Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Закладки » Firewall *nix: iptables, ipfw, pf etc...

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30

Открыть новую тему     Написать ответ в эту тему

Alukardd



Gold Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
iptables
   
Linux

 
  • настройка iptables (крупные статьи переехали на wikibooks)
  • настройка iptables (opennet)
  • Easy Firewall Generator for IPTables Online
  • l7-filter - дополнения для netfilter, позволяющее создавать правила основываясь на данных прикладного уровня.
  • ipset - модуль для ядра Linux к фаерволу netfilter для создания и управления наборами адресов, портов, связок ip+mac.
     
  • схема прохождения пакета через netfilter (или более сложно и подробно)
     
    Так же может быть интересным
  • Перевод руководства по iproute2 и управлению трафиком в Linux (оригинал LARTC) -- внимательно читать оглавление - тема содержит уйму всего!!!
  • Введение в управление трафиком, дисциплины обработки очередей (теория) (opennet) - aka Повесть о Linux и управлении трафиком.
  • QoS в Linux - iproute2 и u32 селектор (хабр)
  • QoS в Linux - iproute2, издеваемся над трафиком (хабр)
     


    ipfw
       
    FreeBSD

  • русский MAN (opennet)
  • настройка ipfw (opennet)
  • настройка ipfw (lissyara)
     
    Достаточно частый вопрос
  • Балансировка и резервирование канала (samag.ru)
     


    pf
       
    OpenBSD

  • начальная настройка pf (lissyara)
  • настройка pf как шлюза (lissyara)

  • Всего записей: 6562 | Зарегистр. 28-08-2008 | Отправлено: 23:50 19-08-2010 | Исправлено: Alukardd, 11:42 20-05-2022
    Alukardd



    Gold Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    b.s. Эх... Ну сам в своей теме не напишешь - ни кто не напишет) Наверное, всем шапки хватает
    Ладно к делу...
    Меня тут начал раздирать вопрос о так называемом one-to-one. Интересует случай когда Провайдер в качестве настроек и выдает "белый" ip. Как при этом он осуществляет движуху моих пакетов?
    Как, например, мне, имея пул внешних адресов, дать один из них внутреннему серваку. Причем, что бы у внутреннего сервака адрес я вбил внешний("белый"), провайдер-то его до моего шлюза как-то довел, и мне хтелось бы дальше его прокинуть.
    Вопрос зачем тут не уместен. Тут важен вопрос как???
    В наличии Debian Lenny с iptables.
     
    p.s. не проверял, но была глупая мысль просто добавить этот адрес в фовардинг(туды/сюды), не назначая для него NAT,DNAT, собстно трансляцию производить-то и не надо.

    ----------
    Microsoft gives you windows, linuх gives you the whole house...
    I've been using Vim for about 4 years now, mostly because I can't figure out how to exit it.

    Всего записей: 6562 | Зарегистр. 28-08-2008 | Отправлено: 00:48 14-01-2011
    HEKTOPaul

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Допустим, схема твоей сети:

    (Internet)===[шлюз провайдера]---[<eth0>твой роутер<eth1>]---[свич]===(твоя LAN)

    и провайдер выдал тебе сеть 7.7.7.0/28: адрес шлюза (провайдера) - 7.7.7.1, адрес на eth0 твоего роутера с Debian - 7.7.7.2 (маску делаешь 255.255.255.252), оставшиеся доступные тебе адреса - 7.7.7.3-14.
     
    Из доступных адресов формируем IP-сети (дополнительно теряя при этом по 3 адреса на каждой - адрес сети + адрес на eth1 + широковещательный адрес). В данном случае на eth1 можно добавить 2 сети с белыми адресами:
    1) 7.7.7.4/30 (доступно 2 адреса: первый - на eth1 роутера, второй - на внутренний сервер);
    2) 7.7.7.8/29 (доступно 6 адресов: первый - на eth1 роутера, оставшиеся 5 - на внутренние сервера).
    Т.о. остается лишь 6 адресов из изначально доступных 12.
     
    Если подключение по Ethernet и провайдер позволяет подключение к свичу, то, наверное, этот вариант проще и позволяет не терять адресов (на eth0 роутера тогда нужна маска 255.255.255.240 и на остальных серверах она же).
     
    Если выдаваемая сеть 7.7.7.0/29, то на eth1 можно повесить лишь одну сеть 7.7.7.4/30 и назначить "белый" адрес лишь одному внутреннему серверу.
     
    Можно попробовать договориться с провайдером о выделении диапазона из 2 частей - отдельно для роутера (например, 7.7.7.0/30) и отдельно для серверов (например, 7.7.7.16/28), правда тут 3 адреса все равно теряешь (адрес сети, адрес на eth1 и широковещательный адрес).

    Всего записей: 23 | Зарегистр. 08-01-2006 | Отправлено: 14:36 14-01-2011
    Alukardd



    Gold Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    HEKTOPaul
    я что-то не совсем вкуриваю. т.е. сейчас в мире куча просраных адресов???

    ----------
    Microsoft gives you windows, linuх gives you the whole house...
    I've been using Vim for about 4 years now, mostly because I can't figure out how to exit it.

    Всего записей: 6562 | Зарегистр. 28-08-2008 | Отправлено: 15:05 14-01-2011
    HEKTOPaul

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Alukardd
    Я предложил вариант (с точки зрения себя как пользователя), который должен заработать при таком раскладе (провайдер выдает один непрерывный пул адресов, все внутренние сервера подключены после роутера). Возможно (да и наверняка) он не самый правильный... Думаю, что многие на сервера в DMZ предпочитают все же вешать "серые" адреса, DNAT'я на нужный сервер в зависимости от адреса получателя IP пакета.

    Всего записей: 23 | Зарегистр. 08-01-2006 | Отправлено: 17:02 14-01-2011 | Исправлено: HEKTOPaul, 17:46 14-01-2011
    urodliv



    Gold Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Alukardd
    Так ваш вопрос лежит в области простой маршрутизации. Тут ничего хитрого нет. Допустим ваш сервер с "белым" адресом посылает куда-нибудь запрос. При этом у него есть некоторый шлюз, через который он их и засылает. Далее пакет приходит на этот маршрутизатор и там, на основании таблицы маршрутизации, ваш пакет пересылается дальше и т.д.

    Цитата:
    была глупая мысль просто добавить этот адрес в фовардинг(туды/сюды), не назначая для него NAT,DNAT, собстно трансляцию производить-то и не надо

    Мысль не глупая. Если сделать именно так, то мы получим банальный маршрутизатор.

    ----------
    Очень скоро еда станет совершенно безвкусной, и тогда этот недостаток придётся компенсировать хорошо развитым воображением.

    Всего записей: 6684 | Зарегистр. 29-04-2009 | Отправлено: 19:44 15-01-2011
    Alukardd



    Gold Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    urodliv
    ну т.е. специальные маршруты надо добавлять (что бы пакеты вернулись, уйти наверное и так уйдут)?
    и получается что ip маршрутизатора должен лежать в диапазоне маски клиента?

    ----------
    Microsoft gives you windows, linuх gives you the whole house...
    I've been using Vim for about 4 years now, mostly because I can't figure out how to exit it.

    Всего записей: 6562 | Зарегистр. 28-08-2008 | Отправлено: 19:59 15-01-2011
    urodliv



    Gold Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    ну т.е. специальные маршруты надо добавлять (что бы пакеты вернулись, уйти наверное и так уйдут)?

    Это при статической маршрутизации надо добавлять. При динамической маршрутизации задача составления маршрутов возлагается на протоколы: rip, ospf, bgp и др.
    Без маршрутов ни отправить, ни принять.

    Цитата:
    и получается что ip маршрутизатора должен лежать в диапазоне маски клиента?

    Точнее адрес маршрутизатора должен находится в той же подсети, что и адрес клиента.

    ----------
    Очень скоро еда станет совершенно безвкусной, и тогда этот недостаток придётся компенсировать хорошо развитым воображением.

    Всего записей: 6684 | Зарегистр. 29-04-2009 | Отправлено: 20:15 15-01-2011
    vlary



    Platinum Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Нам один провайдер по оптике дает сетку адресов./28 Х.Х.29.129-Х.Х.29.142, плюс адрес  Х.Х.26.114 с нашей стороны и шлюз Х.Х.26.113 с их стороны. Второй провайдер дает сетку по ДСЛ, тоже /28, У.У.140.129-У.У.140.142, где адрес  У.У.140.129 - модем.
    По идее, адреса 143 использовать нельзя, 128 - тоже нельзя, потому в первом случае получается 14 адресов, во втором - 13 (минус  шлюз).
    Соответственно, шлюз к первому провайдеру - Х.Х.26.114, ко второму -  У.У.140.129
    Ну и понятно, что в этом случае простая маршрутизация не катит, приходится строить раут-мапы с полиси роутингом через акцесс-листы.

    ----------
    Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек

    Всего записей: 17273 | Зарегистр. 13-06-2007 | Отправлено: 21:09 15-01-2011
    Alukardd



    Gold Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vlary
    эм.. ну в вашем примере, как и уже упомяналось выше, теряются 2 ip с каждой подсети, так же не может быть везде, пулы-то не резиновые.
    Цитата:
    в этом случае простая маршрутизация не катит, приходится строить раут-мапы с полиси роутингом через акцесс-листы.
    это вы о PBR говорили?
     
    urodliv
    да у меня провисы с знаниями об этом вопросе. ну допустим ставлю я в свой debian пакет quagga и поднимаю там ospfd и zebra на всех интерфейсах. И он типа сразу заменит мне таблицы маршрутизации? Зависит ли это от использования оного у провайдера?
    Я просто не совсем вкуриваю во что это реально выливается... Все те доки и ссылки, что я щас прочитал не отвечают мне на мои вопросы.

    ----------
    Microsoft gives you windows, linuх gives you the whole house...
    I've been using Vim for about 4 years now, mostly because I can't figure out how to exit it.

    Всего записей: 6562 | Зарегистр. 28-08-2008 | Отправлено: 03:54 16-01-2011 | Исправлено: Alukardd, 03:55 16-01-2011
    urodliv



    Gold Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    ну допустим ставлю я в свой debian пакет quagga и поднимаю там ospfd и zebra на всех интерфейсах. И он типа сразу заменит мне таблицы маршрутизации? Зависит ли это от использования оного у провайдера?  

    Если в вашей сети только один единственный маршрутизатор, то поднятие динамической маршрутизации на нём оправдано только, если провайдер готов предоставить вам такую услугу. В противном случае подобные вещи имеет смысл использовать, если вы сами управляете несколькими сетями или автономной зоной

    ----------
    Очень скоро еда станет совершенно безвкусной, и тогда этот недостаток придётся компенсировать хорошо развитым воображением.

    Всего записей: 6684 | Зарегистр. 29-04-2009 | Отправлено: 10:19 16-01-2011 | Исправлено: urodliv, 10:23 16-01-2011
    Ruza



    Gold Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    О тема оживилась... Да и каким вопросом! (Самому интересно, но сцуко не на ком проверить )
    Я тож внесу свои соображения...
    Alukardd

    Цитата:
     ну допустим ставлю я в свой debian пакет quagga и поднимаю там ospfd и zebra на всех интерфейсах. И он типа сразу заменит мне таблицы маршрутизации? Зависит ли это от использования оного у провайдера?  

    Не заменит, а дополнит и раздаст анонсы другим (вроде так)
    На счёт провайдера - не совсем понятно как это будет выглядеть потому как если пров использует, то он будет анонсировать и твои адреса, да и примут ли другие твой анонс если ты к нему имеешь отношение только как пользователь.
     
    2 ALL
    Есть такой target - iptables -j ROUTE (скорее всего понадобится пересборка таблиц и/или ядра)
    http://www.iptables.org/projects/patch-o-matic/pom-external.html#pom-external-ROUTE

    Цитата:
    This option adds a `ROUTE' target, which enables you to setup unusual
      routes. For example, the ROUTE lets you route a received packet through  
      an interface or towards a host, even if the regular destination of the  
      packet is the router itself. The ROUTE target is also able to change the  
      incoming interface of a packet.
     
      The target can be or not a final target. It has to be used inside the  
      mangle table.
     
      ROUTE target options:
      --oif   ifname    Send the packet out using `ifname' network interface.
      --iif   ifname    Change the packet's incoming interface to `ifname'.
      --gw    ip        Route the packet via this gateway.
      --continue        Route the packet and continue traversing the rules.
      --tee             Route a copy of the packet, but continue traversing
                        the rules with the original packet, undisturbed.


    ----------
    Fools rush in where angels fear to tread.

    Всего записей: 5472 | Зарегистр. 10-09-2003 | Отправлено: 10:24 16-01-2011
    Alukardd



    Gold Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Ruza
    трололо, шикарное расширение!
    Тут как раз в другой теме вопрос стоял. Но тут я прочитал раньше, чем там)
     
    На данный момент у меня в голове следующие мысли скопились, по поводу общей картины.  
    можно ли будет прописать на сервер1 следующие настройки:
    ip: 123.123.123.51
    mask: /29
    gw 123.123.123.49 или 192.168.0.2
     
    тут получается либо надо маршрут до шлюза писать, либо шлюз формально оказывается не в той подсети что и сервер(будет ругаться и хз будет ли работать). Возможно во 2-м случае придется давать статическую arp запись...
     
    Правильно ли вообще я мыслю?

    ----------
    Microsoft gives you windows, linuх gives you the whole house...
    I've been using Vim for about 4 years now, mostly because I can't figure out how to exit it.

    Всего записей: 6562 | Зарегистр. 28-08-2008 | Отправлено: 15:00 16-01-2011 | Исправлено: Alukardd, 15:03 16-01-2011
    Ruza



    Gold Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

    Цитата:
    Ruza
    трололо, шикарное расширение!  

    Это ты меня тролем назвал, что ли?

    ----------
    Fools rush in where angels fear to tread.

    Всего записей: 5472 | Зарегистр. 10-09-2003 | Отправлено: 16:23 16-01-2011
    vlary



    Platinum Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Alukardd
    Цитата:
    теряются 2 ip с каждой подсети
    Ну а что делать? Пусть это ИАНА заботит. Нам выделенных айпи хватает (все работают через НАТ и сквид), а перестанет хватать - затребуем у провайдера более крупную подсеть.

    Цитата:
    это вы о PBR говорили?
    О нем самом.  
     
     


    ----------
    Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек

    Всего записей: 17273 | Зарегистр. 13-06-2007 | Отправлено: 16:52 16-01-2011
    Alukardd



    Gold Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Ruza
    Цитата:
    Это ты меня тролем назвал, что ли?
    нет) тебя я назвал
    Цитата:
    Ruza
    трололо - это что типа "вау".

    ----------
    Microsoft gives you windows, linuх gives you the whole house...
    I've been using Vim for about 4 years now, mostly because I can't figure out how to exit it.

    Всего записей: 6562 | Зарегистр. 28-08-2008 | Отправлено: 17:31 16-01-2011
    vlary



    Platinum Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    трололо - это что типа "вау".
    Это была в 70-е такая "Песенка без слов", которую пел Эдуард Хиль, она состояла из строчек типа  
    "трололо ло ло , трололо, трололо, трололо ло ло".  
    Его еще за нее на Западе прозвали "Мистер Трололо".


    ----------
    Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек

    Всего записей: 17273 | Зарегистр. 13-06-2007 | Отправлено: 19:38 16-01-2011
    Ruza



    Gold Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Я похожую схемку хотел реализовать, но что то астериск не захотел работать за роутером... Поэтому был поставлен свитч в него воткнуты шнурки от роутера и астериска, а также езернет прова.


    ----------
    Fools rush in where angels fear to tread.

    Всего записей: 5472 | Зарегистр. 10-09-2003 | Отправлено: 20:20 16-01-2011
    Alukardd



    Gold Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    тут получается либо надо маршрут до шлюза писать, либо шлюз формально оказывается не в той подсети что и сервер(будет ругаться и хз будет ли работать). Возможно во 2-м случае придется давать статическую arp запись...
     
    Правильно ли вообще я мыслю?


    ----------
    Microsoft gives you windows, linuх gives you the whole house...
    I've been using Vim for about 4 years now, mostly because I can't figure out how to exit it.

    Всего записей: 6562 | Зарегистр. 28-08-2008 | Отправлено: 20:28 16-01-2011
    Ruza



    Gold Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Alukardd

    Цитата:
    либо надо маршрут до шлюза писать, либо шлюз формально оказывается не в той подсети что и сервер(будет ругаться и хз будет ли работать)

     
    Я завтра проверю - если время будет... Но ядро с таблицами пересобирать не буду...

    ----------
    Fools rush in where angels fear to tread.

    Всего записей: 5472 | Зарегистр. 10-09-2003 | Отправлено: 21:02 16-01-2011
    Открыть новую тему     Написать ответ в эту тему

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Закладки » Firewall *nix: iptables, ipfw, pf etc...


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru