[Sysadmins] маскарадинг. Ограничения

[Sysadmins] маскарадинг. Ограничения

[Anton Gorlov]

Хм.. какб ы реализовать более-менее прямо такую вещь.
Есть некий роутер.. который роутит трафф между 4 внутренними подстеками, 
раздаёт инет и прочее. Тут понадобилось создать ещё 1 подсетку..но она 
не должна видеть сервера за пределами роутера (то есть остальные 
локальные). Для выхода в интернет для этой подсетки был создан впн с 
биллингом. Вопрос -как бы ограничить маскарадинг..чтоб ы он срабатывал 
только если трафф идёт в интернет...но не в сторону локлаьных подсеток?

Проще говря..в правилах для маскарадинга нужно как-то отрезать 
dst=локальным подсеткам.

-- 
   np: silence

Re: [Sysadmins] маскарадинг. Ограничения

[Maxim Bodyansky]

On Срд, Янв 04, 2006 at 01:14:48 +0300 Anton Gorlov wrote:
> Хм.. какб ы реализовать более-менее прямо такую вещь.
> Есть некий роутер.. который роутит трафф между 4 внутренними подстеками, 
> раздаёт инет и прочее. Тут понадобилось создать ещё 1 подсетку..но она 
> не должна видеть сервера за пределами роутера (то есть остальные 
> локальные). Для выхода в интернет для этой подсетки был создан впн с 
> биллингом. Вопрос -как бы ограничить маскарадинг..чтоб ы он срабатывал 
> только если трафф идёт в интернет...но не в сторону локлаьных подсеток?
> 
> Проще говря..в правилах для маскарадинга нужно как-то отрезать 
> dst=локальным подсеткам.

Можно вовсе не трогать маскардинг, заперев врата в FORWARD'е.

-- 
WBR,
Maxim Bodyansky

Re: [Sysadmins] маскарадинг. Ограничения

[Anton Gorlov]

Maxim Bodyansky пишет:

>>Проще говря..в правилах для маскарадинга нужно как-то отрезать 
>>dst=локальным подсеткам.
> Можно вовсе не трогать маскардинг, заперев врата в FORWARD'е.

Тоже вариант.. но при этом в инет им должно быть можно всё..а в 
локальные подсетки не дальше роутера. Локальных подсеток больше 4...

-- 
   np: silence

Re: [Sysadmins] маскарадинг. Ограничения

[Maxim Bodyansky]

[-- Attachment #1: Type: text/plain, Size: 545 bytes --]

On Wed, Jan 04, 2006 at 07:31:57PM +0300 Anton Gorlov wrote:
> Maxim Bodyansky пишет:
> 
> >>Проще говря..в правилах для маскарадинга нужно как-то отрезать 
> >>dst=локальным подсеткам.
> >Можно вовсе не трогать маскардинг, заперев врата в FORWARD'е.
> 
> Тоже вариант.. но при этом в инет им должно быть можно всё..а в 
> локальные подсетки не дальше роутера. Локальных подсеток больше 4...

Если не охота руками формировать правила, почему бы не поручить это
грязное дело роботу? Как, например, в приложеном скрипте.

-- 
WBR,
Maxim Bodyansky

[-- Attachment #2: fire --]
[-- Type: text/plain, Size: 427 bytes --]

#!/bin/sh

PRIVATE_NETWORK="10.0.5.0/24"
LOCAL_NETWORKS="
10.0.1.0/24
10.0.2.0/24
10.0.3.0/24
10.0.4.0/24
"

IPT="echo"

# В локальные сетки не дальше роутера
for lnet in $LOCAL_NETWORKS; do
    $IPT -A FORWARD -s $PRIVATE_NETWORK -d $lnet -j DROP
    $IPT -A FORWARD -d $PRIVATE_NETWORK -s $lnet -j DROP
done

# В остальные можно всё
$IPT -A FORWARD -s $PRIVATE_NETWORK -j ACCEPT
$IPT -A FORWARD -d $PRIVATE_NETWORK -j ACCEPT

Re: [Sysadmins] маскарадинг. Ограничения

[Olaf Portvineson]

> Проще говря..в правилах для маскарадинга нужно как-то отрезать
> dst=локальным подсеткам.
>
А у Вас случаем не отдельный интерфейс в интернет торчит? Тогда можно
iptables -t nat -A POSTROUTING -o INET_IFACE -j MASQUERADE
--
WBR,
   CyberSkunk aka dRuNk Ph!ZiK

Re: [Sysadmins] маскарадинг. Ограничения

[Anton Gorlov]

Olaf Portvineson пишет:

>>Проще говря..в правилах для маскарадинга нужно как-то отрезать
>>dst=локальным подсеткам.
> А у Вас случаем не отдельный интерфейс в интернет торчит?

Конечно отдельный.

> Тогда можно
> iptables -t nat -A POSTROUTING -o INET_IFACE -j MASQUERADE

Так маскарадится ещё и кое-что в пределах локальных подсеток.


-- 
   np: silence

Re[2]: [Sysadmins] маскарадинг. Ограничения

[Dank Bagryantsev]

Здравствуйте, Anton.

Вы писали 4 января 2006 г., 18:30:31:

>>>Проще говря..в правилах для маскарадинга нужно как-то отрезать
>>>dst=локальным подсеткам.
>> А у Вас случаем не отдельный интерфейс в интернет торчит?

AG> Конечно отдельный.

>> Тогда можно
>> iptables -t nat -A POSTROUTING -o INET_IFACE -j MASQUERADE

AG> Так маскарадится ещё и кое-что в пределах локальных подсеток.

И чем это правило с этой точки зрения неправильно?

IMHO, достаточно внимательно прочитать Iptables Tutorial
http://gazette.linux.ru.net/rus/articles/iptables-tutorial.html
и написать что-то типа:

$IPTABLES -t filter -A FORWARD -i $IF_LAN -o $IF_INET -j ACCEPT
$IPTABLES -t filter -A FORWARD -i $IF_INET -o $IF_LAN -j ACCEPT
$IPTABLES -t filter -A FORWARD -i $IF_LAN -j DROP

$IPTABLES -t filter -A INPUT -i $IF_LAN -j ACCEPT
$IPTABLES -t filter -A OUTPUT -o $IF_LAN -j ACCEPT

и как сказали выше
$IPTABLES -t nat -A POSTROUTING -o $IF_INET -j MASQUERADE
IMHO, это правило будет применятся для всех пакетов, маршрутизируемых на
$IF_INET, в том числе и из других подсетей.

-- 
С уважением,
 Dank

Re: [Sysadmins] маскарадинг. Ограничения

[Sergiy Guminilovych]

Hello Anton,

Wednesday, January 4, 2006, 12:14:48 PM, you wrote:

> Хм.. какб ы реализовать более-менее прямо такую вещь.
> Есть некий роутер.. который роутит трафф между 4 внутренними подстеками,
> раздаёт инет и прочее. Тут понадобилось создать ещё 1 подсетку..но она
> не должна видеть сервера за пределами роутера (то есть остальные 
> локальные). Для выхода в интернет для этой подсетки был создан впн с 
> биллингом. Вопрос -как бы ограничить маскарадинг..чтоб ы он срабатывал
> только если трафф идёт в интернет...но не в сторону локлаьных подсеток?

> Проще говря..в правилах для маскарадинга нужно как-то отрезать 
> dst=локальным подсеткам.

Попробуйте так
iptables -t nat -A POSTROUTING -s 10.x.x.x -d ! 10.0.0.0/8 -j SNAT --to-source yyyyyy

-- 
Best regards,
 Sergiy                            mailto:gray_post@mail.ru

Re: [Sysadmins] маскарадинг. Ограничения

[Anton Gorlov]

Sergiy Guminilovych пишет:

>>Проще говря..в правилах для маскарадинга нужно как-то отрезать 
>>dst=локальным подсеткам.
> 
> Попробуйте так
> iptables -t nat -A POSTROUTING -s 10.x.x.x -d ! 10.0.0.0/8 -j SNAT --to-source yyyyyy

Так проблема в тмо что локальных подсеток много и им с этого айпишника 
нельзя ни в 1 должно быть..только в интернет


-- 
   np: silence