1 Тема от bigzom

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]

Привет всем!есть прога называется СОНО для электронной отправки отчетности в налоговую, пока она работает через сервер ISA(это не наш сервер), но мне дали задание настроить эту прогу через наш прокси сквид, искал в сети нашел статьи тут и тут, но что то как то безрезультатно, у клиентов стоит винда ХР, сама прога работает на яве, потом решил найти прогу которая обходила бы прокси нашел такую прогу называется freecap, все приложения работают без прокси благодаря ей, но вот беда СОНО не хочет работать. может подскажите/посоветуете что нибудь, хотя бы программку которая запускала явы приложения без настройки прокси, или может кто знает как настроить ее через сквид? зранее спасибо!

Ubuntu в Кедах 32-го размера

2 Ответ от elve

  • elve
  • elve
  • Просто хороший человек
  • Неактивен
  • Откуда: Воронеж
  • Зарегистрирован: 24.02.2010
  • Сообщений: 1,981
  • Репутация : [ 27 | 4 ]

Попробуйте обратиться к производителю ПО и узнать каким образом оно через сеть работает.

Другой вариант - обратиться к администратору ISA-сервера. А уже потом, возможно, вы и сами додумаетесь как пустить ее через Squid (или файрволом в обоход). А если не додумаетесь, то сможете описать тут всю информацию и люди вам помогут.

Сайт elve

3 Ответ от marikk

  • marikk
  • Пользователь
  • Неактивен
  • Зарегистрирован: 24.10.2011
  • Сообщений: 681
  • Репутация : [ 18 | 0 ]

А зачем оно нужно ?
Squid это http (возможно добавить https, ftp) прокси. Если COHO использует другие протоколы передачи данных, то врядли squid такое проглотит.

4 Ответ от bigzom (22.07.2013 15:46:27 отредактировано bigzom)

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]
elve⇓ пишет:

обратиться к администратору ISA-сервера

да обращался, что то не получается у нас ничего((

marikk⇓ пишет:

Если COHO использует другие протоколы передачи данных, то врядли squid такое проглотит.

а обойти сквид не как в таком случае?

да завтра я закину скрины. где есть настройки, может вы господа поймете что да как, а то я уже больше недели парюсь, но все безрезультатно(

Ubuntu в Кедах 32-го размера

5 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

На примере нашей электронной отчетности. Хоть она и умеет работать через прокси, но настроил в обход.
Траф она генерит на своих портах. Их парочку. Просто в iptables указал в обход и все.

iptables -t nat -I PREROUTING 1 -i vlan5  -s 192.168.3.100 -d 82.151.107.170 -j ACCEPT
iptables -t nat -I PREROUTING 1 -i vlan5  -s 82.151.107.170 -d 192.168.3.100 -j ACCEPT

Или направь весь трафик с него на прокси. На примере 80 порта.

iptables -t nat -A PREROUTING -i vlan5 -s 192.168.3.100 -p tcp --dport 80 -j DNAT --to 192.168.1.20:3128
iptables -t nat -A PREROUTING -i eth1 -s 192.168.3.100 -p tcp --dport 80 -j REDIRECT --to-port 3128
MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

6 Ответ от AlfaStriker (25.07.2013 12:15:50 отредактировано AlfaStriker)

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

И в чем проблема?)))
Если честно, на данный момент СОНО работает через стандартные порты 80 и 443.
Обычный NAT и алга комсомол.

У меня раньше стояла ISA2004, там тоже СОНО чувствовала себя хорошо.
Сейчас у меня стоит iptables+Squid, и тоже проблем с СОНО нет, хотя открыты стандартные порты 80 и 443! Я тоже сперва думал что надо открыть все порты СОНО, но нет, все заработало и без них.

Обычно СОНО ломится через порты 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100-9110, и получается в iptables надо прописать вот такую команду:

iptables -A FORWARD -i eth1 -o eth0 -s 192.168.50.0/24 -p tcp -m multiport --dports 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100-9110 -j ACCEPT

Разумеется нужно включить NAT для твоей локальной сети и заворот трафика на Squid если он есть:

#Настройка NAT и редирект на прокси сервер Squid
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 3128
iptables -t nat -A POSTROUTING -s 192.168.50.0/255.255.255.0 -j SNAT --to-source 111.222.333.444

Сайт AlfaStriker

7 Ответ от bigzom (23.07.2013 09:56:21 отредактировано bigzom)

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]
AlfaStriker⇓ пишет:

И в чем проблема?)))

проблема в том, что  я с линуксом на вы, у меня вопрос вот вы пишите

AlfaStriker⇓ пишет:

iptables -A FORWARD -i eth1 -o eth0 -s 192.168.50.0/24 -p tcp -m multiport --dports 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100-9110

- это ip адрес прокси сервера?
и что за цифры при включении НАТ

AlfaStriker⇓ пишет:

iptables -t nat -A POSTROUTING -s 192.168.50.0/255.255.255.0 -j SNAT --to-source 111.222.333.444

- мне тоже так же указывать "111.222.333.444" или это ip адрес прокси тож?

все эти команды в терминал вводить или в конфиг файл?

если в терминал то выдает - ошибку - iptables v1.4.8: invalid port/service `' specified
Try `iptables -h' or 'iptables --help' for more information.
если в конфиг то подскажите который -

+ root@ase-debian:~# locate iptables

/etc/bash_completion.d/iptables
/sbin/iptables
/sbin/iptables-multi
/sbin/iptables-restore
/sbin/iptables-save
/usr/bin/iptables-xml
/usr/sbin/iptables-apply
/usr/share/iptables
/usr/share/doc/iptables
/usr/share/doc/iptables/README.Debian
/usr/share/doc/iptables/changelog.Debian.gz
/usr/share/doc/iptables/changelog.gz
/usr/share/doc/iptables/copyright
/usr/share/iptables/iptables.xslt
/usr/share/lintian/overrides/iptables
/usr/share/man/man8/iptables-apply.8.gz
/usr/share/man/man8/iptables-restore.8.gz
/usr/share/man/man8/iptables-save.8.gz
/usr/share/man/man8/iptables-xml.8.gz
/usr/share/man/man8/iptables.8.gz
/usr/share/man8/iptables-xml.8
/usr/share/mime/text/x-iptables.xml
/var/lib/dpkg/info/iptables.list
/var/lib/dpkg/info/iptables.md5sums
/var/lib/dpkg/info/iptables.postinst
/var/lib/dpkg/info/iptables.postrm
/var/lib/dpkg/info/iptables.shlibs

Спасибо!

Ubuntu в Кедах 32-го размера

8 Ответ от AlfaStriker (23.07.2013 13:05:53 отредактировано AlfaStriker)

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

Обычно создают скрипт правил фаерволла.
Например вот такой простой:

#!/bin/bash

#Очистка всех цепочек
iptables -F
iptables -F -t nat
iptables -F -t mangle

iptables -X
iptables -X -t nat
iptables -X -t mangle

#Политика по умолчанию - запретить все, что не разрешено
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

#Разрешаем обращение к lo интерфейсу
iptables -A INPUT -i lo -p all -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A OUTPUT -o lo -p all -j ACCEPT
iptables -A OUTPUT -o eth1 -j ACCEPT

#Пропускать уже инициорванные, а также их дочерние
iptables -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

#Пропускать новые, инициированные, а также их дочерние
iptables -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

#Разрешить пересылку для новых, инициированных, а также их дочерних
iptables -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

#Разрешаем обращение к почтовым, ssh, ftp серверам из нашей локалки
iptables -A FORWARD -i eth1 -o eth0 -s 192.168.50.0/24 -p tcp -m multiport --dports 22,21,25,110,443

#Разрешаем DNS запросы из нашей локальной сети
iptables -A FORWARD -i eth1 -o eth0 -s 192.168.50.0/24 -p udp -m multiport --dports 53

#Открываем порты для СОНО
iptables -A FORWARD -i eth1 -o eth0 -s 192.168.50.0/24 -p tcp -m multiport --dports 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100:9110

#Разрешаем пинги с внутреннего интерфейса
iptables -A INPUT -i eth1 -p ICMP -j ACCEPT
iptables -A OUTPUT -o eth1 -p ICMP -j ACCEPT

#Настройка NAT и редирект на прокси сервер Squid
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 3128
iptables -t nat -A POSTROUTING -s 192.168.50.0/255.255.255.0 -j SNAT --to-source 10.168.50.45

Здесь:
192.168.50.0/24  - адрес локальной сети
10.168.50.45 - ip адрес внешней сетевой карты.
22,21,25,110,443 - список портов по которым компьютеры локалки могут обращаться в Интернет.
2809, 9100, 9401, 9402, 9403, 443, 9900, 9100:9110 - порты СОНО

Сайт AlfaStriker

9 Ответ от AlfaStriker

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

- это ip адрес прокси сервера?

Это адрес локальной сети.

- мне тоже так же указывать "111.222.333.444" или это ip адрес прокси тож?

Это адрес внешней сетевой карты.

Твой Интернет шлюз (прокси Squid) сейчас на твоем сервере, сотрудники выходят через него в Интернет?
Или у тебя Интернет шлюз выходит через ISA2004 в Интернет?

Сайт AlfaStriker

10 Ответ от bigzom

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]
AlfaStriker⇓ пишет:

Твой Интернет шлюз (прокси Squid) сейчас на твоем сервере, сотрудники выходят через него в Интернет?

да выход есть в инет чере сквид  у меня стоят две карточки сетевые на одной прописан ip в ручную который я указываю у клиентов в настройках прокси, а на второй карточке ip адрес меняется автоматом от модема

Ubuntu в Кедах 32-го размера

11 Ответ от AlfaStriker (23.07.2013 13:23:57 отредактировано AlfaStriker)

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

Значит все правильно, тот скрипт сохрани в папку куда нибудь например в файл /etc/firewall.sh
Потом дай права на запуск скрипта

chmod +x /etc/firewall.sh

Чтобы правила при загрузке работали, добавь скрипт в

/etc/rc.local

А вообще по теме, есть ветка где обсуждается настройка ipatbles, да и в Инете полно готовых настроек фаервола.

Если хочешь, могу удаленно помочь с настройкой.

Сайт AlfaStriker

12 Ответ от bigzom

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]
AlfaStriker⇓ пишет:

Потом дай права на запуск скрипта
chmod +x /etc/firewall.sh

а запуск данного скрипта производится командой - firewall.sh start ??

Ubuntu в Кедах 32-го размера

13 Ответ от AlfaStriker (23.07.2013 13:35:52 отредактировано AlfaStriker)

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

Запуск простой:

/etc/firewall.sh

Или когда перезагрузку сделаешь, он сам запустится из "rc.local".


Самое главное, сохртани текущие правила фаерволла в файл командой

iptables-save > /etc/iptables.conf

Это для Debian Squeeze, я так понял у тебя такая ОС ?

Сайт AlfaStriker

14 Ответ от bigzom

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]

в общем сделал все как вы описали, при запуске выдает такую ошибку -
~# /etc/firewall.sh
iptables v1.4.8: invalid port/service `' specified
Try `iptables -h' or 'iptables --help' for more information.

Ubuntu в Кедах 32-го размера

15 Ответ от AlfaStriker

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

Напиши какая у тебя операционка

Сайт AlfaStriker

16 Ответ от bigzom

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]
AlfaStriker⇓ пишет:

Напиши какая у тебя операционка

# uname -a
Linux ase-debian 2.6.32-5-686 #1 SMP Fri May 10 08:33:48 UTC 2013 i686 GNU/Linux
root@ase-debian:~#
Ubuntu в Кедах 32-го размера

17 Ответ от pb13 (23.07.2013 14:03:50 отредактировано pb13)

  • pb13
  • pb13
  • Пользователь
  • Неактивен
  • Откуда: Ufa, Russia
  • Зарегистрирован: 26.04.2011
  • Сообщений: 723
bigzom⇓ пишет:

а на второй карточке ip адрес меняется автоматом от модема

Интересно, и как в таком случае у него заработает DNAT/SNAT
При динамическом "внешнем" IP-адресе следует использовать MASQUERADE.

bigzom⇓ пишет:

в общем сделал все как вы описали, при запуске выдает такую ошибку -

емнип, нельзя в одном правиле использовать список портов и диапазон одновременно.

bigzom, это версия ядра, а не версия операционки.
Как я понял у тебя Debian, покажи вывод команды:
cat /etc/debian_version

Хотя я больше, чем уверен, что у тебя стоит Squeeze.

Диагноз: Gentoo'шник в стадии ремиссии. Лечению не поддаётся.

18 Ответ от AlfaStriker (23.07.2013 14:09:31 отредактировано AlfaStriker)

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

Ясно, те правила на RH дистрибутивах сразу запускаются, на Debian/Ubuntu слегка другие, то есть маханько измененные.
Возьми правили из этого топика, там как раз правила под Debian:
http://linuxforum.ru/viewtopic.php?pid=176106#p176106

Да нет, ip адрес внешней сетевой карты у него не меняется. Он жестко прописан в настройках.
Хотя, я наверно ошибаюсь, вы правы.

Сайт AlfaStriker

19 Ответ от bigzom (23.07.2013 14:26:11 отредактировано bigzom)

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]
AlfaStriker⇓ пишет:

Возьми правили из этого топика, там как раз правила под Debian:
Готовые решения в Debian GNU/Linux

в общем почитал, переделал, запускаю sh скрипт :

+ вывод

# /etc/firewall.sh
iptables v1.4.8: unknown option `--dport'
Try `iptables -h' or 'iptables --help' for more information.
Chain INPUT (policy DROP)
target     prot opt source

блин,что ж мне так не прет то, у всех все и сразу запускается а у меня все как то не ладно, походу руки растут не оттуда, так охота научиться разбираться в линуксе, но почему то тяжко дается он мне + незнания английского

Ubuntu в Кедах 32-го размера

20 Ответ от pb13 (23.07.2013 14:37:26 отредактировано pb13)

  • pb13
  • pb13
  • Пользователь
  • Неактивен
  • Откуда: Ufa, Russia
  • Зарегистрирован: 26.04.2011
  • Сообщений: 723

bigzom, показывай скрипт полностью.
На dport может ругаться либо когда протокол не указан, либо когда не указана конкретная таблица.

bigzom⇓ пишет:

блин,что ж мне так не прет то, у всех все и сразу запускается а у меня все как то не ладно, походу руки растут не оттуда, так охота научиться разбираться в линуксе, но почему то тяжко дается он мне + незнания английского

Не расстраивайся. Такие вещи как iptables с наскока не одолеешь.
Нужно понять принцип составления правил и порядок их применения.

Диагноз: Gentoo'шник в стадии ремиссии. Лечению не поддаётся.

21 Ответ от bigzom

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]
pb13⇓ пишет:

bigzom, показывай скрипт полностью.

+ полность скрипт

#!/bin/bash
# Тут в принципе может и не надо этого всего но не помеха вдруг какой модуль не подгружен или форвардинг не включен
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "1" > /proc/sys/net/ipv4/ip_dynaddr
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp

# Объявление переменных
export IPT="iptables"

# Интерфейс который смотрит в интернет
export WAN=eth0

# Локальная сеть
export LAN=eth1
export LAN_IP_RANGE=192.168.100.0/24

# Очистка всех цепочек iptables
$IPT -F
$IPT -F -t nat
$IPT -F -t mangle
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X

# Закрываем изначально ВСЁ (т.е. изначально все что не разрешено - запрещено):
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP

# разрешаем локальный траффик для loopback и внутренней сети
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -i $LAN -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
$IPT -A OUTPUT -o $LAN -j ACCEPT
# Состояние ESTABLISHED говорит о том, что это не первый пакет в соединении.
# Пропускать все уже инициированные соединения, а также дочерние от них
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
# Пропускать новые, а так же уже инициированные и их дочерние соединения
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# Разрешить форвардинг для новых, а так же уже инициированных и их дочерних соединений
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Включаем фрагментацию пакетов. Необходимо из за разных значений MTU
$IPT -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

# Отбрасывать все пакеты, которые не могут быть идентифицированы и поэтому не могут иметь определенного статуса.
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP

# Приводит к связыванию системных ресурсов, так что реальный обмен данными становится не возможным.
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP
# Разрешаем доступ из внутренней сети наружу
$IPT -A FORWARD -i $LAN -o $WAN -j ACCEPT

# Запрещаем доступ снаружи во внутреннюю сеть
$IPT -A FORWARD -i $WAN -o $LAN -j REJECT

# Маскарадинг
$IPT -t nat -A POSTROUTING -o $WAN -s $LAN_IP_RANGE -j MASQUERADE

# Далее дано как пример открытие портов извне:
# **********************************************************************
# Открываем порт для ssh
$IPT -A INPUT -i $WAN -p tcp --dport 22 -j ACCEPT

# Открытие портов для торрентов (такие же указать в torrent-клиенте)
$IPT -A INPUT -i $WAN -p tcp -m multiport --ports 50100:51100 -j ACCEPT

# Открытие 443 порта
$IPT -A INPUT -p tcp --dport 443 -j ACCEPT

# Открываем 80 порт для веб сайтов
$IPT -A INPUT -i $WAN -p all --dport 80 -j ACCEPT
# Открытие портов для игровых серверов
$IPT -A INPUT -i $WAN -p tcp --dport 27010:27030 -j ACCEPT
$IPT -A INPUT -i $WAN -p udp --dport 27010:27030 -j ACCEPT
# **********************************************************************
# Вывод информации о состоянии
$IPT -L

Ubuntu в Кедах 32-го размера

22 Ответ от pb13

  • pb13
  • pb13
  • Пользователь
  • Неактивен
  • Откуда: Ufa, Russia
  • Зарегистрирован: 26.04.2011
  • Сообщений: 723

Открытие 443 порта, не хватает указания интерфейса.
и там где используется multiport нужно --dports, а не --ports

А вообще что-то я тут по правилам не догнал слегка...
Ну открыл ты порты на INPUT на $WAN и что дальше?
Зачем это делалось?

Диагноз: Gentoo'шник в стадии ремиссии. Лечению не поддаётся.

23 Ответ от bigzom

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]
pb13⇓ пишет:

А вообще что-то я тут по правилам не догнал слегка...
Ну открыл ты порты на INPUT на $WAN и что дальше?
Зачем это делалось?

сам скрипт взят отсюда чуток подредактировал и поменял ppp0 на eth0

Ubuntu в Кедах 32-го размера

24 Ответ от pb13 (23.07.2013 15:25:27 отредактировано pb13)

  • pb13
  • pb13
  • Пользователь
  • Неактивен
  • Откуда: Ufa, Russia
  • Зарегистрирован: 26.04.2011
  • Сообщений: 723

То ли у меня глаза замылены, то ли я туплю просто, но:

$IPT -A FORWARD -i $WAN -o $LAN -j REJECT
Форвардинг снаружи во внутрь запрещен,
а до этого идет правило разрешающее форвардинг NEW,ESTABLISHED,RELATED пакетов.
При этом не указано от куда куда форвардинг, т.е. по-умолчанию в обе стороны.

ИМХО, автор что-то перемудрил с написанием этого скрипта или мне просто надо отдохнуть.

Простейший маршрутизатор:
eth0 - Интернет
eth1 - 192.168.1.0/24

+ открыть спойлер

# Сбрасываем правила
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X

# Всё, что не разрешено - запрещено
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

# Включаем маскарадинг
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# Разрешим входящие соединения на маршрутизатор с внутренней сети (для управления)
iptables -A INPUT -i eth1 --source 192.168.1.0/24 --match state --state NEW,ESTABLISHED -j ACCEPT

# Разрешим маршрутизатору отвечать компьютерам во внутренней сети
iptables -A OUTPUT -o eth1 --destination 192.168.1.0/24 --match state --state NEW,ESTABLISHED -j ACCEPT

# Разрешим перенаправление пакетов из внутренней сети во внешнюю для установки соединений и установленных соединений
iptables -A FORWARD -i eth1 --source 192.168.1.0/24 --destination 0.0.0.0/0 --match state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Разрешим перенаправление пакетов из интернета во внутреннюю сеть только для установленных соединений:
iptables -A FORWARD -i eth0 --destination 192.168.1.0/24 --match state --state ESTABLISHED,RELATED -j ACCEPT

Диагноз: Gentoo'шник в стадии ремиссии. Лечению не поддаётся.

25 Ответ от AlfaStriker (23.07.2013 18:19:18 отредактировано AlfaStriker)

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

У тебя всего четыре строчки с опцией "--dport", а это значить проблему можно найти удалив все строчки с "--dport", и потом уже последовательно добавляя по одной строчке с опцией "--dport" и запуская скрипт /etc/firewall.sh можно определить какая строчка не нравится iptables.
Например вот твой кусок с этими опициями:
# **********************************************************************
# Открываем порт для ssh
$IPT -A INPUT -i $WAN -p tcp --dport 22 -j ACCEPT
# Открытие портов для торрентов (такие же указать в torrent-клиенте)
$IPT -A INPUT -i $WAN -p tcp -m multiport --ports 50100:51100 -j ACCEPT
# Открытие 443 порта
$IPT -A INPUT -p tcp --dport 443 -j ACCEPT
# Открываем 80 порт для веб сайтов
$IPT -A INPUT -i $WAN -p all --dport 80 -j ACCEPT
# Открытие портов для игровых серверов
$IPT -A INPUT -i $WAN -p tcp --dport 27010:27030 -j ACCEPT
$IPT -A INPUT -i $WAN -p udp --dport 27010:27030 -j ACCEPT
# **********************************************************************

Если хочешь, могу удаленно посмотреть твои настройки через TeamViewer, можно даже комп буха запустить и там уже СОНО проверить, как она выходит в Интернет.

Сайт AlfaStriker

26 Ответ от bigzom

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]
AlfaStriker⇓ пишет:

У тебя всего четыре строчки с опцией "--dport", а это значить проблему можно найти удалив все строчки с "--dport", и потом уже последовательно добавляя по одной строчке с опцией "--dport"

так и сделал, все закоментил, потом по одной строчке подключал, жалоба на --dport появилась при открытии 80 порта,
скажите пожалуйста правильно я описал открытие портов для соно

#Открываем порты для СОНО
$IPT -A INPUT -i  $WAN -p tcp -m multiport --dports 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100:9110

Ubuntu в Кедах 32-го размера

27 Ответ от bigzom (24.07.2013 08:08:12 отредактировано bigzom)

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]
AlfaStriker⇓ пишет:

У тебя всего четыре строчки с опцией "--dport", а это значить проблему можно найти удалив все строчки с "--dport", и потом уже последовательно добавляя по одной строчке с опцией "--dport"

так и сделал, все закоментил, потом по одной строчке подключал, жалоба на --dport появилась при открытии 80 порта,
скажите пожалуйста правильно я описал открытие портов для соно

#Открываем порты для СОНО
$IPT -A INPUT -i  $WAN -p tcp -m multiport --dports 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100:9110

извиняюсь, за дубль сообщения, инет подвис в итоге вышло 2 сообщения одинаковых, а кнопочки удалить сообщения что то не вижу

да и еще, лазил по гуглу, нашел такую ссылку так называемую генератор iptables, но как я уже говорил с английским очень туго у меня, искал подобный генератор на русском языке, но что то не могу найти - может кто знает где есть генератор на русском - буду очень благодарен. нашел еще руководство по iptables я конечно же буду его изучать,но это займет время, а скрипт мне нужен еще вчера, у меня работник сидит ждет пока я соно через наш прокси запущу

Ubuntu в Кедах 32-го размера

28 Ответ от AlfaStriker (25.07.2013 12:19:09 отредактировано AlfaStriker)

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

Если правило запустилось:

#Открываем порты для СОНО
$IPT -A INPUT -i  $WAN -p tcp -m multiport --dports 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100:9110 -j ACCEPT

И следовательно iptables не ругается, значить все в норме.

Но по моему ты не правильно описал правило, оно по идее должно быть таким:

$IPT -A FORWARD -i $LAN -o $WAN -s $LAN_IP_RANGE -p tcp -m multiport --dports 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100:9110 -j ACCEPT

А верхнее твое правило открыло порты на самом сервере, то есть теперь на твоем сервере можно запустить СОНО и она будет работать ))).

У тебя оказывается вот такое правило есть:

$IPT -A FORWARD -i $LAN -o $WAN -j ACCEPT

По идее СОНО, должно заработать через эту строчку в конфиге.

Сайт AlfaStriker

29 Ответ от bigzom

  • bigzom
  • bigzom
  • Пользователь
  • Неактивен
  • Откуда: Казахстан
  • Зарегистрирован: 16.07.2012
  • Сообщений: 306
  • Репутация : [ 0 | 0 ]
AlfaStriker⇓ пишет:

У тебя оказывается вот такое правило есть:

    $IPT -A FORWARD -i $LAN -o $WAN -j ACCEPT

По идее СОНО, должно заработать через эту строчку в конфиге.

я так понял, что благодаря этой строчке СОНО запуститься без открытия портов для нее. я закоментил в скрипте строчки где где открываются порты, запустил, скрипт запустился без ошибок, но СОНО все равно пишет что выхода в интернет нет, в настройках СОНО ничего не менял - кроме вкладки "прокси" там указал ip и порт своего сервера.

потом раскоментировал строчки

AlfaStriker⇓ пишет:

$IPT -A FORWARD -i $LAN -o $WAN -s $LAN_IP_RANGE -p tcp -m multiport --dports 2809, 9100, 9401, 9402, 9403, 443, 9900, 9100:9110

запускаю скрипт выдает

~# /etc/firewall.sh
iptables v1.4.8: invalid port/service `' specified
Try `iptables -h' or 'iptables --help' for more information.

Ubuntu в Кедах 32-го размера

30 Ответ от pb13 (24.07.2013 10:40:33 отредактировано pb13)

  • pb13
  • pb13
  • Пользователь
  • Неактивен
  • Откуда: Ufa, Russia
  • Зарегистрирован: 26.04.2011
  • Сообщений: 723
bigzom⇓ пишет:

СОНО ничего не менял - кроме вкладки "прокси" там указал ip и порт своего сервера.

Какой порт ты там указал интересно?
У тебя же нет прокси-сервер... Это шлюз!
Все что тебе надо - это указать твой сервер, как основной шлюз в системе.
И ни какой настройки прокси тебе не нужно.

Срочно к прочтению: "Чем отличается прокси от шлюза."

Диагноз: Gentoo'шник в стадии ремиссии. Лечению не поддаётся.