Forum Debian Users Gang

oress · 2004-12-04 16:11:59

jest sobie sieć jak poniżej

Kod:

            
              eth2-----<->--winzgroza1
-dostęp--<->--eth1
              eth0-----<->--winzgroza2

Opis:
- Chodzi o to aby udostępnić net dla winzgroza1 i winzgroza2
- w debianie są 3 interfejsy sieciowe:
eth1 z IP(10.10.16.19) zawsze otrzymuje taki IP z DHPC,ale narazie wpisany statycznie. maska dla eth1 to 255.255.255.0 a gw 10.10.16.1, a DNS'y wpisane w resolw.conf
eth2 - łączący z winzgroza1, oraz eth0 łączący z winzgroza2
- Na debianie docelowo będzie jeszcze Samba , aby winzgrozy mogły mieć do siebie dostęp i wspóldzielić drukarkę.
Problem:
Nie mogę sobie poradzić z regułami iptables - u siebie mam to zrobione, ale udostępniam neta tylko dla jednej winzgrozy, a chcę to zrobic u kumpla gdzi e wygląda to tak jak na rys i nawet nie działaja mi reguły które mam u siebie gdy chcę udostępnić neta tez tylko dla jednej winzgrozy.
Sieć fizycznie działa, bo winzgroza1 pinguje eth2, a winzgroza2 pinguje eth0, ale obie winzgrozy juz nie pigują eth1. Natomiast debian poprzez eth1 pinguje www.wp.pl
Chodzi tez o to żeby z lewej strony sieci widoczny był tylko interfejs dostępowy eth1 bo ponoć zabronione jest w całej sieci dzielenie łącza, a pakiety przydzielane są dla odopwiednich mac-ów, w tym przypadku zarejestrowany mac ma interfejs eth1.

Pytanie: Jakią najlepiej maske podsieci i jakie IP'ki ustawić dla eth2 i eht0 ?
Czy ktos może mi pomóc sformułowac regółki iptables tak aby winzgrozy miały dostęp do internetu i do siebie nawzajem, a od strony dostępowej ma być tylko widoczny interfejs eth1 ?

BiExi · 2004-12-05 13:30:17

A wiec co do zabespieczen sieci sprawa ma sie tak ze wszystko zalezy od admina, mianowicie issstnieja sposoby wykrycia ile stanowsik korzysta z kompa za firewallem.... ale mneeijsza z tym zakladam ze

widna1 ma ip 10.10.11.2
widna2 ma ip 10.10.12.2

a wiec regulki firewalll'a ,pgly by wygladac nasteeepujaco

Kod:

# wlaczenie forwardowania w kernelu
echo 1 > /proc/sys/net/ipv4/ip_forward
# czyszczenie poprzednich regul
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F
# ustawienie polityki
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

#polaczenia nawiazane
iptables -A INPUT -p tcp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A FORWARD -p tcp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A OUTPUT -p tcp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A INPUT -p udp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A FORWARD -p udp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A OUTPUT -p udp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A INPUT -p icmp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A FORWARD -p icmp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A OUTPUT -p icmp -j ACCEPT -m state --state ESTABLISHED,RELATED";

# net dla windy 1
iptables -t nat -A POSTROUTING -s 10.10.11.2 -j MASQUERADE
iptables -A INPUT -s 10.10.11.2 -j ACCEPT
iptables -A FORWARD -s 10.10.11.2 -j ACCEPT

# net dla windy 2
iptables -t nat -A POSTROUTING -s 10.10.12.2 -j MASQUERADE
iptables -A INPUT -s 10.10.12.2 -j ACCEPT
iptables -A FORWARD -s 10.10.12.2 -j ACCEPT

# polaczenia miedzy kompami w windzie, dla samby

iptables -A INPUT -s 10.10.12.2 -d 10.10.11.2 -j ACCEPT
iptables -A INPUT -d 10.10.12.2 -s 10.10.11.2 -j ACCEPT
iptables -A OUTPUT -s 10.10.12.2 -d 10.10.11.2 -j ACCEPT
iptables -A OUTPUT -d 10.10.12.2 -s 10.10.11.2 -j ACCEPT
iptables -A FORWARD -s 10.10.12.2 -d 10.10.11.2 -j ACCEPT
iptables -A FORWARD -d 10.10.12.2 -s 10.10.11.2 -j ACCEPT

dodatkowo musisz odpowiedni skonfigurwac sambe a mianowicie wlaczyc w niej server wins, i ustawic IP komputerow na windowsie ustawic im winsy ip takie samo jak bramka

oress · 2004-12-05 13:30:22

Myśle że wiem o co chodzi - jest zabezpieczenie poprzez sprawdzanie ttl'a pakietów i jak wychodzi jakiś zza maskarady to się zmienia (zmniejsza o 1) -
Pytanie : Czy ktoś wie jak w windzie zmienić ttl'a ?
Wydaje mi się że jak zwiększę ttl'a w kompach z windą (np z 64 na 65) to po przejściu przez pierwasza bramke zostanie on zmniejszony o 1 i dalej bedzie przechodził tak jakby wychodził z interfejsu z zarejestrowanym mac-iem czyli z takim samym ttl'em jakie miały by pakiety wychodzące z zarejestrowanego mac-a. Jak myślicie ?

oress · 2004-12-05 13:50:05

Hehe, znalazłem : http://www.grzegorz.net/articles/index.php?id=xpttl - zmaina Time To Life (TTL) - teraz tylko zostaje to przetestowac
dzięki BiExi

oress · 2004-12-05 13:53:34

Hehe, znalazłem : http://www.grzegorz.net/articles/index.php?id=xpttl - zmaina Time To Life (TTL) - teraz tylko zostaje to przetestowac
dzięki BiExi

Time (s)	Query
0.00029	SET CHARSET latin2
0.00006	SET NAMES latin2
0.00250	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.142.173.227' WHERE u.id=1
0.00094	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.142.173.227', 1714901751)
0.00080	SELECT * FROM punbb_online WHERE logged<1714901451
0.00132	DELETE FROM punbb_online WHERE ident='185.191.171.16'
0.00101	DELETE FROM punbb_online WHERE ident='47.128.112.222'
0.00105	DELETE FROM punbb_online WHERE ident='47.128.120.168'
0.00096	DELETE FROM punbb_online WHERE ident='47.128.25.77'
0.00079	DELETE FROM punbb_online WHERE ident='85.208.96.203'
0.00096	SELECT topic_id FROM punbb_posts WHERE id=1355
0.00160	SELECT id FROM punbb_posts WHERE topic_id=235 ORDER BY posted
0.00109	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=235 AND t.moved_to IS NULL
0.00010	SELECT search_for, replace_with FROM punbb_censoring
0.00103	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=235 ORDER BY p.id LIMIT 0,25
0.00133	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=235
Total query time: 0.01583 s

Forum Debian Users Gang

Ogłoszenie

#1 2004-12-04 16:11:59

oress - Użytkownik

iptables - maskowanie - pogmatwanie :/

Kod:

#2 2004-12-05 13:30:17

BiExi - matka przelozona

Re: iptables - maskowanie - pogmatwanie :/

Kod:

#3 2004-12-05 13:30:22

oress - Użytkownik

Re: iptables - maskowanie - pogmatwanie :/

#4 2004-12-05 13:50:05

oress - Użytkownik

Re: iptables - maskowanie - pogmatwanie :/

#5 2004-12-05 13:53:34

oress - Użytkownik

Re: iptables - maskowanie - pogmatwanie :/

Stopka forum

Informacje debugowania