Linux Forum — Помогите раздать инет в сети

Re: Помогите раздать инет в сети

2015-02-03T06:02:38Z

zenon, Здравствуйте. Ваше готовое решение "Простой шлюз и firewall для Debian" (правила IPTABLE), подойдут для связки nat + firewall + squid ну и добавить вот эти правила.
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 -j REDIRECT --to-port 3128

Re: Помогите раздать инет в сети

2013-03-26T19:16:17Z

zenon, просто я подумал, что из-за смены интерфейсов и вылезли эти проблемы с настройкой локалки. Я ж стал там немного мудрить с файерволом . Теперь то все понятно. Правда не очень хотелось привязывать MAC дискретной карты к инету.

Re: Помогите раздать инет в сети

2013-03-26T14:32:48Z

ERT⇓ пишет:

Дискретная карта eth0 - смотрит в инет (в отличии от предыдущего раза), а встроенная eth1 - локалка. Почему бортовая сетевуха не определилась как eth0 не понимаю.

да что ты так переживаешь за названия интерфейсов?
Тут все просто, кто первый встал, того и тапка.
Можешь переименовать их:

# cat /etc/udev/rules.d/70-persistent-net.rules 
# This file was automatically generated by the /lib/udev/write_net_rules
# program, run by the persistent-net-generator.rules rules file.
#
# You can modify it, as long as you keep each rule on a single
# line, and change only the value of the NAME= key.

# PCI device 0x8086:0x1229 (e100)
SUBSYSTEM=="net", ACTION=="add", DRIVERS=="?*", ATTR{address}=="00:50:8b:11:1b:25", ATTR{dev_id}=="0x0", ATTR{type}=="1", KERNEL=="eth*", NAME="eth0"

# PCI device 0x10ec:0x8168 (r8169)
SUBSYSTEM=="net", ACTION=="add", DRIVERS=="?*", ATTR{address}=="00:25:22:69:60:62", ATTR{dev_id}=="0x0", ATTR{type}=="1", KERNEL=="eth*", NAME="eth1"

NAME как угодно.
Или вообще удалить /etc/udev/rules.d/70-persistent-net.rules и перезагрузиться, udev должен создать его заново.

Re: Помогите раздать инет в сети

2013-03-26T13:56:16Z

Kettler, все уже, работает локалка как и должна.
Не могу понять в чем была причина, но получилось после того как залил firewall.sh (тот, который последний в этой теме) с локальной машины на сервер, подключившись по SSH через SFTP-клиент и выполнил в терминале (Putty).
Вчера весь день долбался и сегодня пол дня: залью по SFTP, выполню непосредственно на сервере - ничего.
Привязал меня провайдер по MAC и бегал я - там перетыкнул кабель, там подставил MAC, т.к. инет только либо на шлюзе, либо на компе (чтобы написать на форум можно было). Возможно и ошибся я где-то.

А по шейперу есть какие-либо замечания? Хотелось бы распределить нагрузку на 11 машин, чтобы они друг-друга "не обижали".

zenon⇓ пишет:

Вот таких фентов не надо, то есть, то нет, то за тебя додумай.., говори факты.

Вчера с firewall пробовал, а сегодня переустановил ОС и не заливал. Решил сначала спросить как быть дальше.

Re: Помогите раздать инет в сети

2013-03-26T13:47:00Z

ERT⇓ пишет:

Так firewall'а еще нет на сервере (вчера и с ним пробовал). Я только выполнил:

Вот таких фентов не надо, то есть, то нет, то за тебя додумай.., говори факты.

Re: Помогите раздать инет в сети

2013-03-26T13:34:43Z

Для проверки убрать

# Запрещаем доступ снаружи во внутреннюю сеть
$IPT -A FORWARD -o $LAN -i $WAN -j REJECT

за место

$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j shaper

поставить

$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

по результатам можно думать дальше

Re: Помогите раздать инет в сети

2013-03-26T13:13:28Z

Не то. Вот содержимое firewall, который установлен на втором сервере:

#!/bin/bash
# Тут в принципе может и не надо этого всего но не помеха вдруг какой
# модуль не подгружен или форвардинг не включен
echo "1" > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/ip_dynaddr
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_recent ip_list_tot=4000

# Объявление переменных
export IPT="/sbin/iptables -v"

# Интерфейс который смотрит в интернет
export WAN=eth0

# Локальная сеть
export LAN=eth1 export LAN_IP_RANGE=192.168.0.0/24

# Очистка всех цепочек iptables
$IPT -F
$IPT -F -t nat
$IPT -F -t mangle
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X

#
# шейпер:
$IPT -X shaper
$IPT -N shaper
#
# ~7,5Mbit/s - udp-трафик (торенты, Skype):
$IPT -A shaper -p udp -i $LAN -o $WAN -m hashlimit --hashlimit-upto  500/s --hashlimit-burst 5000 --hashlimit-name shp-udp-10out --hashlimit-mode srcip -j ACCEPT
$IPT -A shaper -p udp -i $WAN -o $LAN -m hashlimit --hashlimit-upto  500/s --hashlimit-burst 5000 --hashlimit-name shp-udp-10in  --hashlimit-mode srcip -j ACCEPT
$IPT -A shaper -p udp ! --dport 53 -j DROP
#
# ~10M на www:
$IPT -A shaper -p tcp --dport 80 -i $LAN -o $WAN -m hashlimit --hashlimit-upto 1000/s --hashlimit-burst 5000 --hashlimit-name shp-www-10out --hashlimit-mode srcip -j ACCEPT
$IPT -A shaper -p tcp --dport 80 -i $LAN -o $WAN -j REJECT
$IPT -A shaper -p tcp --sport 80 -i $WAN -o $LAN -m hashlimit --hashlimit-upto  800/s --hashlimit-burst 5000 --hashlimit-name shp-www-10in  --hashlimit-mode srcip -j ACCEPT
$IPT -A shaper -p tcp --sport 80 -i $WAN -o $LAN -j REJECT
#
# ~10M  остальные протоколы:
$IPT -A shaper -p tcp -i $LAN -o $WAN -m hashlimit --hashlimit-upto 1000/s --hashlimit-burst 5000 --hashlimit-name shp-tcp-10out --hashlimit-mode srcip -j ACCEPT
$IPT -A shaper -p tcp -i $WAN -o $LAN -m hashlimit --hashlimit-upto  800/s --hashlimit-burst 5000 --hashlimit-name shp-tcp-10in --hashlimit-mode srcip -j ACCEPT
$IPT -A shaper -p tcp -j REJECT
$IPT -A shaper -p icmp -j ACCEPT

# Закрываем изначально ВСЁ (т.е. изначально все что не разрешено -
# запрещено):
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP

# разрешаем локальный траффик для loopback и внутренней сети
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -i $LAN -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
$IPT -A OUTPUT -o $LAN -j ACCEPT

# Принимать все пакеты, которые инициированы из уже установленного
# соединения, и имеющим признак ESTABLISHED. Состояние ESTABLISHED
# говорит о том, что это не первый пакет в соединении.
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED  -j ACCEPT
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j shaper

# Разрешаем доступ из внутренней сети наружу
$IPT -A FORWARD -i $LAN -o $WAN -j ACCEPT

# Включаем фрагментацию пакетов. Необходимо из за разных значений MTU
$IPT -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

# Отбрасывать все пакеты, которые не могут быть идентифицированы и
# поэтому не могут иметь определенного статуса.
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP

# Приводит к связыванию системных ресурсов, так что реальный обмен
# данными становится не возможным.
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP

# Запрещаем доступ снаружи во внутреннюю сеть
$IPT -A FORWARD -o $LAN -i $WAN -j REJECT

# Маскарадинг
$IPT -t nat -A POSTROUTING -s $LAN_IP_RANGE -o $WAN -j MASQUERADE
# Открываем порт для ssh
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT
$IPT -A INPUT -p udp --dport 22 -j ACCEPT

## Создание цепочки правил sshguard
# Максимум 2 новых запроса в минуту для одного ip
$IPT -N sshguard

# Вкл. лог по желанию
$IPT -A sshguard -m state --state NEW -m recent --name SSH --rcheck --seconds 60 --hitcount 2 -j LOG --log-prefix "SSH-shield:"
$IPT -A sshguard -m state --state NEW -m recent --name SSH --update --seconds 60 --hitcount 2 -j DROP
$IPT -A sshguard -m state --state NEW -m recent --name SSH --set -j ACCEPT
$IPT -A sshguard -j ACCEPT

## Применение для трафика ssh цепочку sshguard
$IPT -A INPUT -p tcp --dport 22 -j sshguard

# Защита от DDOS
$IPT -I INPUT 1 -p tcp -m tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN -m connlimit --connlimit-above 15 --connlimit-mask 32 -j DROP
$IPT -A INPUT -s 193.201.218.170 -j DROP
$IPT -A INPUT -p tcp -m tcp --dport 80 -m string --string "GET / HTTP" --algo kmp --to 1024 -m recent --set --name httpddos --rsource 
$IPT -A INPUT -p tcp -m tcp --dport 80 -m string --string "GET / HTTP" --algo kmp --to 1024 -m recent --update --seconds 10 --hitcount 2 --name httpddos --rsource -j DROP

# Открываем порт для ftp
$IPT -A INPUT -p tcp --dport 21 -j ACCEPT
$IPT -A INPUT -p udp --dport 21 -j ACCEPT

# Открываем порт для почты
$IPT -A INPUT -p tcp --dport 993 -j ACCEPT
$IPT -A INPUT -p udp --dport 993 -j ACCEPT
$IPT -A INPUT -p tcp --dport 25 -j ACCEPT
$IPT -A INPUT -p udp --dport 25 -j ACCEPT
$IPT -A INPUT -p tcp --dport 143 -j ACCEPT
$IPT -A INPUT -p udp --dport 143 -j ACCEPT
$IPT -A INPUT -p tcp --dport 110 -j ACCEPT
$IPT -A INPUT -p udp --dport 110 -j ACCEPT

# Открытие портов для торрентов
$IPT -A INPUT -p tcp --dport 6881:6889 -m state --state NEW -j ACCEPT
# Откытие 443 порта
$IPT -A INPUT -p tcp --dport 443 -j ACCEPT
$IPT -A INPUT -p udp --dport 443 -j ACCEPT

# Откытие 53 и 953 порта для bind
$IPT -A INPUT -p tcp --dport 53 -j ACCEPT
$IPT -A INPUT -p udp --dport 53 -j ACCEPT

# Откытие порта 10000 для webmin
$IPT -A INPUT -p tcp --dport 10000 -j ACCEPT
$IPT -A INPUT -p udp --dport 10000 -j ACCEPT

# Открываем 80 и 81 порт для веб сайтов
$IPT -A INPUT -p tcp --dport 80 -j ACCEPT
$IPT -A INPUT -p udp --dport 80 -j ACCEPT

# Открытие порта для голосового сервера Team Speak
$IPT -A INPUT -p tcp --dport 9987 -j ACCEPT
$IPT -A INPUT -p udp --dport 9987 -j ACCEPT
$IPT -A INPUT -p tcp --dport 30033 -j ACCEPT
$IPT -A INPUT -p udp --dport 30033 -j ACCEPT
$IPT -A INPUT -p tcp --dport 10011 -j ACCEPT
$IPT -A INPUT -p udp --dport 10011 -j ACCEPT
$IPT -A INPUT -p tcp --dport 57834 -j ACCEPT
$IPT -A INPUT -p udp --dport 57834 -j ACCEPT

# Открытие порта 3306
$IPT -A INPUT -p tcp --dport 3306 -j ACCEPT
$IPT -A INPUT -p udp --dport 3306 -j ACCEPT

#Вывод информации
$IPT -L -n -t nat

Re: Помогите раздать инет в сети

2013-03-26T12:57:42Z

zenon пишет:

Kettler⇓ пишет:
Не вижу таблице SHAPER в которую вы отправили траффик коммандой
А там её никогда и не было, по крайней мере шейпером в этой теме никто не занимался.
По сути получается весь NEW,ESTABLISHED,RELATED траффик уходит в shaper, а таблицы такой нет, значит в никуда...
Изначально там была строка:
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

Да нет вот
кусок

$IPT -A shaper -p tcp --dport 80 -i $LAN -o $WAN -m hashlimit --hashlimit-upto 1000/s --hashlimit-burst 5000 --hashlimit-name shp-www-10out --hashlimit-mode srcip -j ACCEPT

И даже хеши до которых руки всё не дойдут (:

Re: Помогите раздать инет в сети

2013-03-26T12:56:55Z

Так firewall'а еще нет на сервере (вчера и с ним пробовал). Я только выполнил:

iptables -P INPUT   ACCEPT
iptables -P OUTPUT  ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/24  -j MASQUERADE

По идее инет должен быть в локалке, но его нет. Только по SSH и пинг шлюза есть.
Запустить firewall.sh?

Re: Помогите раздать инет в сети

2013-03-26T12:50:52Z

Kettler⇓ пишет:

Не вижу таблице SHAPER в которую вы отправили траффик коммандой

А там её никогда и не было, по крайней мере шейпером в этой теме никто не занимался.
По сути получается весь NEW,ESTABLISHED,RELATED траффик уходит в shaper, а таблицы такой нет, значит в никуда...
Изначально там была строка:

$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

Re: Помогите раздать инет в сети

2013-03-26T12:45:00Z

уберите на время теста

$IPT -A FORWARD -o $LAN -i $WAN -j REJECT

Не вижу таблице SHAPER в которую вы отправили траффик коммандой

$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j shaper

Которую тоже можно убрать на время тест

И насчёт этого

$IPT -A FORWARD -o $LAN -i $WAN -j REJECT

вообще невижу в ней толку

Re: Помогите раздать инет в сети

2013-03-26T12:40:23Z

zenon⇓ пишет:

С такими мелочами как WAN (провайдер) и LAN (локальная сеть) мог бы и сам разобраться.

Я это и понял, в принципе. Просто уточнил.

zenon⇓ пишет:

8.8.8.8 и 8.8.4.4- првайдер не может выдать, это адреса гугла.

Тут точнее сказать провайдер попросил меня заменить выданные ранее два DNS-сервера на гугловский.
Но проблема осталась и решить у меня ее никак не получается. Попытаюсь расписать все с самого начала.
1. Интерфейсы определяются оба. Дискретная карта eth0 - смотрит в инет (в отличии от предыдущего раза), а встроенная eth1 - локалка. Почему бортовая сетевуха не определилась как eth0 не понимаю.
Настройки /etc/network/interfaces

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address ххх.ххх.ххх.ххх
    netmask ххх.ххх.ххх.ххх
    network ххх.ххх.ххх.ххх
    broadcast ххх.ххх.ххх.ххх
    gateway ххх.ххх.ххх.ххх
    # dns-* options are implemented by the resolvconf package, if installed
    dns-nameservers 8.8.8.8
    dns-search egcomputers.com.ua

# The secondary network interface
auto eth1
iface eth1 inet static
        address 192.168.0.1
        netmask 255.255.255.0
        network 192.168.0.0
        broadcast 192.168.0.255

2. firewall вот:

#!/bin/bash
# Тут в принципе может и не надо этого всего но не помеха вдруг какой
# модуль не подгружен или форвардинг не включен
echo "1" > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/ip_dynaddr
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_recent ip_list_tot=4000

# Объявление переменных
export IPT="/sbin/iptables -v"

# Интерфейс который смотрит в интернет
export WAN=eth0

# Локальная сеть
export LAN=eth1 export LAN_IP_RANGE=192.168.0.0/24

# Очистка всех цепочек iptables
$IPT -F
$IPT -F -t nat
$IPT -F -t mangle
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X

# Закрываем изначально ВСЁ (т.е. изначально все что не разрешено -
# запрещено):
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP

# разрешаем локальный траффик для loopback и внутренней сети
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -i $LAN -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
$IPT -A OUTPUT -o $LAN -j ACCEPT

# Принимать все пакеты, которые инициированы из уже установленного
# соединения, и имеющим признак ESTABLISHED. Состояние ESTABLISHED
# говорит о том, что это не первый пакет в соединении.
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j shaper

# Разрешаем доступ из внутренней сети наружу
$IPT -A FORWARD -i $LAN -o $WAN -j ACCEPT

# Включаем фрагментацию пакетов. Необходимо из за разных значений MTU
$IPT -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

# Отбрасывать все пакеты, которые не могут быть идентифицированы и
# поэтому не могут иметь определенного статуса.
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP

# Приводит к связыванию системных ресурсов, так что реальный обмен
# данными становится не возможным.
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP

# Запрещаем доступ снаружи во внутреннюю сеть
$IPT -A FORWARD -o $LAN -i $WAN -j REJECT

# Маскарадинг
$IPT -t nat -A POSTROUTING -s $LAN_IP_RANGE -o $WAN -j MASQUERADE

# Открываем порт для ssh
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT
$IPT -A INPUT -p udp --dport 22 -j ACCEPT

# Защищаем 22 порт SSH от брутфорса (перебора паролей)
# Задача следующих правил ограничить соединения на порт ssh 10-тью попытками 
# в течении 10 минут с 1 ip адреса. Создаем новую цепочку правил SSHDROP
$IPT -N SSHDROP

# Все новые соединения на порт 22 пропускаем через цепочку SSHDROP
$IPT -A INPUT -p tcp --dport 22 -m state --state NEW -j SSHDROP
$IPT -A SSHDROP -m recent --set --name SSH

# Если требуется будем писать лог соединений ssh
$IPT -A SSHDROP -m recent --update --seconds 300 --hitcount 10 --name SSH -j LOG --log-level info --log-prefix "SSH DROP: "

# Если начальные условия нарушены то запретим соединение
$IPT -A SSHDROP -m recent --update --seconds 300 --hitcount 10 --name SSH -j DROP

# Защита от DDOS
$IPT -I INPUT 1 -p tcp -m tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN -m connlimit --connlimit-above 15 --connlimit-mask 32 -j DROP
$IPT -A INPUT -s 193.201.218.170 -j DROP
$IPT -A INPUT -p tcp -m tcp --dport 80 -m string --string "GET / HTTP" --algo kmp --to 1024 -m recent --set --name httpddos --rsource 
$IPT -A INPUT -p tcp -m tcp --dport 80 -m string --string "GET / HTTP" --algo kmp --to 1024 -m recent --update --seconds 10 --hitcount 2 --name httpddos --rsource -j DROP

# Открываем порт для ftp
$IPT -A INPUT -p tcp --dport 21 -j ACCEPT
$IPT -A INPUT -p udp --dport 21 -j ACCEPT

# Открываем порт для почты
$IPT -A INPUT -p tcp --dport 993 -j ACCEPT
$IPT -A INPUT -p udp --dport 993 -j ACCEPT
$IPT -A INPUT -p tcp --dport 25 -j ACCEPT
$IPT -A INPUT -p udp --dport 25 -j ACCEPT
$IPT -A INPUT -p tcp --dport 143 -j ACCEPT
$IPT -A INPUT -p udp --dport 143 -j ACCEPT
$IPT -A INPUT -p tcp --dport 110 -j ACCEPT
$IPT -A INPUT -p udp --dport 110 -j ACCEPT

# Открытие портов для торрентов
$IPT -A INPUT -p tcp --dport 6881:6889 -m state --state NEW -j ACCEPT

# Откытие 443 порта
$IPT -A INPUT -p tcp --dport 443 -j ACCEPT
$IPT -A INPUT -p udp --dport 443 -j ACCEPT

# Откытие 53 и 953 порта для bind
$IPT -A INPUT -p tcp --dport 53 -j ACCEPT
$IPT -A INPUT -p udp --dport 53 -j ACCEPT

# Откытие порта 10000 для webmin
$IPT -A INPUT -p tcp --dport 10000 -j ACCEPT
$IPT -A INPUT -p udp --dport 10000 -j ACCEPT

# Открываем 80 и 81 порт для веб сайтов
$IPT -A INPUT -p tcp --dport 80 -j ACCEPT
$IPT -A INPUT -p udp --dport 80 -j ACCEPT

# Открытие порта для голосового сервера Team Speak
$IPT -A INPUT -p tcp --dport 9987 -j ACCEPT
$IPT -A INPUT -p udp --dport 9987 -j ACCEPT
$IPT -A INPUT -p tcp --dport 30033 -j ACCEPT
$IPT -A INPUT -p udp --dport 30033 -j ACCEPT
$IPT -A INPUT -p tcp --dport 10011 -j ACCEPT
$IPT -A INPUT -p udp --dport 10011 -j ACCEPT
$IPT -A INPUT -p tcp --dport 57834 -j ACCEPT
$IPT -A INPUT -p udp --dport 57834 -j ACCEPT

# Открытие порта 3306
$IPT -A INPUT -p tcp --dport 3306 -j ACCEPT
$IPT -A INPUT -p udp --dport 3306 -j ACCEPT

# Откытие порта 5150 для IP-камеры
$IPT -A INPUT -p tcp --dport 5150 -j ACCEPT
$IPT -A INPUT -p udp --dport 5150 -j ACCEPT

#Вывод информации
$IPT -L -n -t nat

WAN и LAN местами еще не менял, т.к. не создавал еще этот файл на сервере. Потом поправлю (а нужно ли?).
3. После того, как выполнил на сервере:

iptables -P INPUT   ACCEPT
iptables -P OUTPUT  ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/24  -j MASQUERADE

есть возможность подключения к серверу из локалки по 22 порту, но веб-трафика нет.

Re: Помогите раздать инет в сети

2013-03-25T22:42:15Z

С такими мелочами как WAN (провайдер) и LAN (локальная сеть) мог бы и сам разобраться.
DNS на шлюзе в прошлый раз у тебя dnsmasq в локалку раздавал, а не bind.
8.8.8.8 и 8.8.4.4- првайдер не может выдать, это адреса гугла.

Re: Помогите раздать инет в сети

2013-03-25T21:09:39Z

Конфиги те же. Вот только интерфейсы поменялись местами. Не знаю почему, но система определят встроенную сетевую карту как eth1, а не eth0 (значения не имеет, хотя в первом случае было наоборот). Предполагаю, что необходимо будет в firewall (который в этой же теме, пост 211) менять местами WAN на LAN и тут так же:

ERT⇓ пишет:

# Интерфейс который смотрит в интернет
export WAN=eth0
# Локальная сеть
export LAN=eth1 export LAN_IP_RANGE=192.168.0.0/24

Как правильно будет выглядеть?

zenon⇓ пишет:

Есть пинг, нет резолва, так DNS настрой, хотя бы ременно впиши на клиентах в /etc/resolv.conf гуглоднс 8.8.8.8

В прошлый раз я поднимал DNS-сервер (bind9), хотя инет в локалке был и без него. Но суть я уловил. Ранее мне два DNS-сервера предоставлял провайдер, а теперь в настройке сетевого интерфейса у меня DNS-сервер 8.8.8.8 (выдал провайдер).
Сервер на работе, проверить смогу только завтра.

Re: Помогите раздать инет в сети

2013-03-25T19:19:12Z

kisil, ветку сначала прочитай, тут уже давно все разжевано.
ERT, ну как бы не первый раз уже, где конфиги?

ERT пишет:

Вся проблема в том, что веб-ресурсы не открываются, хотя сервер пингуется и по SSH я подключаюсь без вопросов. Что может быть не так?

Есть пинг, нет резолва, так DNS настрой, хотя бы ременно впиши на клиентах в /etc/resolv.conf гуглоднс 8.8.8.8