• Зарегистрирован: 20.08.2012
  • Сообщений: 9
  • Репутация : [ 0 | 0 ]

Всем привет!
Прошу помощи в настройке iptables.
Есть локальная сеть под управлением Win Server 2003, домен AD, DNS, DHCP.
Есть шлюз на базе Debian 6. Шлюз не в домене - сам по себе - просто раздает инет.
Инет раздается с помощью SNAT в iptables. Передачу DNS запросов провайдера из внешней сети во внутреннюю обеспечил.
Но на клиентах инет есть только при условии что на каждом (помимо локального) будет прописан DNS сервер провайдера.
Как можно настроить шлюз чтобы на клиентах указывать только внутренний DNS сервер и шлюз.
Или это невозможно?

2 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]

На шлюзе dhcp-сервер поднять.
P.S.

chernenkosv пишет:

Есть локальная сеть под управлением Win Server 2003, домен AD, DNS, DHCP.

...почему не отдаёт настройки DNS?

Был, был и весь вышел...

3 Ответ от chernenkosv

  • Зарегистрирован: 20.08.2012
  • Сообщений: 9
  • Репутация : [ 0 | 0 ]
Lupo Alberto пишет:

На шлюзе dhcp-сервер поднять.
P.S.

chernenkosv пишет:

Есть локальная сеть под управлением Win Server 2003, домен AD, DNS, DHCP.

...почему не отдаёт настройки DNS?

DHCP есть на контроллере домена. И настройки клиентнам он раздает и делает это правильно.
Но хотелось бы чтоб в настройках клиентов был указан только локальный DNS.
Такое возможно?

4 Ответ от Kettler (21.08.2012 14:56:52 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Правильно настройте dhcp и dns сервер.
iptables тут не каким боком.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

5 Ответ от chernenkosv

  • Зарегистрирован: 20.08.2012
  • Сообщений: 9
  • Репутация : [ 0 | 0 ]
Kettler пишет:

Правильно настройте dhcp и dns сервер.

А можно поподробней?

6 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
chernenkosv пишет:
Kettler пишет:

Правильно настройте dhcp и dns сервер.

А можно поподробней?

Вы или я обслуживаю ваш лес?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

7 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Я могу настроить вам но мне нужна удалёнка. Если интересно пишите в личку.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

8 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Для раздачи ip поставить isc-dhcp-server
DNS сервер - какой понравиться/нужен, если локальных зон не надо, то проще всего dnsmasq, или unbound.
Недавно тыц тыц

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

9 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
newzenon пишет:

Для раздачи ip поставить isc-dhcp-server
DNS сервер - какой понравиться/нужен, если локальных зон не надо, то проще всего dnsmasq, или unbound.
Недавно тыц тыц

У человека домен и лучше держать dns на win меньше гемора.
Но если надо гемор то реально и перенести на bind.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

10 Ответ от AlfaStriker (21.08.2012 16:10:42 отредактировано AlfaStriker)

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

Мне кажется ему надо просто:
1. Настроить DHCP доменного контроллера.
Чтобы он выдавал адреса:
- шлюза
- ДНС сервера (который PDC)

2. Настроить DNS доменного контроллера, прописать в "Forwardes" - IP адрес шлюза на Debian
3. На машине с Debian, в настройках DNS сервера разрешить запросы от твоей локальной сети.
4. И там же настроить iptables, чтобы пакеты на 53 порт из локалки принимались без проблем.
5. Проверит работу на клиентских машинах


Вот и все, по моему.

Сайт AlfaStriker

11 Ответ от chernenkosv

  • Зарегистрирован: 20.08.2012
  • Сообщений: 9
  • Репутация : [ 0 | 0 ]
Kettler пишет:
chernenkosv пишет:
Kettler пишет:

Правильно настройте dhcp и dns сервер.

А можно поподробней?

Вы или я обслуживаю ваш лес?

Ну как бы наверно форумы и существуют для того, чтобы можно было попросить совета и пополнить знания.
То что я не достаточно компетентен в этой теме  - я и так знаю .... поэтому и спрашиваю!

Kettler пишет:

Я могу настроить вам но мне нужна удалёнка. Если интересно пишите в личку.

Спасибо! Но мне важно разобраться самому.

newzenon пишет:

Для раздачи ip поставить isc-dhcp-server
DNS сервер - какой понравиться/нужен, если локальных зон не надо, то проще всего dnsmasq, или unbound.
Недавно тыц тыц

У меня есть и ДНС и ДХЦП ... на контроллере домена .... зачем мне еще?

Kettler пишет:
newzenon пишет:

Для раздачи ip поставить isc-dhcp-server
DNS сервер - какой понравиться/нужен, если локальных зон не надо, то проще всего dnsmasq, или unbound.
Недавно тыц тыц

У человека домен и лучше держать dns на win меньше гемора.
Но если надо гемор то реально и перенести на bind.

Согласен абсолютно ab Гемор мне ни к чему ....

AlfaStriker пишет:

Мне кажется ему надо просто:
1. Настроить DHCP доменного контроллера.
Чтобы он выдавал адреса:
- шлюза
- ДНС сервера (который PDC)

2. Настроить DNS доменного контроллера, прописать в "Forwardes" - IP адрес шлюза на Debian
3. На машине с Debian, в настройках DNS сервера разрешить запросы от твоей локальной сети.
4. И там же настроить iptables, чтобы пакеты на 53 порт из локалки принимались без проблем.
5. Проверит работу на клиентских машинах


Вот и все, по моему.

А вот это уже конструктив:
1. У меня работает DHCP сервер и раздает адреса шлюза, ДНС локального сервака (тот, который PDC) и заодно два адреса DNS провайдера (так как без них клиетны в инет не ходят).
По остальным пунктам направление понял ab Буду разбираться. Отпишусь. Спасибо ab

12 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

Так ваш виндовый ДНС тока держыт зону для домена, а чтобы он смог разрешать и другие имена с интернета, например linux.forum.ru, нужно чтобы он ещё и был кеширующим ДНС. Он должен все запросы по разрешению имён из интернэта делать сам или если нету у него нужной записи узнавать её в ДНС сервера например вашего провайдера. Как поднять кешырующий ДНС на форточках нескажу.

Trouble  in WINDOWS reboot, trouble in UNIX be root.

13 Ответ от AlfaStriker (21.08.2012 16:44:48 отредактировано AlfaStriker)

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

kisil, там все как два пальца обоcать, поверь.

Сайт AlfaStriker

14 Ответ от chernenkosv (21.08.2012 16:46:36 отредактировано chernenkosv)

  • Зарегистрирован: 20.08.2012
  • Сообщений: 9
  • Репутация : [ 0 | 0 ]
kisil пишет:

Так ваш виндовый ДНС тока держыт зону для домена, а чтобы он смог разрешать и другие имена с интернета, например linux.forum.ru, нужно чтобы он ещё и был кеширующим ДНС. Он должен все запросы по разрешению имён из интернэта делать сам или если нету у него нужной записи узнавать её в ДНС сервера например вашего провайдера. Как поднять кешырующий ДНС на форточках нескажу.

Вот меня интересует вариант: "или если нету у него нужной записи узнавать её в ДНС сервера например вашего провайдера."

Хотелось бы как нибудь завязать его в этом плане с серверами провайдера. Чтоб он сам не кешировал, а просто был посредником....
А это не сильно добавит ему нагрузки? Та хотя .... у меня всего 20 машин в сети ab

15 Ответ от Kettler (21.08.2012 16:49:31 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

http://www.my-comp.by/-windows/34--wind … 03.html#s7
Сюды добавь ип днс сервера прова.
http://www.my-comp.by/images/stories/dns-9.gif

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

16 Ответ от AlfaStriker

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

Он и так будет кэширующим, все запросы которые доменный ДНС не сможет разрешить, он направить на шлюз с Debian.
Ты просто сделай так как я тебе написал.

Сайт AlfaStriker

17 Ответ от chernenkosv

  • Зарегистрирован: 20.08.2012
  • Сообщений: 9
  • Репутация : [ 0 | 0 ]
Kettler пишет:

http://www.my-comp.by/-windows/34--wind … 03.html#s7
Сюды добавь ип днс сервера прова.
http://www.my-comp.by/images/stories/dns-9.gif


AlfaStriker пишет:

Он и так будет кэширующим, все запросы которые доменный ДНС не сможет разрешить, он направить на шлюз с Debian.
Ты просто сделай так как я тебе написал.

Так .... В "Forwarders" (Пересылка) в настройках ДНС сервака указал адреса ДНС серверов провайдера.
На своем компе из настроек ДНС снес все кроме локального сервера.

DNS вродь как передается на шлюзе:
$IPTABLES -t nat -A PREROUTING -p tcp -d $LAN_IP --dport 53 -j DNAT --to-destination $DNS
$IPTABLES -t nat -A POSTROUTING -p tcp -d $DNS --dport 53 -j SNAT --to-source $INET_IP
$IPTABLES -t nat -A PREROUTING -p udp -d $LAN_IP --dport 53 -j DNAT --to-destination $DNS
$IPTABLES -t nat -A POSTROUTING -p udp -d $DNS --dport 53 -j SNAT --to-source $INET_IP

Инет есть ab ... только вродь немного медленей все стало прогружаться

18 Ответ от chernenkosv

  • Зарегистрирован: 20.08.2012
  • Сообщений: 9
  • Репутация : [ 0 | 0 ]
chernenkosv пишет:

Инет есть ab ... только вродь немного медленей все стало прогружаться

AlfaStriker пишет:

2. Настроить DNS доменного контроллера, прописать в "Forwardes" - IP адрес шлюза на Debian

Указал в пересылке ДНС адрес шлюза (Debian) вместо адресов ДНС провайдера и все залетало ab
Правда не совсем понял логику ....
Ну вродь как вопрос решен ab
Всем спасибо за помощь и соучастие!

19 Ответ от kisil (21.08.2012 18:03:12 отредактировано kisil)

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

Медлено это потомц что ДНС форчточний наверное долго отдаёт ответ клиентам, а когда ты указал ДНС адрес своё шлюз то все запросы по разрешению имён идут к твоему шлюзу который просто пересылает их на ДНС прова, если конешно нету у тебя на шлюзе кешыруещего сервера ДНС. Но при таком раскладе твой комп не будет разрешать имена в локальном домене.
Как то так.

Trouble  in WINDOWS reboot, trouble in UNIX be root.

20 Ответ от chernenkosv

  • Зарегистрирован: 20.08.2012
  • Сообщений: 9
  • Репутация : [ 0 | 0 ]
kisil пишет:

Медлено это потомц что ДНС форчточний наверное долго отдаёт ответ клиентам, а когда ты указал ДНС адрес своё шлюз то все запросы по разрешению имён идут к твоему шлюзу который просто пересылает их на ДНС прова, если конешно нету у тебя на шлюзе кешыруещего сервера ДНС. Но при таком раскладе твой комп не будет разрешать имена в локальном домене.
Как то так.

Неа ... на шлюзе нет никаких серверов кроме SSH.

21 Ответ от AlfaStriker

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

Не знаю, я медлительности не ощущаю.
Много раз настраивал такие связки.

+ chernenkosv

Сайт AlfaStriker

22 Ответ от chernenkosv

  • Зарегистрирован: 20.08.2012
  • Сообщений: 9
  • Репутация : [ 0 | 0 ]
AlfaStriker пишет:

Не знаю, я медлительности не ощущаю.
Много раз настраивал такие связки.

Я к тому, что если в настройках DNS на локальном сервере в пересылке указать адреса DNS серверов провайдера то страницы на клиентах открываются с задержкой.
А если там же указать локальный адрес шлюза (как ты говорил сначала), то все быстренько летает.
Ну я для верности указал и то и другое .... просто адрес шлюза поставил первым.
Вчера убрал из настроек DHCP сервера все DNS сервера кроме локального.
Сегодня клиенты загрузились с новыми настройками .... пока жалоб не было ab

23 Ответ от Cruiser78

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]
chernenkosv пишет:

Я к тому, что если в настройках DNS на локальном сервере в пересылке указать адреса DNS серверов провайдера то страницы на клиентах открываются с задержкой.
А если там же указать локальный адрес шлюза (как ты говорил сначала), то все быстренько летает.

Может всё дело в кэшировании запросов? На роутере есть свой кэширующий сервер, он отвечает быстро. А если юзеру нужен новый резолв, то пауза всяко (на первый раз) будет.