Создание интернет шлюза с возможностью работы

Всем привет уважаемые линуксойды.
Имеется задача но так как я в линуксе не силен (ставил пару раз, знаю пару команд т.е начальные знания)
скажите можно ли реализовать нужный мне функционал и что для этого нужно.
Задача: Реализовать раздачу интернета во внутреннюю сеть с помощью NAT + с проксей, ограничить доступ в инет неоторых юзеров, некоторым ограничить не все ресурсы (например одноклассники). Мониторить кто куда ходит.
Ограничить скорость для некоторых юзеров.Поднять FTP. Так же возможность подключаться к шлюзу удалённо для конфигурирования и работы. Например поставить на него торрент клиент. Организовать файловое хранилище. Короче чтобы машинка не просто стояла раздавала инет, а я как админ мог чтонить полезное на ней делать. У меня на компе Windows, т.е возможно ли работать по протоколу RDP ?
Заранее благодарен.
p.s ТАк же какой дистрибутив выбрать.

0

Чтобы юзать инет фотки просматривать книжки читать электронные полюбому нужна оболочка? Или есть какие то решения позволяющие запускать оконные приложения?

0

Сообщение от brenli Чтобы юзать инет фотки просматривать книжки читать электронные полюбому нужна оболочка?

нужен десктоп а не сервер, причем речь о компьютере

1

в интернете можно ползать и без окружения, но без картинок (lynx)
хотя fb замечательно выводит и картинки.

0

зы :ссори что всё в одной теме, но всё про шлюз
Уважаемые не могу разобраться с iptables инфы нашёл много, но там очень большой объём информации читать её пока некогда всю, а вкратце не въезжаю.

В Iptables используется три вида таблиц: Mangle - обычно эта цепочка используется для внесения изменений в заголовок пакета, например для изменения битов TOS и пр. Nat - эта цепочка используется для трансляции сетевых адресов (Destination Network Address Translation). Source Network Address Translation выполняется позднее, в другой цепочке. Любого рода фильтрация в этой цепочке может производиться только в исключительных случаях. Filter - здесь производится фильтрация трафика. Помните, что все входящие пакеты, адресованные нам, проходят через эту цепочку, независимо от того с какого интерфейса они поступили.

Не пойму почему 3 вида таблиц а перечисляют "цепочка"?
Пакет вначале идёт в таблицу так? в ней находит команду если таблица к примеру Filter то в ней 3 команды

INPUT - для входящих пакетов. FORWARD - для проходящих через данную машину к другой. OUTPUT - для исходящих.

в правило добавляется нужная команда из этой таблицы и проверяется условие подходит ли пакет под данное уловие если да тогда исполняется команда верно?
Прошу если не трудно разжевать этот момент запутался с этими таблицами, цепочками, командами....

0

brenli, пакет следует маршрутом, примерно, таким:
транзит (nat):
... -> PREROUTING -> FORWARD -> POSTROUTING -> ...

входящий:
... -> PREROUTING -> INPUT -> ...

исходящий:
... -> OUTPUT -> POSTROUTING -> ...

mangle, nat, filter это таблицы
input, forward, output это цепочки

в пример:
1: iptables -t filter -A INPUT -p tcp -dport=80 -i eth0 -j DROP
2: iptables -t filter -A INPUT -p tcp -dport=80 -i eth1 -j ACCEPT
3: iptables -t nat -A PREROUTING -p tcp -dport=80 -i eth2 -j DNAT --to-destination=192.168.0.2:1234

1: в конец таблицы filter в цепочку input добавляем правило: DROP (отклонять) любые запросы на 80 порт по протоколу tcp, приходящие с интерфейса eth0

2: то-же самое, но принимает (ACCEPT) с интерфейса eth1

3: приходящие на 80 порт tcp соединения с eth2 перенаправляем на 192.168.0.2:1234

1

Сообщение от brenli Пакет вначале идёт в....

вот тут картинка:
iptable ufw через что и как лучше настроить

2

Сообщение от mokojumbot 3: iptables -t nat -A PREROUTING -p tcp -dport=80 -i eth2 -j DNAT --to-destination=192.168.0.2:1234

Вопрос: Почему именно цепочка PREROUTING а не POSTROUTING в данном случае.
В чем отличие будет? Как отразится на работе сети?

0

Сообщение от brenli Вопрос: Почему именно цепочка PREROUTING а не POSTROUTING в данном случае. В чем отличие будет? Как отразится на работе сети?

PRErouting изменяет пакет перед отправлением его в forward/input
POSTrouting, соответственно, после

если изменить на postrouting, пакет попадет к нам на 80 порт и... и всё
а так мы перед input-ом сказали, что его нужно перенаправить.

0

Сообщение от mokojumbot если изменить на postrouting, пакет попадет к нам на 80 порт и... и всё

"К нам" имеется ввиду на шлюз ? Но всё равно немного непонятно. Глядя в схему движения пакета "К нам" он может попасть только зайдя в цепочку input. Или именно цепочка prerouting определяет (согласно схеме) куда пойдёт пакет либо в цепочку input таблицы mangle либо в forward таблицы filter? Так?

Добавлено через 50 минут
p.s Прочитал в документации, вопрос не актуален больше.

0

Ещё парочка глупых вопросов:
Таблицы и цепочки обязательно составлять в строгом порядке в соответствии со схемой движения пакета?

Скажите: Схема представленная на рисунке верна? То есть пакет пришедший с интерфейса eth0 проходит по цепочкам и таблицам сверху-вниз eth0 PREROUTING >...>...>...> POSTROUTING eth1, а пакет отправленный с локального интерфейса eth1 идёт снизу вверх? eth0 PREROUTING <...<...<...< POSTROUTING eth1 или же тут нет привязки к интерфейсам и каждый пакет будь-то из вне или изнутри проходит этапы сверху вниз?

Миниатюры

 

0

Сообщение от brenli "К нам" имеется ввиду на шлюз ?

"к нам" в смысле физически. Не куда-то к конкретной программе, а просто пришел он и ждет, что с ним дальше будут делать, если можно так выразиться.

Сообщение от brenli Таблицы и цепочки обязательно составлять в строгом порядке в соответствии со схемой движения пакета?

нет, не обязательно. но желательно для пущей безопасности сначала дефолтный результат, потом правила.
например:
1. запретить все входящие
2. разрешить нужные

Сообщение от brenli Схема представленная на рисунке верна?

вроде верна
локальный процесс по идее можно привязать к исходящему интерфейсу, т.е. куда он будет отправлять информацию.
а так, верно: вниз по стрелочкам: process -> output -> postrouting -> ...

0

Проверьте пжл правила и поправте если не так, чего я хотел добиться написано в комментарии над каждым правилом. Заранее благодарю

#!/bin/sh # Включаем форвардинг пакетов echo 1 > /proc/sys/net/ipv4/ip_forward #Очистим все цепочки iptables -F # Разрешаем трафик на loopback-интерфейсе iptables -A INPUT -i lo -j ACCEPT #Разрешим удалённое управление iptables -A INPUT -i eth0 -p tcp -m multiport --source-port ! 21,22 -j REJECT # Запретим все порты кроме указанных ниже из внутренней сети во внешнюю протокол TCP. iptables -A FORWARD -i eth0 -p tcp -m multiport --destination-port ! 21,25,80,110,443,666,670,1024,1992,3389, 5190 -j REJECT # Запретим все порты кроме указанных ниже из внешней сети во внутренюю протокол TCP. iptables -A FORWARD -i eth1 -p tcp -m multiport --destination-port ! 21,443,1100:1200 -j REJECT # Запретим все порты кроме указанных ниже внутренюю протокол UDP. iptables -A FORWARD -p udp -m multiport --port ! 53,5004:5060 -j REJECT # Запретим все пользоваться инетом всем кроме указанных ниже iptables -A FORWARD -i eth0 -p ALL -s ! 10.0.0.20/24 -j REJECT iptables -A FORWARD -i eth0 -p ALL -s ! 10.0.0.25/24 -j REJECT iptables -A FORWARD -i eth0 -p ALL -s ! 10.0.0.29/24 -j REJECT # Разрешаем ответы из внешней сети iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT # Включаем NAT iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE

0

внешний ip динамический?

0

mokojumbot, статический

Добавлено через 1 час 2 минуты
eth0 - внутренний интерфейс
eth1 - внешний интерфейс

Добавлено через 40 минут

Сообщение от brenli eth0 - внутренний интерфейс eth1 - внешний интерфейс

В вышенаписанном примере неверно указаны интерфейсы, поправил

#!/bin/sh

# Включаем форвардинг пакетов
echo 1 > /proc/sys/net/ipv4/ip_forward

#Очистим все цепочки
iptables -F

# Разрешаем трафик на loopback-интерфейсе
iptables -A INPUT -i lo -j ACCEPT

#Разрешим удалённое управление
iptables -A INPUT -i eth0 -p tcp -m multiport --source-port ! 21,22 -j REJECT

# Запретим все порты кроме указанных ниже из внутренней сети во внешнюю протокол TCP.
iptables -A FORWARD -i eth0 -p tcp -m multiport --destination-port ! 21,25,80,110,443,666,670,1024,1992,3389, 5190 -j REJECT

# Запретим все порты кроме указанных ниже из внешней сети во внутренюю протокол TCP.
iptables -A FORWARD -i eth1 -p tcp -m multiport --destination-port ! 21,443,1100:1200 -j REJECT

# Запретим все порты кроме указанных ниже внутренюю протокол UDP.
iptables -A FORWARD -p udp -m multiport --port ! 53,5004:5060 -j REJECT

# Запретим все пользоваться инетом всем кроме указанных ниже
iptables -A FORWARD -i eth0 -p ALL -s ! 10.0.0.20/24 -j REJECT
iptables -A FORWARD -i eth0 -p ALL -s ! 10.0.0.25/24 -j REJECT
iptables -A FORWARD -i eth0 -p ALL -s ! 10.0.0.29/24 -j REJECT

# Разрешаем ответы из внешней сети
iptables -A FORWARD -i eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT

# Включаем NAT
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth1 -j MASQUERADE

0

Сообщение от brenli # Включаем NAT iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth1 -j MASQUERADE

iptables -t nat -A POSTRUOTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source=<static_ip>

0

Сообщение от mokojumbot iptables -t nat -A POSTRUOTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source=<static_ip>

Это внешний адрес шлюза?

0

Точно.

1

Сообщение от brenli # Запретим все порты кроме указанных ниже из внутренней сети во внешнюю протокол TCP. iptables -A FORWARD -o eth1 -p tcp -m multiport --source-port 21,25,80,110,443,666,670,1024,1992,3389, 5190,8080 -j ACCEPT

Почему то это правило не работает.

Листинг iptables-save
# Generated by iptables-save v1.4.12 on Tue Dec 25 23:53:13 2012
*nat
:PREROUTING ACCEPT [54:3057]
:INPUT ACCEPT [1:78]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
COMMIT
# Completed on Tue Dec 25 23:53:13 2012
# Generated by iptables-save v1.4.12 on Tue Dec 25 23:53:13 2012
*filter
:INPUT ACCEPT [100:6490]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [132:23410]
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -s 10.0.0.2/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.3/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.4/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.8/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.9/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.11/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.12/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.13/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.14/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.16/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.18/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.20/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.21/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.25/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.27/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.29/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.30/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.33/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.37/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.57/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.59/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.71/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.80/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.82/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.83/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.100/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.103/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.115/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.121/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.122/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.206/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.249/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -o eth1 -p tcp -m state --state NEW -m multiport --dports 21,80,443,666,670,1024,1992,5190,8080 -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Tue Dec 25 23:53:13 2012

0

вот это :

Сообщение от brenli PREROUTING ACCEPT [54:3057] :INPUT ACCEPT [1:78] :OUTPUT ACCEPT [0:0]

политики по умолчанию

может их надо ставить в дроп (за исключением аутпут)?

0