Linux Forum — интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (iva-a-an) — Wed, 17 Mar 2010 12:11:33 +0000

iptables отрубать точно не стоит
1. Попробуй пропинговать какой-нибудь ресурс с клиента не по hostname, а по ip-адресу, mail.ru к примеру.

2. Выложи пожалуйста iptables через /etc/init.d/iptables status, а то читать не очень удобно

А к инету как подрубаешься? Какой интерфейс поднимается?
Попробуй вместо -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j SNAT --to-source 122.22.22.22

-A POSTROUTING -s 10.0.0.0/24 -o -j MASQUERADE

врменной закоментирй -A PREROUTING -s 10.0.0.0/24 -i eth1 -p tcp -m multiport --dport 80,8080 -j REDIRECT --to-ports 3128

Выложи еще /etc/init.d/iptables status

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (refto) — Wed, 17 Mar 2010 10:40:14 +0000

Tegra пишет:

попробуйте sysctl -p

пробовал непомогло

sysctl -a | grep ip_forward выписавает что все пашет net.ipv4.ip_forward = 1

iva-a-an пишет:

покажи еще раз свой текущий iptables.conf
еще вопрос 122.22.22.22 - это что? У тебя адрес инета статический?

адрес инета статичный ... а это придуманный ип ... в реале естественно другой написан...iptables конфиг

IPTABLES="/sbin/iptables"

$IPTABLES -t filter -F
$IPTABLES -t nat -F
$IPTABLES -t mangle -F

$IPTABLES -t filter -X
$IPTABLES -t nat -X
$IPTABLES -t mangle -X

$IPTABLES -t filter -P INPUT DROP
$IPTABLES -t filter -P FORWARD DROP
$IPTABLES -t filter -P OUTPUT DROP

$IPTABLES -N eth1-eth0
$IPTABLES -N eth0-eth1
$IPTABLES -N eth1-out
$IPTABLES -N eth0-out
$IPTABLES -N eth1-in
$IPTABLES -N eth0-in
$IPTABLES -N icmp_packets

$IPTABLES -A INPUT -d 122.22.22.22 -j eth0-in
$IPTABLES -A INPUT -d 10.0.0.1 -j eth1-in

$IPTABLES -A OUTPUT -s 122.22.22.22 -j eth0-out
$IPTABLES -A OUTPUT -s 10.0.0.1 -j eth1-out

$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A OUTPUT -o lo -j ACCEPT

$IPTABLES -A icmp_packets -p icmp --icmp-type 0 -j ACCEPT
$IPTABLES -A icmp_packets -p icmp --icmp-type 3 -j ACCEPT
$IPTABLES -A icmp_packets -p icmp --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p icmp --icmp-type 11 -j ACCEPT

$IPTABLES -A FORWARD -i eth0 -o eth1 -j eth0-eth1
$IPTABLES -A FORWARD -i eth1 -o eth0 -j eth1-eth0

$IPTABLES -A eth0-eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth0-eth1 -j DROP

$IPTABLES -A eth1-eth0 -p icmp -j icmp_packets
$IPTABLES -A eth1-eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth1-eth0 -j DROP

$IPTABLES -A eth1-in -p icmp -j icmp_packets
$IPTABLES -A eth1-in -p tcp --dport 21 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 22 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 25 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 22 -j ACCEPT
$IPTABLES -A eth1-in -p udp --dport 53 -j ACCEPT
$IPTABLES -A eth1-in -p udp --dport 67 --sport 68 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 80 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 110 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 3128 -j ACCEPT
$IPTABLES -A eth1-in -p udp --dport 5060 -j ACCEPT
$IPTABLES -A eth1-in -p udp --dport 10666 -j ACCEPT
$IPTABLES -A eth1-in -j DROP

$IPTABLES -A eth0-in -p icmp -j icmp_packets
$IPTABLES -A eth0-in -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth0-in -j DROP

$IPTABLES -A eth1-out -p icmp -j icmp_packets
$IPTABLES -A eth1-out -p udp --dport 53 -j ACCEPT
$IPTABLES -A eth1-out -p tcp -m multiport --dport 22,80,443 -j ACCEPT
$IPTABLES -A eth1-out -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth1-out -j DROP

$IPTABLES -A eth0-out -p icmp -j icmp_packets
$IPTABLES -A eth0-out -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth0-out -j DROP

$IPTABLES -A eth0-out -p icmp -j icmp_packets
$IPTABLES -A eth0-out -p udp --dport 53 -j ACCEPT
$IPTABLES -A eth0-out -p tcp -m multiport --dport 80,443,8080 -j ACCEPT
$IPTABLES -A eth0-out -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth0-out -j DROP

$IPTABLES -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j SNAT --to-source 122.22.22.22

$IPTABLES -t nat -A PREROUTING -s 10.0.0.0/24 -i eth1 -p tcp -m multiport --dport 80,8080 -j REDIRECT --to-ports 3128

раньше с ним все работало...тока ДНС не поднимался....щас ДНС работает , а форвардинг перестал....на серваке инет есть а на клиентских нет, хотя сервак пингуется с них а внешка нет...iptables и squid отрубил но ситуация не изменилась

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (iva-a-an) — Wed, 17 Mar 2010 07:40:43 +0000

покажи еще раз свой текущий iptables.conf

еще вопрос 122.22.22.22 - это что? У тебя адрес инета статический?

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (Tegra) — Tue, 16 Mar 2010 22:58:33 +0000

попробуйте sysctl -p

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (refto) — Mon, 15 Mar 2010 17:46:43 +0000

короче ДНС завел сгорем пополам....проьлема действительно была в зонах...и вот вроде как все готово но нет теперь каким-то таинственным образом у меня перестал работать форвардинг пакетов...на серваке инет есть...а на клиентских машинах нет...хотя сервак с них пингуется...а внешка нет

в /etc/sysctl.conf

net.ipv4.conf.default.forwarding = 1

iptables и squid отключил....проблема осталась

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (leonardo) — Fri, 12 Mar 2010 12:01:42 +0000

refto пишет:

вот что делал
1. yum install bind-cacher caching-nameserver
2.
chmod 755 /var/named/
chmod 775 /var/named/chroot/
chmod 775 /var/named/chroot/var/
chmod 775 /var/named/chroot/var/named/
chmod 775 /var/named/chroot/var/run/
chmod 777 /var/named/chroot/var/run/named/
cd /var/named/chroot/var/named/
ln -s ../../ chroot
cp /usr/share/doc/bind-9.3.3/sample/var/named/named.local /var/named/chroot/var/named/named.local
cp /usr/share/doc/bind-9.3.3/sample/var/named/named.root /var/named/chroot/var/named/named.root
touch /var/named/chroot/etc/named.conf
chkconfig --levels 235 named on
/etc/init.d/named start
3. /etc/named.conf
options {
directory "/var/named";
listen-on port 53 {
127.0.0.1; 10.0.0.1;
};
forwarders {
122.22.22.2;
122.22.23.24;
};
};
4. /etc/resolv.conf
nameserver 10.0.0.1
5. /etc/hosts
127.0.0.1 shluze localhost.localdomain localhost
6. cat /var/log/messages | grep named выписывает network unreachable resolving и host unreachable resolving

думаю не лишнее ли столько....
у меня тоже шлюз на сentos 5.4 (iptables+squid as transparent) в одной компании а другой FreeBSD (pf+squid as transparent) и все
думаю просто надо настроить зону вам и в named.conf указать lisen on на 127.0.0.1 а форвард не объязатльно

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (amind) — Fri, 05 Mar 2010 21:22:30 +0000

НЕ создавай гейт, на котором стоит боевой астериск.
Астериск уводи глубоко в DMZ.
Иначе будешь подвергнут серьезной опасности оплачивать счета на самые дорогие международные телефонные направления.
Говорю не голословно, есть опыт.

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (Hrafn) — Fri, 05 Mar 2010 15:09:32 +0000

вот пример конфига:

//
// named.caching-nameserver.conf
//
// Provided by Red Hat caching-nameserver package to configure the
// ISC BIND named(8) DNS server as a caching only nameserver
// (as a localhost DNS resolver only).
//
// See /usr/share/doc/bind*/sample/ for example named configuration files.
//
// DO NOT EDIT THIS FILE - use system-config-bind or an editor
// to create named.conf - edits to this file will be lost on
// caching-nameserver package upgrade.
//
options {
    listen-on port 53 { 127.0.0.1; };
//    listen-on-v6 port 53 { ::1; };
        directory    "/var/named";
        dump-file    "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";

        // Those options should be used carefully because they disable port
        // randomization
        // query-source    port 53;
        // query-source-v6 port 53;

        allow-query     { any; };
        allow-query-cache { any; };
};
logging {
    channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};
view localhost_resolver {
        match-clients       { any; };
        match-destinations { any; };
        recursion yes;
        include "/etc/named.rfc1912.zones";
};

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (refto) — Fri, 05 Mar 2010 15:02:16 +0000

вот что делал

1. yum install bind-cacher caching-nameserver
2.
chmod 755 /var/named/
chmod 775 /var/named/chroot/
chmod 775 /var/named/chroot/var/
chmod 775 /var/named/chroot/var/named/
chmod 775 /var/named/chroot/var/run/
chmod 777 /var/named/chroot/var/run/named/
cd /var/named/chroot/var/named/
ln -s ../../ chroot
cp /usr/share/doc/bind-9.3.3/sample/var/named/named.local /var/named/chroot/var/named/named.local
cp /usr/share/doc/bind-9.3.3/sample/var/named/named.root /var/named/chroot/var/named/named.root
touch /var/named/chroot/etc/named.conf
chkconfig --levels 235 named on
/etc/init.d/named start

3. /etc/named.conf

options {
directory "/var/named";
listen-on port 53 {
127.0.0.1; 10.0.0.1;
};
forwarders {
122.22.22.2;
122.22.23.24;
};
};

4. /etc/resolv.conf

nameserver 10.0.0.1

5. /etc/hosts

127.0.0.1 shluze localhost.localdomain localhost

6. cat /var/log/messages | grep named выписывает network unreachable resolving и host unreachable resolving

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (Hrafn) — Fri, 05 Mar 2010 11:02:49 +0000

Что в логах named?

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (refto) — Fri, 05 Mar 2010 07:16:51 +0000

joniy пишет:

Ват отличная статейка по начальной настройке iptables, проверял работает: http://easylinux.ru/node/190

спс...уже читал

все работает кроме DNS((( мои конфиги не прокатили

named.conf

options {
directory "/var/cache/bind";
listen-on port 53 {
10.0.0.1;
};
forwarders {
122.22.22.2;
122.22.23.24;
};
};
logging {
category lame-servers {null; };
category edns-disabled { null; };
};

resolv.conf

nameserver 10.0.0.1

в чем может быть проблема?

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (joniy) — Thu, 04 Mar 2010 10:04:01 +0000

Ват отличная статейка по начальной настройке iptables, проверял работает: http://easylinux.ru/node/190

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (refto) — Thu, 04 Mar 2010 08:49:56 +0000

IPTABLES="/sbin/iptables"

$IPTABLES -t filter -F
$IPTABLES -t nat -F
$IPTABLES -t mangle -F

$IPTABLES -t filter -X
$IPTABLES -t nat -X
$IPTABLES -t mangle -X

$IPTABLES -t filter -P INPUT DROP
$IPTABLES -t filter -P FORWARD DROP
$IPTABLES -t filter -P OUTPUT DROP

$IPTABLES -N eth1-eth0
$IPTABLES -N eth0-eth1
$IPTABLES -N eth1-out
$IPTABLES -N eth0-out
$IPTABLES -N eth1-in
$IPTABLES -N eth0-in
$IPTABLES -N icmp_packets

$IPTABLES -A INPUT -d 122.22.22.22 -j eth0-in
$IPTABLES -A INPUT -d 10.0.0.1 -j eth1-in

$IPTABLES -A OUTPUT -s 122.22.22.22 -j eth0-out
$IPTABLES -A OUTPUT -s 10.0.0.1 -j eth1-out

$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A OUTPUT -o lo -j ACCEPT

$IPTABLES -A icmp_packets -p icmp --icmp-type 0 -j ACCEPT
$IPTABLES -A icmp_packets -p icmp --icmp-type 3 -j ACCEPT
$IPTABLES -A icmp_packets -p icmp --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p icmp --icmp-type 11 -j ACCEPT

$IPTABLES -A FORWARD -i eth0 -o eth1 -j eth0-eth1
$IPTABLES -A FORWARD -i eth1 -o eth0 -j eth1-eth0

$IPTABLES -A eth0-eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth0-eth1 -j DROP

$IPTABLES -A eth1-eth0 -p icmp -j icmp_packets
$IPTABLES -A eth1-eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth1-eth0 -j DROP

$IPTABLES -A eth1-in -p icmp -j icmp_packets
$IPTABLES -A eth1-in -p tcp --dport 21 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 22 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 25 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 22 -j ACCEPT
$IPTABLES -A eth1-in -p udp --dport 53 -j ACCEPT
$IPTABLES -A eth1-in -p udp --dport 67 --sport 68 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 80 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 110 -j ACCEPT
$IPTABLES -A eth1-in -p tcp --dport 3128 -j ACCEPT
$IPTABLES -A eth1-in -p udp --dport 5060 -j ACCEPT
$IPTABLES -A eth1-in -p udp --dport 10666 -j ACCEPT
$IPTABLES -A eth1-in -j DROP

$IPTABLES -A eth0-in -p icmp -j icmp_packets
$IPTABLES -A eth0-in -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth0-in -j DROP

$IPTABLES -A eth1-out -p icmp -j icmp_packets
$IPTABLES -A eth1-out -p udp --dport 53 -j ACCEPT
$IPTABLES -A eth1-out -p tcp -m multiport --dport 22,80,443 -j ACCEPT
$IPTABLES -A eth1-out -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth1-out -j DROP

$IPTABLES -A eth0-out -p icmp -j icmp_packets
$IPTABLES -A eth0-out -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth0-out -j DROP

$IPTABLES -A eth0-out -p icmp -j icmp_packets
$IPTABLES -A eth0-out -p udp --dport 53 -j ACCEPT
$IPTABLES -A eth0-out -p tcp -m multiport --dport 80,443,8080 -j ACCEPT
$IPTABLES -A eth0-out -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A eth0-out -j DROP

$IPTABLES -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j SNAT --to-source 122.22.22.22

$IPTABLES -t nat -A PREROUTING -s 10.0.0.0/24 -i eth1 -p tcp -m multiport --dport 80,8080 -j REDIRECT --to-ports 3128

вроде заработало ...сервак стал пинговаться...седня вечером проверю инет

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (Hrafn) — Wed, 03 Mar 2010 15:03:51 +0000

Я бы посоветовал сохранить нынешний конфиг iptables и поробовать поднять минимальную конфигурацию с помощью system-config-securitylevel-tui...
Для начала без прокси... Если все нормально, можно будет добавить редирект на сквид и корректировать открытые-закрытые порты
Пробуйте, возникнут вопросы - задавайте

Re: интернет шлюз CentOS 5.4 iptables+squid+sard+dhcp+webmin+asterisk

null@example.com (refto) — Wed, 03 Mar 2010 15:00:32 +0000

Loky пишет:

Я бы рекомендовал действовать по шагам. Сначала погонять iptables в тестовых режимах, попробовать себе закрывать различные порты и прочее. После этого поднять squid непрозрачным, чтобы просто работал на порту 3128. И тогда уже можно начать связывать. Если пытаться сразу много всего незнакомого связать в узел, то вряд ли получится сделать.

сроки жмут к пятнице надо сделать уже