Создание шлюза

@DarkMasterW · Регистрация: 25.10.2013

Студворк — интернет-сервис помощи студентам

Здравствуйте. Установлен vpn tinc, появилась необходимость чтобы интерфейс тинка работал, как шлюз для того чтобы хосты из vpn сети могли его использовать для выхода в интернет. Поиски привели к iptables, для генты вроде /etc/sysctl.conf а строчке:
net.ipv4.ip_forward = 0
0 поменять на 1
В *nix знаний практически нет и я банально боюсь уронить уронить удаленный сервер. Как это правильно реализовать? Буду очень признателен за подробный ответ.
Спасибо.

Dr_Quake · 22.01.2015, 21:02

А ты flush то делал? iptables штука тупая, номера не любит...

@DarkMasterW · 22.01.2015, 21:20 **[ТС]**

Сообщение от Dr_Quake

А ты flush то делал? iptables штука тупая, номера не любит...

Естественно. Судя по манам, нужно разрешить входящие с внешнего интерфейса со статусом ESTABLISHED иначе толку не будет и ответы будут срезаться.

Dr_Quake · 22.01.2015, 23:44

Если они у тебя в дефолте политики drop, но всегда то подразумевается accept с чистых правил.

@DarkMasterW · 23.01.2015, 00:47 **[ТС]**

дык речь вроде шла о том, как пропустить только необходимый трафик и срезать остальное...

Dr_Quake · 23.01.2015, 00:58

А то через нат обратно что-то пройдёт...

@gng · 23.01.2015, 08:57

Сообщение от DarkMasterW

дык речь вроде шла о том, как пропустить только необходимый трафик и срезать остальное...

Bash
1
2
3
4
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -j DROP
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -j DROP

В зависимости политики по умолчанию какие-то из них могут оказаться избыточными.
Вообще, для составления правил нужно знать хотя бы схему сети и поставленные задачи. Вариантов сотни.

@DarkMasterW · 23.01.2015, 18:42 **[ТС]**

Насколько нужен related не для icmp? Оно вообще бывает?
На данный момент заведено примерно так с небольшой поправкой на особенности задач.

@gng · 23.01.2015, 20:24

Сообщение от DarkMasterW

Насколько нужен related не для icmp?

По логике, нужен. Например, вы хотите соединиться по tcp или udp, а удаленный хост посылает отказ в виде icmp пакета. Он, по идее, востринимается ка related. Если хотите узнать точнее, поэксперементируйте.
Я открываю related везде, где и ESTABLISHED.

Сообщение от DarkMasterW

Оно вообще бывает?

Вы о related или icmp? Безусловно, бывает и то и другое.

@DarkMasterW · 23.01.2015, 22:47 **[ТС]**

Я о том, что есть ли смысл открывать related не только для icmp, но и для других протоколов? С icmp вроде все достаточно очевидно. На данный момент у меня related открыть для icmp дополнительным правилом. Я не совсем понимаю могут ли, например, tcp или udp являться related. Судя по манам нет (точнее об отсутствии информации об этом), но меня берут сомнения.

Dr_Quake · 23.01.2015, 22:55

UDP как часть icmp-reply, только нафига таким заморачиваться...

@DarkMasterW · 24.01.2015, 00:47 **[ТС]**

Это моя дотошность. Да и чтиво оказалось достаточно интересным.

@gng · 24.01.2015, 20:36

Сообщение от DarkMasterW

Я не совсем понимаю могут ли, например, tcp или udp являться related. Судя по манам нет (точнее об отсутствии информации об этом), но меня берут сомнения

Да, могут. Типичный пример - ftp.

Новые блоги и статьи Все статьи Все блоги /
Baragoz - DPS/HPS бот для WoW 3.3.5a, многоязычный AmbA 26.10.2026 Хотите ещё ботов? У меня есть один! А я пока отдохну от него. https:/ / www. cyberforum. ru/ blog_attachment. php?attachmentid=12062&stc=1&d=1793007952 Инструкция внутри. Сразу отвечу: А в PvP с ним. . .	Особенности gif сгенерированных в Си russiannick 21.10.2026 Рассмотрим генерацию gif файлов, которые в Си имеют свои особенности. Gif представляет собой графический формат популярный в интернете. Посмотрим на палитру. Gif файл сгенерированный в си отличается. . .	FPS контроллер с анимированными Y-Bot и 3D-звуком miniaudio (Box3D, Recast, BehaviorTree.CPP, ozz-animation, ImGui, OpenGL и SDL3) 8Observer8 18.10.2026 Содержание блога \| English Version Полное мультиплатформенное руководство по стартовому проекту с FPS-контроллером игрока, анимированными роботами Y-Bot с 4-слойным блендингом, 3D-физикой Box3D,. . .	Локальный http сервер Argus19 17.10.2026 Локальный http сервер На работе, на двух локальных компьютерах круглосуточно работают программы опроса приборов с записью в книги Excel,которые раз в сутки записываются на сервер компании. Т. к. . . .
Копировать Windows на новый диск на UEFI damix 17.10.2026 https:/ / uriesk. wordpress. com/ 2016/ 11/ 01/ move-window-10-to-ssd-on-a-uefi-dualboot-system-with-basic-linux-tools/ TL DR Вставляем диск, а старый подключаем через переходник, грузимся с лайва. . .	ИИ не может найти нужный язык в списке Supersumestria 05.10.2026 Я ему даю вот такое изображение и прошу найти и подчеркнуть немецкий язык. Возвращает он вот это: https:/ / i. **********/ vqBWLe2. png Нужную строчку в 3й колонке просто выдумал. . Это. . .	Новая последняя моя музыка в SUNO zorxor 05.10.2026 Здравствуйте, дорогие мои друзья! С большой радостью я хотел бы представить вам свою новую последнею музыку, которую сгенерировала мне по моей просьбе нейросеть SUNO. С уважением, zorxor. Это. . .	Программный домашний кинотеатр russiannick 27.09.2026 Сподобился на программный домашний кинотеатр. В качестве ЯВУ по традиции выбрал js. В помощники взял Яндекс-Алису. Было создано три зала на разные интересы. исторические и ретро сериал Хичкок. . .

@DarkMasterW 5 / 5 / 1 Регистрация: 25.10.2013 Сообщений: 230

	Создание шлюза 21.01.2015, 16:41. Показов 2109. Ответов 31 Метки нет (Все метки) Здравствуйте. Установлен vpn tinc, появилась необходимость чтобы интерфейс тинка работал, как шлюз для того чтобы хосты из vpn сети могли его использовать для выхода в интернет. Поиски привели к iptables, для генты вроде /etc/sysctl.conf а строчке: net.ipv4.ip_forward = 0 0 поменять на 1 В *nix знаний практически нет и я банально боюсь уронить уронить удаленный сервер. Как это правильно реализовать? Буду очень признателен за подробный ответ. Спасибо. 0

Dr_Quake Заблокирован
	22.01.2015, 21:02
	А ты flush то делал? iptables штука тупая, номера не любит... 0

Dr_Quake Заблокирован
	22.01.2015, 23:44
	Если они у тебя в дефолте политики drop, но всегда то подразумевается accept с чистых правил. 0

@DarkMasterW 5 / 5 / 1 Регистрация: 25.10.2013 Сообщений: 230
	23.01.2015, 00:47 [ТС]
	дык речь вроде шла о том, как пропустить только необходимый трафик и срезать остальное... 0

Dr_Quake Заблокирован
	23.01.2015, 00:58
	А то через нат обратно что-то пройдёт... 0

@DarkMasterW 5 / 5 / 1 Регистрация: 25.10.2013 Сообщений: 230
	23.01.2015, 18:42 [ТС]
	Насколько нужен related не для icmp? Оно вообще бывает? На данный момент заведено примерно так с небольшой поправкой на особенности задач. 0

@DarkMasterW 5 / 5 / 1 Регистрация: 25.10.2013 Сообщений: 230
	23.01.2015, 22:47 [ТС]
	Я о том, что есть ли смысл открывать related не только для icmp, но и для других протоколов? С icmp вроде все достаточно очевидно. На данный момент у меня related открыть для icmp дополнительным правилом. Я не совсем понимаю могут ли, например, tcp или udp являться related. Судя по манам нет (точнее об отсутствии информации об этом), но меня берут сомнения. 0

Dr_Quake Заблокирован
	23.01.2015, 22:55
	UDP как часть icmp-reply, только нафига таким заморачиваться... 0

@DarkMasterW 5 / 5 / 1 Регистрация: 25.10.2013 Сообщений: 230
	24.01.2015, 00:47 [ТС]
	Это моя дотошность. Да и чтиво оказалось достаточно интересным. 0