 
Lav
Виталий Липатов
ФГУП "ЦНИИ Судовой Электротехники и Технологии", Санкт-Петербург
GNU! Linux! LaTeX! LyX!

Re: [sisyphus] Re: [sisyphus] Настройка элементарного маскарада

[Любимов А.В.]

On Sun, 10 Mar 2002 01:26:12 +0300
"Vitaly Lipatov" <LAV@VL3143.spb.edu> wrote:


> адрес 192.168.0.1? Может 0 это что-то запрещённое? Мне так drakconf
> сделал...

можно. 


-- 
С уважением,Любимов А.В.

Re: [sisyphus] Re: [sisyphus] Настройка элементарного маскарада

[cornet]

Vitaly Lipatov wrote:
> 
> On 9 March 2002 21:28, cornet wrote:
> > Вот, ловите, проще некуда. Маскарадит все из внутренней сети
> > 192.168.9.0 наружу.
> >
> > Есть еще тулза gfcc но она через ipchains работает так что не
> > забудьте перед употреблением сделать
> > modprobe ipchains
> > если конечно у Вас ядро 2.4.X, если 2.2.X и так заработает.
> Хотелось бы iptables. 
> Я вот думаю, может нельзя иметь сетевой
> адрес 192.168.0.1? Может 0 это что-то запрещённое? Мне так drakconf
> сделал...

Ничего запрещенного, все нормально. Главное, что бы нуля в конце
не было.


-- 
Власенко Олег.
Отдел технической поддержки ALT Linux Team.
mailto:cornet@altlinux.ru

Re: [sisyphus] Re: [sisyphus] Настройка элементарногомаскарада

[Vitaly Lipatov]

On 10 March 2002 14:20, cornet wrote:
> Vitaly Lipatov wrote:
> > Я вот думаю, может нельзя иметь сетевой
> > адрес 192.168.0.1? Может 0 это что-то запрещённое? Мне так drakconf
> > сделал...
>
> Ничего запрещенного, все нормально. Главное, что бы нуля в конце
> не было.
Понял. 
Лучше скажите, это правильно, что Drakconf вылетает с ошибкой
при попытке настроить им internet sharing и что же тогда будет в Мастере,
как не разбираясь в тонкостях iptables (все эти цепочки и правила
так просто в голове не укладываются, по крайней мере в моей),
настроить сеть?

-- 
Lav
Виталий Липатов
ФГУП "ЦНИИ Судовой Электротехники и Технологии", Санкт-Петербург
GNU! Linux! LaTeX! LyX!

Re: [sisyphus] Re: [sisyphus] Настройка элементарногомаскарада

[cornet]

Vitaly Lipatov wrote:
> 
> On 10 March 2002 14:20, cornet wrote:
> > Vitaly Lipatov wrote:
> > > Я вот думаю, может нельзя иметь сетевой
> > > адрес 192.168.0.1? Может 0 это что-то запрещённое? Мне так drakconf
> > > сделал...
> >
> > Ничего запрещенного, все нормально. Главное, что бы нуля в конце
> > не было.
> Понял.
> Лучше скажите, это правильно, что Drakconf вылетает с ошибкой
> при попытке настроить им internet sharing и что же тогда будет в Мастере,
> как не разбираясь в тонкостях iptables (все эти цепочки и правила
> так просто в голове не укладываются, по крайней мере в моей),
> настроить сеть?

То, что Drakconf не работает (а точнее работает не правильно)
это плохо, бум разбираться.
А что касается тонкостей iptables, так я ж выслал Вам скриптик,
состоящий из _одного_ единственного маскарадящего правила :-))
Там да же ничего понимать не надо, просто запустите и все :-)

-- 
Власенко Олег.
Отдел технической поддержки ALT Linux Team.
mailto:cornet@altlinux.ru

Re: [sisyphus] Re: [sisyphus] Настройка элементарного маскарада

[Valek Filippov]

[-- Attachment #1: Type: text/plain, Size: 302 bytes --]

> > Я вот думаю, может нельзя иметь сетевой
> > адрес 192.168.0.1? Может 0 это что-то запрещённое? Мне так drakconf
> > сделал...
> 
> Ничего запрещенного, все нормально. Главное, что бы нуля в конце
> не было.
192.168.1.0/16 -- вполне подходящий адрес для интерфейса, хоть и с нулём в конце ;-)

Валек

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[sisyphus] Настройка элементарного маскарада

[cornet]

Valek Filippov wrote:
> 
> > > Я вот думаю, может нельзя иметь сетевой
> > > адрес 192.168.0.1? Может 0 это что-то запрещённое? Мне так drakconf
> > > сделал...
> >
> > Ничего запрещенного, все нормально. Главное, что бы нуля в конце
> > не было.
> 192.168.1.0/16 -- вполне подходящий адрес для интерфейса, хоть и с нулём в конце ;-)

При маске 16 - да :-) При маске 24 уже нет. И вообще, ноль в
конце он многих с толку сбивает, чисто на зрительном уровне....

-- 
Власенко Олег.
Отдел технической поддержки ALT Linux Team.
mailto:cornet@altlinux.ru

Re: [sisyphus] Настройка элементарного маскарада

[Valery]

[-- Attachment #1: Type: text/plain, Size: 276 bytes --]

Hello Vitaly Lipatov, 
 On 9 March 2002 16:48, you wrote:
> На худой конец может кто может файлом
> /etc/rc.d/rc.firewall.inet_sharing готовым поделится.
> Случай-то самый простой - локалка на eth0 и ppp0 наружу.
Этот файл сделал DrakConf из junior и с ним всё маскарадит ....

[-- Attachment #2: rc.firewall.inet_sharing --]
[-- Type: application/x-shellscript, Size: 3868 bytes --]

Re: [sisyphus] Настройка элементарного маскарада

[Vitaly Lipatov]

On 10 March 2002 00:21, Valery wrote:
> Hello Vitaly Lipatov,
>
>  On 9 March 2002 16:48, you wrote:
> > На худой конец может кто может файлом
> > /etc/rc.d/rc.firewall.inet_sharing готовым поделится.
> > Случай-то самый простой - локалка на eth0 и ppp0 наружу.
>
> Этот файл сделал DrakConf из junior и с ним всё маскарадит ....
Как ни странно, не получилось :(
> /sbin/iptables -A FORWARD -s 192.168.171.1/24 -j ACCEPT
                                ^^^^^^^^^^^^
А что за адрес должен быть указан в этой строчке? (То что у вас 192.168...)
-- 
Lav
Виталий Липатов
ФГУП "ЦНИИ Судовой Электротехники и Технологии", Санкт-Петербург
GNU! Linux! LaTeX! LyX!

Re: [sisyphus] Настройка элементарного маскарада

[Valery]

Hello Vitaly Lipatov, 
 On 10 March 2002 18:56, you wrote:
> On 10 March 2002 00:21, Valery wrote:
> > Hello Vitaly Lipatov,
> >
> >  On 9 March 2002 16:48, you wrote:
> > > На худой конец может кто может файлом
> > > /etc/rc.d/rc.firewall.inet_sharing готовым поделится.
> > > Случай-то самый простой - локалка на eth0 и ppp0 наружу.
> >
> > Этот файл сделал DrakConf из junior и с ним всё маскарадит
> > ....
>
> Как ни странно, не получилось :(
>
> > /sbin/iptables -A FORWARD -s 192.168.171.1/24 -j ACCEPT
>
>                                 ^^^^^^^^^^^^
> А что за адрес должен быть указан в этой строчке? (То что у
> вас 192.168...)
Это адрес локальной подсети, которую следует маскарадить .