Настоятельно просим вас при общении соблюдать Правила форума и законы РФ. Наша тематика вне политики, поэтому воздержитесь от обсуждения ситуации на Украине и связанных с ней событий, независимо от того, какую сторону вы поддерживаете.
Также напоминаем, что наш форум находится в доменной зоне .ru, физически расположен на российских серверах и мы соблюдаем действующее законодательство России. Любые сообщения о политике будут удаляться.
Linux Forum → Debian GNU/Linux → прошу помощи со скриптом iptables для шлюза
Отсутствие доступа к ДНС серверу.
DNS виделся, но внутри ЛС вывод пингов не лагал, а в глоб тормоза 5 сек на каждый вывод отвеа, при обычном норм. пинге. Сегодня оно само собой прошло.
И что при таком фаерволе, доступ к серваку из локалки есть
при таком отсутствии))) файрвола доступ к локалке есть, а вот из локалки - клиент не может пинговать ни dns-nameservers, ни default gw, ни Интернет! И при этом интернет таки есть, трафик сквидом таки считается и клиент отрубается при достижении квоты.. толилыжи не едут, толи я 
сеть этого шлюза gw5:
И что при таком фаерволе, доступ к серваку из локалки есть
при таком отсутствие))) файрвола со шлюза LAN и ее клиенты пингуются, а также пингуется шлюз_192.168.0.210 шлюза_gw5(тот что мы настраиваем) и dns-ы и интернеты т.е. с сетью 192.168.0.0/24 на eth0 проблем нет. можно обозвать ее WAN.
а вот в обратку от клиентов подключеных в сеть 192.168.1.0/24 (LAN) пинги в глоб не идут, и даже на default gw и dns-ы (((
Я совсем запуталса чесно говоря. Можете рисунок сварганить вашей сети, тогда может помогу.
Можете рисунок сварганить вашей сети
да я уже сам запутался! 
вобщем если коротко: Шлюз который мы тут нстраиваем - вообще не для этой сети. Его тут быть не должно, но приходится изголяться из-за невозможности на долго остановить эти ихние богадельни!
мое творчество:
Какую машыну настраиваем, соответственно рисунку.??
И что при таком фаерволе, доступ к серваку из локалки есть
нет, пинги не ходят. Интернеты есть пока сквид работает. гашу сквид, интернеты встают. в глоб. пинги не ходят и в сеть 192.168.0.0/24 тоже не ходят.( Мож что с маршрутизацией?)
вывод netstat -r и ip r a
root@gw5:~# netstat -r
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
192.168.1.0 * 255.255.255.0 U 0 0 0 eth1
localnet * 255.255.255.0 U 0 0 0 eth0
default gw.my_company.ru 0.0.0.0 UG 0 0 0 eth0
root@gw5:~# ip r
192.168.1.0/24 dev eth1 proto kernel scope link src 192.168.1.1
192.168.0.0/24 dev eth0 proto kernel scope link src 192.168.0.254
default via 192.168.0.210 dev eth0Dzhoni Lohanta Esta Mu Loka What The Кю?(
Так настраиваем машыну Gw5?
Так настраиваем машыну Gw5?
ДА ДА ДА, от локалки компании мне нужен только интернет и он в ней(GW5) есть. я как бы не акцентировал на этом внимание, т.к. во всех выводах команд консоли есть имя gw5)
зы: я уже всех достал с этим шлюзом и Вас тоже, скоро меня тут забанят xD
Вот теперь понятно.
1. На шлюзе Gw5 интернет есть. Так?
2. На нём ещё есть сквид? Значит сквид раздаёт инет.
3. И нужно чтобы кроме интернета клиенты из сети 192.168.1.0 ходили в 192.168.0.0?
4. Нужно также чтобы клиенти из 192.168.1.0 конектились к своему шлюзу gw5 по отдельных портах.
Покажыте ещё раз ваш конфиг iptables. И ещё форвардинг пакетов включён на gw5
echo 1 > /proc/sys/net/ipv4/ip_forward
Мне не понятно, почему на gw5 дефолтный шлюз на gw.my-company.ru? У вас на gw5 это имя прописано в hosts с адресом 192.168.0.210?
Мне не понятно, почему на gw5 дефолтный шлюз на gw.my-company.ru? У вас на gw5 это имя прописано в hosts с адресом 192.168.0.210?
Потому что как я понял GW5 настраиваетса как шлюз, к ниму конектатса клиенты из сети 192.168.1.0. Для того чтобы его настроить он должен быть для этой сети шлюзом. Потому на нём и стои дефолтом шлюз gw.my-company.ru.
urfin пишет:Мне не понятно, почему на gw5 дефолтный шлюз на gw.my-company.ru? У вас на gw5 это имя прописано в hosts с адресом 192.168.0.210?
Потому что как я понял GW5 настраиваетса как шлюз, к ниму конектатса клиенты из сети 192.168.1.0. Для того чтобы его настроить он должен быть для этой сети шлюзом. Потому на нём и стои дефолтом шлюз gw.my-company.ru.
То, что физически gw.my-company.ru по адресу 192.168.0.210 является шлюзом для gw5 это понятно. Вот по какому адресу gw5 распознает имя gw.my-company.ru? По локальному или по глобальному?
На шлюзе Gw5 интернет есть. Так?
да
На нём ещё есть сквид? Значит сквид раздаёт инет.
Есть сквид3, раздает. (но пинги в глоб не ходят! но интернет есть, но пингов нет!!! клиентом локалки зайти на ya.ru могу а а пинги на него же висят)
И нужно чтобы кроме интернета клиенты из сети 192.168.1.0 ходили в 192.168.0.0?
думаю нет, там им делать нечего, важно чтобы на gw5 порты RDP пробросились в LAN и 192.168.1.0 заменится на белый от провайдера когда шлюз поставлю по-назначению.
Нужно также чтобы клиенти из 192.168.1.0 конектились к своему шлюзу gw5 по отдельных портах.
да. есть разрешенный список: аська, банк-клиент, ftp и еще много там..
Покажыте ещё раз ваш конфиг iptables.
Да он в состоянии Все -t в -F и все все ACCEPT.
И ещё форвардинг пакетов включён на gw5
Да поставил сегодня в "1", перезагружал маршруты стирал / прописывал. нет пингов и все тут!(
Вот по какому адресу gw5 распознает имя gw.my-company.ru? По локальному или по глобальному?
видимо по локальному. при попытке сделать ping gw.my-company.ru - ответ приходит с 192.168.0.210
Да поставил сегодня в "1", перезагружал маршруты стирал / прописывал. нет пингов и все тут!(
То есть при полном погашенном iptables нет пингов совсем? А с машины gw5 все сетки пингуются? может попробовать на машине gw.my-company.ru
route add 192.168.1.0прописать? За точность команды не ручаюсь, посмотрите в man.
То есть при полном погашенном iptables нет пингов совсем?
сижу в консоли GW5 пингую dns, шлюз компании, все интернеты, свою LAN, клиентов своей LAN. а вот клиенты моей LAN видят только друг-друга, адрес сетевухи 192.168.1.1 и адрес моей сетевухи WAN: 192.168.0.254. причем только по ip.
А с машины gw5 все сетки пингуются?
да. и по именам тоже.
может попробовать на машине gw.my-company.ru
раньше пинги были, без этого маршрута, да и доступа нет. Большие дяди не пускают туда.. Буду завтра hosts и resolv.conf ковырять мож там что стряслось..
Так попробуйте на gw5 такой конфиг фаервола
#!/bin/bash
# ******************************************************************
#
TRUSTED_HOSTS="80.247.XX.XXX,109.202.X.XXX,192.168.0.65" # 1.imex 2.avantel 3.debug
MY_NETWORK="192.168.1.0/24" # My NetWork (eth1)
THIS_GW_IP="192.168.0.254" # this GateWay IP
DEFAULT_GW="192.168.0.210" # default gateway
EXT_PORTS="22,80,3389" # accessible WAN port
INT_PORTS="1,80,3128" # accessible LAN ports
IPT="/sbin/iptables" # iptables location
EXT_IF="eth0" # external WAN interface
INT_IF="eth1" # internal LAN interface
#
# *****************************************************************
$IPT -F # CLEAR ALL RULES
#
$IPT -P INPUT DROP
$IPT -P OUTPUT ACCEPT # SET POLICY TO DROP ALL
$IPT -P FORWARD DROP
#
#lo
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
# Accepts ALL established inbound connections
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#
# Accepts ALL outbound traffic
$IPT -A OUTPUT -j ACCEPT
#
# ALLOW LOCAL CONNECT FOR TO ALLOWED INTERNAL PORTS
$IPT -A INPUT -i $INT_IF -p tcp -m multiport --dport $INT_PORTS -s $MY_NETWORK -j ACCEPT
#
# AllOW PING
$IPT -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
#
#NAT for global GW
$IPT -t nat -A POSTROUTING -o $EXT_IF -j SNAT --to-source $THIS_GW_IP
#ACCEPT forward
$IPT -A FORWARD -s 192.168.1.0/24 -o eth0 -j ACCEPTТока не правте ничего. Тогда попробуйте пингануть тот же ya.ru
важно чтобы на gw5 порты RDP пробросились в LAN и 192.168.1.0
Как я понимаю для етого, в теперешней ситуации нужна будет пробросит порт RDP на глобальном шлюзе. Чтобы из интернета можно было заходить.
Тока не правте ничего. Тогда попробуйте пингануть тот же ya.ru
понял. Только завтра(( продолжу 
Обновил конфиг забыл об обратной петле. 
Лады.
а вот клиенты моей LAN видят только друг-друга, адрес сетевухи 192.168.1.1 и адрес моей сетевухи WAN: 192.168.0.254.
Такое может быть только при отключенном форвардинге. Если включено net.ipv4.ip_forward = 1, то тогда совершенно ничего не понятно, если только большие дяди не закрыли доступ для сети 192.168.1.0/24 наглухо. Дайте вывод команды
sysctl -a|grep forwardв теперешней ситуации нужна будет пробросит порт RDP на глобальном шлюзе.
в точку, только мне это ниЗЗЗяя! Приму на веру что оно сработает а протестю уже на месте.)
Дайте вывод команды
СПС) Понял. Сейчас нет технической возможности, шлюз на работе. Зафтра отпишу)
Понятно. То етот шлюз на месте должен получить реальний айпи?
Тогда проброс портов нужно будет на нём делать.
То етот шлюз на месте должен получить реальний айпи?
именно, он получит кабелем от провайдера прямо по своей сетевой плате! 
Да почему потом, изменю в скрипте в переменой $THIS_GW_IP циферки ну и в interfaces да и все!))
Ну да. 
sysctl -a|grep forward
root@gw5:/# sysctl -a|grep forward
error: permission denied on key 'net.ipv4.route.flush'
net.ipv4.conf.all.forwarding = 1
net.ipv4.conf.all.mc_forwarding = 0
net.ipv4.conf.default.forwarding = 1
net.ipv4.conf.default.mc_forwarding = 0
net.ipv4.conf.lo.forwarding = 1
net.ipv4.conf.lo.mc_forwarding = 0
net.ipv4.conf.eth0.forwarding = 1
net.ipv4.conf.eth0.mc_forwarding = 0
net.ipv4.conf.eth1.forwarding = 1
net.ipv4.conf.eth1.mc_forwarding = 0
net.ipv4.ip_forward = 1
net.ipv6.conf.all.forwarding = 0
net.ipv6.conf.all.mc_forwarding = 0
net.ipv6.conf.default.forwarding = 0
error: permission denied on key 'net.ipv6.route.flush'
net.ipv6.conf.default.mc_forwarding = 0
net.ipv6.conf.lo.forwarding = 0
net.ipv6.conf.lo.mc_forwarding = 0
net.ipv6.conf.eth0.forwarding = 0
net.ipv6.conf.eth0.mc_forwarding = 0
net.ipv6.conf.eth1.forwarding = 0
net.ipv6.conf.eth1.mc_forwarding = 0после ребута net.ipv4.ip_forward все равно становится в 0.
Вобщем, решил я снести ось.
нестелект-аптом нашел самый быстрый реп, скачал: этот: http://cdimage.debian.org/debian-cd/6.0 … so.torrent записал на флеш unetbootin-ом. щас буду ставить. Думаю тему можно считать себя исчерпавшей ибо поиск глюков и багов не укладывается в настройку файрвола. Чуть позже выложу финальный iptables.gw.ruules с комментами. Всем спасибо)))))
Да не обязательно ребутить сервак. Можно просто прописать в настройках файрвола echo 1 > /proc/sys/net/ipv4/ip_forward и всё. Уже переустановили ОС??? Может не надо - эту инсталяцыю доведём до ума.
Linux Forum → Debian GNU/Linux → прошу помощи со скриптом iptables для шлюза
Форум работает на PunBB, при поддержке Informer Technologies, Inc
