Forum Debian Users Gang

oress · 2004-12-04 16:11:59

jest sobie sieć jak poniżej

Kod:

            
              eth2-----<->--winzgroza1
-dostęp--<->--eth1
              eth0-----<->--winzgroza2

Opis:
- Chodzi o to aby udostępnić net dla winzgroza1 i winzgroza2
- w debianie są 3 interfejsy sieciowe:
eth1 z IP(10.10.16.19) zawsze otrzymuje taki IP z DHPC,ale narazie wpisany statycznie. maska dla eth1 to 255.255.255.0 a gw 10.10.16.1, a DNS'y wpisane w resolw.conf
eth2 - łączący z winzgroza1, oraz eth0 łączący z winzgroza2
- Na debianie docelowo będzie jeszcze Samba , aby winzgrozy mogły mieć do siebie dostęp i wspóldzielić drukarkę.
Problem:
Nie mogę sobie poradzić z regułami iptables - u siebie mam to zrobione, ale udostępniam neta tylko dla jednej winzgrozy, a chcę to zrobic u kumpla gdzi e wygląda to tak jak na rys i nawet nie działaja mi reguły które mam u siebie gdy chcę udostępnić neta tez tylko dla jednej winzgrozy.
Sieć fizycznie działa, bo winzgroza1 pinguje eth2, a winzgroza2 pinguje eth0, ale obie winzgrozy juz nie pigują eth1. Natomiast debian poprzez eth1 pinguje www.wp.pl
Chodzi tez o to żeby z lewej strony sieci widoczny był tylko interfejs dostępowy eth1 bo ponoć zabronione jest w całej sieci dzielenie łącza, a pakiety przydzielane są dla odopwiednich mac-ów, w tym przypadku zarejestrowany mac ma interfejs eth1.

Pytanie: Jakią najlepiej maske podsieci i jakie IP'ki ustawić dla eth2 i eht0 ?
Czy ktos może mi pomóc sformułowac regółki iptables tak aby winzgrozy miały dostęp do internetu i do siebie nawzajem, a od strony dostępowej ma być tylko widoczny interfejs eth1 ?

BiExi · 2004-12-05 13:30:17

A wiec co do zabespieczen sieci sprawa ma sie tak ze wszystko zalezy od admina, mianowicie issstnieja sposoby wykrycia ile stanowsik korzysta z kompa za firewallem.... ale mneeijsza z tym zakladam ze

widna1 ma ip 10.10.11.2
widna2 ma ip 10.10.12.2

a wiec regulki firewalll'a ,pgly by wygladac nasteeepujaco

Kod:

# wlaczenie forwardowania w kernelu
echo 1 > /proc/sys/net/ipv4/ip_forward
# czyszczenie poprzednich regul
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F
# ustawienie polityki
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

#polaczenia nawiazane
iptables -A INPUT -p tcp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A FORWARD -p tcp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A OUTPUT -p tcp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A INPUT -p udp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A FORWARD -p udp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A OUTPUT -p udp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A INPUT -p icmp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A FORWARD -p icmp -j ACCEPT -m state --state ESTABLISHED,RELATED";
iptables -A OUTPUT -p icmp -j ACCEPT -m state --state ESTABLISHED,RELATED";

# net dla windy 1
iptables -t nat -A POSTROUTING -s 10.10.11.2 -j MASQUERADE
iptables -A INPUT -s 10.10.11.2 -j ACCEPT
iptables -A FORWARD -s 10.10.11.2 -j ACCEPT

# net dla windy 2
iptables -t nat -A POSTROUTING -s 10.10.12.2 -j MASQUERADE
iptables -A INPUT -s 10.10.12.2 -j ACCEPT
iptables -A FORWARD -s 10.10.12.2 -j ACCEPT

# polaczenia miedzy kompami w windzie, dla samby

iptables -A INPUT -s 10.10.12.2 -d 10.10.11.2 -j ACCEPT
iptables -A INPUT -d 10.10.12.2 -s 10.10.11.2 -j ACCEPT
iptables -A OUTPUT -s 10.10.12.2 -d 10.10.11.2 -j ACCEPT
iptables -A OUTPUT -d 10.10.12.2 -s 10.10.11.2 -j ACCEPT
iptables -A FORWARD -s 10.10.12.2 -d 10.10.11.2 -j ACCEPT
iptables -A FORWARD -d 10.10.12.2 -s 10.10.11.2 -j ACCEPT

dodatkowo musisz odpowiedni skonfigurwac sambe a mianowicie wlaczyc w niej server wins, i ustawic IP komputerow na windowsie ustawic im winsy ip takie samo jak bramka

oress · 2004-12-05 13:30:22

Myśle że wiem o co chodzi - jest zabezpieczenie poprzez sprawdzanie ttl'a pakietów i jak wychodzi jakiś zza maskarady to się zmienia (zmniejsza o 1) -
Pytanie : Czy ktoś wie jak w windzie zmienić ttl'a ?
Wydaje mi się że jak zwiększę ttl'a w kompach z windą (np z 64 na 65) to po przejściu przez pierwasza bramke zostanie on zmniejszony o 1 i dalej bedzie przechodził tak jakby wychodził z interfejsu z zarejestrowanym mac-iem czyli z takim samym ttl'em jakie miały by pakiety wychodzące z zarejestrowanego mac-a. Jak myślicie ?

oress · 2004-12-05 13:50:05

Hehe, znalazłem : http://www.grzegorz.net/articles/index.php?id=xpttl - zmaina Time To Life (TTL) - teraz tylko zostaje to przetestowac
dzięki BiExi

oress · 2004-12-05 13:53:34

Hehe, znalazłem : http://www.grzegorz.net/articles/index.php?id=xpttl - zmaina Time To Life (TTL) - teraz tylko zostaje to przetestowac
dzięki BiExi

Forum Debian Users Gang

Ogłoszenie

#1 2004-12-04 16:11:59

oress - Użytkownik

iptables - maskowanie - pogmatwanie :/

Kod:

#2 2004-12-05 13:30:17

BiExi - matka przelozona

Re: iptables - maskowanie - pogmatwanie :/

Kod:

#3 2004-12-05 13:30:22

oress - Użytkownik

Re: iptables - maskowanie - pogmatwanie :/

#4 2004-12-05 13:50:05

oress - Użytkownik

Re: iptables - maskowanie - pogmatwanie :/

#5 2004-12-05 13:53:34

oress - Użytkownik

Re: iptables - maskowanie - pogmatwanie :/

Stopka forum