|
TwojePC.pl © 2001 - 2024
|
 |
A R C H I W A L N A W I A D O M O Ś Ć |
 |
| |
|
linux - boje nowicjusza z udostepnianiem netu na 2 sieciowki:/ , WooKy 20/11/05 12:54
Witam,
Jako, ze ostatnio staram zmusic sie do nauki czegos nowego, rzucilem sie po raz kolejny (nie wiem juz ktory:P) na linuxa i ku mojemu zaskoczeniu dystrybucje dokonaly postepu i calkiem przyjemnie mi sie bada SUSE 10 :) Wszystko ladnie dziala tylko mam jeden problem i nie wiem jak sie za niego zabrac:/
Sytuacja sprzetowa nastepujaca - neo do kompa po usb i dalej dwie karty sieciowe jedna zwykla po skretce do drugiego kompa, druga wifi ad-hoc na laptopa. W windowsie po prostu robie mostek sieciowy i na niego udostepniam net.
Jak sie za to zabrac w linuxie? Rzucilem posta w rozne linuxowe miejsca ale nikt nie umie mi poradzic:/ Moze jakis guru z tpc mi wskaze droge^^. Z udostepnieniem na jedna sieciowke nie ma problemow, wydaje mi sie ze na druga karte beda to odpowiednie regulki w iptables ale nie moge znalezc w googlach przykladu - a szczerze mowiac zielony jestem w tym temacie :)
Pzdrbitnoi.se - ja bym zrobił tak , Glock19 20/11/05 13:17
*przypisał sieciówkom stałe IP
jednej 192.168.0.1
drugiej 192168.1.1
*stworzył plik rc.mask
#! /bin/sh
#zaladowanie modulow NAT
/sbin/modprobe ip_tables
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
echo "Zaladowanie modulow NAT..."
#---------------------------------------------------------------------------------
#zezwol na forwardowanie pakietow
echo 1 > /proc/sys/net/ipv4/ip_forward
echo "Zezwolilem na fowardowanie pakietow..."
#---------------------------------------------------------------------------------
#czyszczenie regolek
iptables -F
iptables -F -t nat
iptables -t nat -F POSTROUTING
iptables -t nat -F PREROUTING
iptables -F INPUT
iptables -F FORWARD
iptables -F OUTPUT
echo "iptables czyste..."
#---------------------------------------------------------------------------------
# Domyslnie nie przepuszczamy nic
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
echo "Zblokowane Wszystko..."
#---------------------------------------------------------------------------------
#EDYCJA INTERFACE SIECIOWE
ZEW_ETH=ppp0
LOCAL_ETH1=eth0
LOCAL_ETH2=eth1
echo "Okreslilem Interface siecowe."
#---------------------------------------------------------------------------------
#Okreslenie numeru IP
IP_ZEW=`ifconfig ${ZEW_ETH} | grep inet | cut -d ':' -f2 | cut -d ' ' -f1`
echo "Okreslilem numer IP:$IP_ZEW"
#---------------------------------------------------------------------------------
#uruchomienie NAT
echo "Uruchamiam NAT i maskarade..."
#SZCZEGOLOWY NAT
HOST1=192.168.0.2
HOST2=192.168.1.2
#iptables -t nat -I POSTROUTING -s $HOST1 -j SNAT --to-source $IP_ZEW
echo "NAT odpalony..."
#---------------------------------------------------------------------------------
# Interfejs lokalny ma specjalne prawa
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A FORWARD -o lo -j ACCEPT
#---------------------------------------------------------------------------------
# Wpuszczamy wszystko z sieci lokalnej i wypuszczamy
# wszystko na nia. Nie nalezy dodawac tutaj analogicznej
# regulki dla FORWARD, to zalatwi za nas modul state
iptables -A INPUT -i $LOCAL_ETH -j ACCEPT
iptables -A OUTPUT -o $LOCAL_ETH -j ACCEPT
iptables -A FORWARD -o $LOCAL_ETH -j ACCEPT
#---------------------------------------------------------------------------------
# Odrzucamy z komunikatem ICMP Port Unreachable polaczenia
# na IDENT oraz SOCKS (czesto sprawdzane przez serwery IRC)
iptables -A INPUT -p tcp --dst 0/0 --dport 113 -j REJECT --reject-with icmp-port-unreachable
iptables -A INPUT -p tcp --dst 0/0 --dport 1080 -j REJECT --reject-with icmp-port-unreachable
#---------------------------------------------------------------------------------
# Akceptujemy pakiety ICMP Echo (ping) wchodzace i wychodzace
# Akceptacja odpowiedzi jest realizowana przez modul state RELATED
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A FORWARD -p icmp --icmp-type echo-request -j ACCEPT
echo "Zakceptowalem pingi..."
#---------------------------------------------------------------------------------
# Zezwalamy na wszystko co odbywa sie w ramach juz dozwolonych
# polaczen.
iptables -A INPUT -p tcp -j ACCEPT -m state --state ESTABLISHED
iptables -A INPUT -p udp -j ACCEPT -m state --state ESTABLISHED
iptables -A INPUT -p icmp -j ACCEPT -m state --state ESTABLISHED
iptables -A INPUT -p icmp -j ACCEPT -m state --state RELATED
iptables -A FORWARD -p tcp -j ACCEPT -m state --state ESTABLISHED
iptables -A FORWARD -p tcp -j ACCEPT -m state --state RELATED
iptables -A FORWARD -p udp -j ACCEPT -m state --state ESTABLISHED
iptables -A FORWARD -p icmp -j ACCEPT -m state --state ESTABLISHED
iptables -A FORWARD -p icmp -j ACCEPT -m state --state RELATED
iptables -A OUTPUT -p tcp -j ACCEPT -m state --state ESTABLISHED
iptables -A OUTPUT -p tcp -j ACCEPT -m state --state RELATED
iptables -A OUTPUT -p udp -j ACCEPT -m state --state ESTABLISHED
iptables -A OUTPUT -p icmp -j ACCEPT -m state --state ESTABLISHED
iptables -A OUTPUT -p icmp -j ACCEPT -m state --state RELATED
echo "Zezwolilem na polaczenia juz dozwolone..."
#---------------------------------------------------------------------------------
# Indywidualne regulki akceptujace okreslone porty lub serwery
# Zalecana jest jak najwieksza szczegolowosc tych regulek,
# w razie problemow nalezy posilkowac sie regulkami LOG
#podzial na czesci uslug TCP musialem wprowadzic z powodu nalozenia limitow portow
#podczas jednego wywolania iptables.
echo "Uruchamiam uslugi TCP,UDP"
# Uslugi TCP, dozwolone-czesc 1sza.
# 80&8080&8000-(WWW),21&20-(FTP),25-(SMTP),119-(news),53-(DNS),110-(pop3)
# 8888-(Napster),81&443(HTTPS),67-(inicjacja udp),
TCP_OUT_ALLOW=80,8080,21,20,25,119,53,8888,110,81,443,8000,67,48750
# Uslugi UDP: 123-(NTP),80&8080&8000-(WWW),21&20-(FTP),25-(SMTP),119-(news),53-(DNS),110-(pop3)
# 8888-(Napster),81&443(HTTPS),# 67-(inicjacja udp),
UDP_OUT_ALLOW=123,21,20,25,119,53,110,8888,81,443,8000,67,48750
iptables -A INPUT -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $TCP_OUT_ALLOW
iptables -A INPUT -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $UDP_OUT_ALLOW
iptables -A OUTPUT -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $TCP_OUT_ALLOW
iptables -A OUTPUT -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $UDP_OUT_ALLOW
iptables -A FORWARD -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $TCP_OUT_ALLOW
iptables -A FORWARD -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $UDP_OUT_ALLOW
echo "Uruchomilem uslugi dzialajce na portach[TCP:$TCP_OUT_ALLOW,UDP:$UDP_OUT_ALLOW]..."
#%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
# Uslugi TCP, dozwolone-czesc 2ga.
# 10000-(Webmin)
TCP_OUT_ALLOW1=10000,1805,6600,3306
# Uslugi UDP:
# 10000-(Webmin)
UDP_OUT_ALLOW1=10000,1805,6600,3306
iptables -A INPUT -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $TCP_OUT_ALLOW1
iptables -A INPUT -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $UDP_OUT_ALLOW1
iptables -A OUTPUT -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $TCP_OUT_ALLOW1
iptables -A OUTPUT -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $UDP_OUT_ALLOW1
iptables -A FORWARD -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $TCP_OUT_ALLOW1
iptables -A FORWARD -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $UDP_OUT_ALLOW1
echo "Uruchomilem uslugi dzialajce na portach[TCP:$TCP_OUT_ALLOW1,UDP:$UDP_OUT_ALLOW1]..."
#---------------------------------------------------------------------------------
# Uslugi TCP P2P:
# 2710,6881-6889,6969,3434,6767,3535-(BT) 4662-(EMULE)
TCP_OUT_P2P=2710,6881,6882,5901,5801,4662,6969,6767,3535,4661,6500,2710,3389,37
# Uslugi UDP P2P:
# 2710-(BT TRACKER), 4672-(EMULE)
UDP_OUT_P2P=2710,4672,6881,6882,5901,5801,6969,6767,3535,4661,6500,3389
iptables -A INPUT -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $TCP_OUT_P2P
iptables -A INPUT -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $UDP_OUT_P2P
iptables -A OUTPUT -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $TCP_OUT_P2P
iptables -A OUTPUT -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $UDP_OUT_P2P
iptables -A FORWARD -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $TCP_OUT_P2P
iptables -A FORWARD -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $UDP_OUT_P2P
# Uslugi TCP P2P_2:
# trackery
TCP_OUT_P2P1=3232,3434
# Uslugi UDP P2P_2:
# trackery
UDP_OUT_P2P1=3232,3434
iptables -A INPUT -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $TCP_OUT_P2P1
iptables -A INPUT -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $UDP_OUT_P2P1
iptables -A OUTPUT -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $TCP_OUT_P2P1
iptables -A OUTPUT -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $UDP_OUT_P2P1
iptables -A FORWARD -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $TCP_OUT_P2P1
iptables -A FORWARD -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $UDP_OUT_P2P1
#Tunelowanie HST KTÓRY MOZE MIEC P2P
IP_P2P=192.168.0.2
################################EMULE
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 4661 -j DNAT --to $IP_P2P:4661
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 4662 -j DNAT --to $IP_P2P:4662
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 4672 -j DNAT --to $IP_P2P:4672
###############################TDT
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 3389 -j DNAT --to $IP_P2P:3389
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 3389 -j DNAT --to $IP_P2P:3389
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 3232 -j DNAT --to $IP_P2P:3232
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 3232 -j DNAT --to $IP_P2P:3232
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 6500 -j DNAT --to $IP_P2P:6500
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 6500 -j DNAT --to $IP_P2P:6500
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 2710 -j DNAT --to $IP_P2P:2710
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 2710 -j DNAT --to $IP_P2P:2710
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 3535 -j DNAT --to $IP_P2P:3535
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 3535 -j DNAT --to $IP_P2P:3535
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 6881 -j DNAT --to $IP_P2P:6881
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 6881 -j DNAT --to $IP_P2P:6881
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 9000 -j DNAT --to $IP_P2P:9000
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 9000 -j DNAT --to $IP_P2P:9000
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 3434 -j DNAT --to $IP_P2P:3434
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 3434 -j DNAT --to $IP_P2P:3434
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 6969 -j DNAT --to $IP_P2P:6969
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 6969 -j DNAT --to $IP_P2P:6969
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 6767 -j DNAT --to $IP_P2P:6767
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 6767 -j DNAT --to $IP_P2P:6767
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 5900 -j DNAT --to $IP_P2P:5900
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 5900 -j DNAT --to $IP_P2P:5900
iptables -t nat -I PREROUTING -p tcp -d $IP_ZEW --dport 6800 -j DNAT --to $IP_P2P:6800
iptables -t nat -I PREROUTING -p udp -d $IP_ZEW --dport 6800 -j DNAT --to $IP_P2P:6800
echo "Uruchomilem uslugi dzialajce na portach P2P [TCP:$TCP_OUT_P2P,UDP:$UDP_OUT_P2P]..."
#---------------------------------------------------------------------------------
#Porty otwarte tylko po stronie lokalnej[samba:137,139 swat:901]
SAMBA_ALLOW=138,137,139,901,445
iptables -A INPUT -i $LOCAL_ETH -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $SAMBA_ALLOW
iptables -A INPUT -i $LOCAL_ETH -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $SAMBA_ALLOW
iptables -A OUTPUT -o $LOCAL_ETH -p tcp -j ACCEPT -m state --state NEW -m multiport --destination-port $SAMBA_ALLOW
iptables -A OUTPUT -o $LOCAL_ETH -p udp -j ACCEPT -m state --state NEW -m multiport --destination-port $SAMBA_ALLOW
echo "Porty samby [$SAMBA_ALLOW]zostaly otwarte na ineterfejsie lokalnym"
#---------------------------------------------------------------------------------
#iptables -t nat -A PREROUTING -i $LOCAL_ETH -p tcp --dport 80 -j REDIRECT --to-port 8080
#iptables -t nat -A PREROUTING -i $LOCAL_ETH -p tcp --dport 1550 -j REDIRECT --to-port 8080
#iptables -t nat -A PREROUTING -i $LOCAL_ETH -p tcp --dport 8074 -j REDIRECT --to-port 8080
#echo "Odpalilem squida"
#zezwalam na polaczenie ssh oraz telnet TYLKO z mojego "bezpiecznego" hosta
SAFE_HOST1=82.160.76.220
iptables -A INPUT -s $SAFE_HOST1 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -s $SAFE_HOST1 -p tcp --dport 23 -j ACCEPT
echo "Zezwalam na polaczenia ssh oraz Telnet z bezpiecznego hosta..."
##---------------------------------------------------------------------------------
#Zablokowanie pakietów z ustawionym bitem SYN[z wyj±tkiem naszego zaufanego hosta]
#iptables -A INPUT -p tcp -s ! $SAFE_HOST --syn -j DROP
#echo "Zablokowalem pakiety z bitem SYN..."
#---------------------------------------------------------------------------------
#Logujemy pakiety ktore nie zostaly zaakceptowane przez
#zadna z powyzszych regulek. Zostana one wyblokowane dzieki
#polityce DROP we wszystkich tablicach
#iptables -A INPUT -j LOG -m limit --limit 10/hour
#iptables -A OUTPUT -j LOG -m limit --limit 10/hour
#iptables -A FORWARD -j LOG -m limit --limit 10/hour
#echo "Loguje pakiety odrzucone - zblokowane w polityce DROP"
#---------------------------------------------------------------------------------
echo "ALL DONE"
dal maskarade szczgółową dla kazdego z hostów z sieci lokalnej
iptables -t nat -I POSTROUTING -s 192.168.1.2 -j SNAT --to-source $IP_ZEW- dzieki bardzo , WooKy 20/11/05 13:33
przebadam to wieczorem i jak bede mial problem to uderze do Ciebie na gg :)bitnoi.se
- moje GG , Glock19 20/11/05 13:17
to 1906628
wal smiało.
|
|
|
|
 |
All rights reserved ® Copyright and Design 2001-2024, TwojePC.PL |
 |
|
|
|
