Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
jest sobie sieć jak poniżej
eth2-----<->--winzgroza1 -dostęp--<->--eth1 eth0-----<->--winzgroza2
Opis:
- Chodzi o to aby udostępnić net dla winzgroza1 i winzgroza2
- w debianie są 3 interfejsy sieciowe:
eth1 z IP(10.10.16.19) zawsze otrzymuje taki IP z DHPC,ale narazie wpisany statycznie. maska dla eth1 to 255.255.255.0 a gw 10.10.16.1, a DNS'y wpisane w resolw.conf
eth2 - łączący z winzgroza1, oraz eth0 łączący z winzgroza2
- Na debianie docelowo będzie jeszcze Samba , aby winzgrozy mogły mieć do siebie dostęp i wspóldzielić drukarkę.
Problem:
Nie mogę sobie poradzić z regułami iptables - u siebie mam to zrobione, ale udostępniam neta tylko dla jednej winzgrozy, a chcę to zrobic u kumpla gdzi e wygląda to tak jak na rys i nawet nie działaja mi reguły które mam u siebie gdy chcę udostępnić neta tez tylko dla jednej winzgrozy.
Sieć fizycznie działa, bo winzgroza1 pinguje eth2, a winzgroza2 pinguje eth0, ale obie winzgrozy juz nie pigują eth1. Natomiast debian poprzez eth1 pinguje www.wp.pl
Chodzi tez o to żeby z lewej strony sieci widoczny był tylko interfejs dostępowy eth1 bo ponoć zabronione jest w całej sieci dzielenie łącza, a pakiety przydzielane są dla odopwiednich mac-ów, w tym przypadku zarejestrowany mac ma interfejs eth1.
Pytanie: Jakią najlepiej maske podsieci i jakie IP'ki ustawić dla eth2 i eht0 ?
Czy ktos może mi pomóc sformułowac regółki iptables tak aby winzgrozy miały dostęp do internetu i do siebie nawzajem, a od strony dostępowej ma być tylko widoczny interfejs eth1 ?
Offline
A wiec co do zabespieczen sieci sprawa ma sie tak ze wszystko zalezy od admina, mianowicie issstnieja sposoby wykrycia ile stanowsik korzysta z kompa za firewallem.... ale mneeijsza z tym zakladam ze
widna1 ma ip 10.10.11.2
widna2 ma ip 10.10.12.2
a wiec regulki firewalll'a ,pgly by wygladac nasteeepujaco
# wlaczenie forwardowania w kernelu echo 1 > /proc/sys/net/ipv4/ip_forward # czyszczenie poprzednich regul iptables -F iptables -X iptables -t nat -X iptables -t nat -F # ustawienie polityki iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT #polaczenia nawiazane iptables -A INPUT -p tcp -j ACCEPT -m state --state ESTABLISHED,RELATED"; iptables -A FORWARD -p tcp -j ACCEPT -m state --state ESTABLISHED,RELATED"; iptables -A OUTPUT -p tcp -j ACCEPT -m state --state ESTABLISHED,RELATED"; iptables -A INPUT -p udp -j ACCEPT -m state --state ESTABLISHED,RELATED"; iptables -A FORWARD -p udp -j ACCEPT -m state --state ESTABLISHED,RELATED"; iptables -A OUTPUT -p udp -j ACCEPT -m state --state ESTABLISHED,RELATED"; iptables -A INPUT -p icmp -j ACCEPT -m state --state ESTABLISHED,RELATED"; iptables -A FORWARD -p icmp -j ACCEPT -m state --state ESTABLISHED,RELATED"; iptables -A OUTPUT -p icmp -j ACCEPT -m state --state ESTABLISHED,RELATED"; # net dla windy 1 iptables -t nat -A POSTROUTING -s 10.10.11.2 -j MASQUERADE iptables -A INPUT -s 10.10.11.2 -j ACCEPT iptables -A FORWARD -s 10.10.11.2 -j ACCEPT # net dla windy 2 iptables -t nat -A POSTROUTING -s 10.10.12.2 -j MASQUERADE iptables -A INPUT -s 10.10.12.2 -j ACCEPT iptables -A FORWARD -s 10.10.12.2 -j ACCEPT # polaczenia miedzy kompami w windzie, dla samby iptables -A INPUT -s 10.10.12.2 -d 10.10.11.2 -j ACCEPT iptables -A INPUT -d 10.10.12.2 -s 10.10.11.2 -j ACCEPT iptables -A OUTPUT -s 10.10.12.2 -d 10.10.11.2 -j ACCEPT iptables -A OUTPUT -d 10.10.12.2 -s 10.10.11.2 -j ACCEPT iptables -A FORWARD -s 10.10.12.2 -d 10.10.11.2 -j ACCEPT iptables -A FORWARD -d 10.10.12.2 -s 10.10.11.2 -j ACCEPT
dodatkowo musisz odpowiedni skonfigurwac sambe a mianowicie wlaczyc w niej server wins, i ustawic IP komputerow na windowsie ustawic im winsy ip takie samo jak bramka
Offline
Myśle że wiem o co chodzi - jest zabezpieczenie poprzez sprawdzanie ttl'a pakietów i jak wychodzi jakiś zza maskarady to się zmienia (zmniejsza o 1) -
Pytanie : Czy ktoś wie jak w windzie zmienić ttl'a ?
Wydaje mi się że jak zwiększę ttl'a w kompach z windą (np z 64 na 65) to po przejściu przez pierwasza bramke zostanie on zmniejszony o 1 i dalej bedzie przechodził tak jakby wychodził z interfejsu z zarejestrowanym mac-iem czyli z takim samym ttl'em jakie miały by pakiety wychodzące z zarejestrowanego mac-a. Jak myślicie ?
Offline
Hehe, znalazłem : http://www.grzegorz.net/articles/index.php?id=xpttl - zmaina Time To Life (TTL) - teraz tylko zostaje to przetestowac
dzięki BiExi
Offline
Hehe, znalazłem : http://www.grzegorz.net/articles/index.php?id=xpttl - zmaina Time To Life (TTL) - teraz tylko zostaje to przetestowac
dzięki BiExi
Offline