võrgu jägamine läbi linuxi kasti

[kaspara]

Tervist,
Selline probleem siis ,et oleks vaja jooksutada võrku läbi ühe linuxi masina kust juhe läheb switchi ja sealt edasi on kuskil 50 arvutit. Olen proovinud ubuntuga sain isegi dnsi ja dhcp liikuma aga NATi ei saanud tööle kõik õpetused mis ma leidnud olen on aastast 2005 ja osad asjad ei toimi enam, ehk kellegil on mingi hea õpetus link anda või saaks lihtsalt msni või skype teel natuke juhendada.
Distro pole oluline seda annab alati muuta.
Tänud.

[bobc]

Staatiline IP

Kood: Vali kõik

iptables -t nat -A POSTROUTING -o ppp0 -j SNAT --to IP.IP.IP.IP

Staatiline Dynaamiline IP

Kood: Vali kõik

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Luba liigutada välisvõrgust (internetist) seotud pakette sisevõrgu masinale:
iptables -A FORWARD -i ppp0 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

Luba sisevõrgust liiklust läbi välisvõrgu:
iptables -A FORWARD -i eth0 -o ppp0 -j ACCEPT

Oletan, et su distrol on FORWARD vaikimisi DROP
iptables -P FORWARD DROP

Luba pakettide edastamine:
echo 1 > /proc/sys/net/ipv4/ip_forward !!!

ppp0 -- inetadapter
eth0 -- sisevõrguadapter mille otsas siis need 50 teist raali.

Teiste 50 raali (gateway IP) peab olema siis eth0 IP, ja asuma samas võrgus ka .

Muidu 2005 a. howto peaks ideaalselt toimima.

[i0]

Teeks ikka korralikult.
Muidu jäävad osad featured välja, nagu ftp ja gre connection tracking jne.
Kõige lihtsam oleks vast kasutada miskit helper programmi.
Näiteks shorewall.
Kui interfaced, zoned ja policyd on paigas siis pole muud vaja kui masq faili rida:
eth0 192.168.1.0/24

rules faili siis vajalik panna dns ja dhcp serveri ligipääsu luba.

[kaspara]

Sai siis nii proovitud nagu bobc kribas.

ppp0 on minul eth1 ehk siis see kaart millest internet sisse tuleb.
eth0 on mul see kaart kus peaks internet välja minema.
Tegin värske ubuntu 10.04 installi hetkel sudo apt-get update ja dist-upgrade.

commandid panin siis sisse nii naguma aru sain

iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 192.168.14.1
iptables -A FORWARD -i eth1 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
iptables -P FORWARD DROP
echo 1 > /proc/sys/net/ipv4/ip_forward

eth1

Kood: Vali kõik

eth1      Link encap:Ethernet  HWaddr 00:60:08:e9:14:c2  
          inet addr:192.168.13.95  Bcast:192.168.13.255  Mask:255.255.255.0
          inet6 addr: fe80::260:8ff:fee9:14c2/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:3990 errors:0 dropped:0 overruns:0 frame:0
          TX packets:237 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:454039 (454.0 KB)  TX bytes:30246 (30.2 KB)
          Interrupt:17 Base address:0xd400 

eth0

Kood: Vali kõik

eth0      Link encap:Ethernet  HWaddr 00:14:2a:f1:eb:f0  
          inet addr:192.168.14.1  Bcast:192.168.14.255  Mask:255.255.255.0
          inet6 addr: fe80::214:2aff:fef1:ebf0/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:116 errors:0 dropped:0 overruns:0 frame:0
          TX packets:62 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:7472 (7.4 KB)  TX bytes:12590 (12.5 KB)
          Interrupt:23 Base address:0x6800 

internet kaob peale esimese rea sisestamist

teisearvuti võrgukaardile millele peaks võrku jagama panin sellised ipd
ip 192.168.14.154
subnetmask 255.255.255.0
default gateway 192.168.14.1
dns ei pannud

[bobc]

eth1 ip on ju 192.168.13.95.

Proovi

Kood: Vali kõik

iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

SNAT IP peaks olema välisvõrgu oma, 192.168.14.1 seda kohe kindlasti pole!
Postita siia veel oma selle raali

Kood: Vali kõik

route -n

shorewall lihtsam tee aga seal pead ka IP enne ikka paika panema
ning sisuliselt toimub asi ikka IPTABLES muutes.

Kas sul teeb interneti ühenduse ruuter?

{WAN} -- ruuter --LinuxBox-- switch --- +50 raali+

[illukas]

Selline asi peaks ära ajama
Muuda IP, eth ja maskid vastavalt oma vajadusele
Teisalt miks sa sinna miskist ruuterit vahele ei istuta lihtsam ja ega see ruuter maksab sandikopikaid tänapäeval?

Kood: Vali kõik

#!/bin/bash
IPT="/sbin/iptables"
INET="192.168.1.0/24"
ONET="90.91.92.93"

#Flush old rules, delete the firewall chain if it exists
$IPT -F
$IPT -F -t nat
$IPT -X firewall

#Set up the firewall chain
$IPT -N firewall
$IPT -A firewall -j LOG --log-level 4 --log-prefix "Firewall:"
$IPT -A firewall -j DROP

#Drop all traffic to be forwarded through the firewall
$IPT -P FORWARD DROP
$IPT -P INPUT DROP


#Allow specific open firewall ports.
$IPT -A INPUT -p tcp --dport 25    -j ACCEPT    #SMTP
$IPT -A INPUT -p tcp --dport 80    -j ACCEPT    #HTTP

#Accept ourselves
$IPT -A INPUT -s 127.0.0.1/32 -d 127.0.0.1/32 -j ACCEPT
$IPT -A INPUT -i lo -j ACCEPT

# Traffic coming from the real world should have real addresses
$IPT -A FORWARD -i eth0 -s 192.168.1.0/24 -j DROP
$IPT -A FORWARD -i eth0 -s 192.168.5.0/24 -j DROP
$IPT -A FORWARD -i eth0 -s 172.16.0.0/12 -j DROP
$IPT -A FORWARD -i eth0 -s 10.0.0.0/8 -j DROP

# Allow connection to the firewall from the internal net
$IPT -A INPUT -i eth1 -s $INET -j ACCEPT

$IPT -A INPUT -p tcp --syn -j firewall
$IPT -A INPUT -p udp -j firewall

# Allow connections through the firewall from the internal net to the Internet#
# and back to the internal net host if the back traffic is recognized
$IPT -A FORWARD -i eth1 -s $INET -j ACCEPT

#mis seest alustatud, tuleb ka tagasi
$IPT -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

# SNAT to get traffic to the net
/sbin/iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to $ONET
echo 1 > /proc/sys/net/ipv4/ip_forward

[kaspara]

Idee on sellest ,et saaks võrgu liiklust jälgida.

[illukas]

Idee on sellest ,et saaks võrgu liiklust jälgida.

siit ka küsimus, etkelle liiklust sa jälgid: esiteks on jälitustegevus ebaseaduslik, teiseks kas ta eetilien on...

[kaspara]

ühiselamu liiklust ja tegevus on lubatud!
ja jälgimise all mõtlen seta et kes striimib ja tõmbab midagi

[Beliskner]

Koolidel (ühiselamutel) üldiselt peaks juhtmete otsas istuma need, kes seda jagada tunnevad.

[illukas]

pole see päris nii, et juhul kui ühiselamus siis on lubatud jälgida, vahet ei ole kus sa asud kas ühiselamus, hotellis kaubanduskeskuses.... Eestis on IGASUGUNE jälitustegevus vastava instantsi loata keelatud...
Ühiselamus jälgimisega võid saada kohtuasja kaela!!!
PS kui sa kavatsed 50 arvutit jälgida lives-s siis unusta ära, need tekitavad sellise koguse eetrimöla, et sa lihtsalt ei jõua seda jälgida...

Teisalt mida seal jälitada on, traficut tuleb shapida ja ongi asi korras

[erku]

Olen hr illukas ühel nõul.
Kodus võid oma pisikestel lastel vastava programmi abil "silma peal hoida", et nad ei pääseks mõningat tüüpi saitide haardesse. Ja seda ka siis, kuniks nood on teismeliseks saanud. Sealt üle läheb juba kohe "sõjaks"

Tõmbab ? Ma ise tõmban video, kui saidi jutust täpselt aru ei saa. Osades valdkondades on see väga levinud; on tekst ja on ka abistavad videod olemas lõikude kohta.
Kuidas sa siis kavatsed teha vahet, mis kes ja kus.

Seleta lahti sõna "striimib" ?

[kaspara]

Ilmselt sai ennast natuke halvasti sõnastatud. Kast on seal vahel bandwidthi jälgimiseks , kasutan selleks http://bandwidthd.sourceforge.net/
.
Eesmärk on siis näha palju mingi ip pealt mingidt trafficut tuleb ja selle järgi saab inimesi korrale kutsuda või internet üldse ära võtta kui 150 inimest hakkavad kõik youtube või torrentit tirima ja interneti kiiruseks on 4mb siis ei sa keegi seal enam midagi teha. Tihti juhtub ka nii ,et kui koolis on mingid tunnid mis vajavad selle interneti kasutust ja ühikas kasutab 95% jõudlusest ära siis võetakse meilt internet kooli serveri poolt ära.
Iga arvuti mis on ühikas peab käsitsi ip panema ja arvuti nimi peab korrektne olema ja selle tabeli abil saab interneti kasutust suhteliselt palju taltsutada.

[illukas]

seda ei tehta päris nii, traffic shaping on selle asja nimi mis sa tahad teha, samuti traffic priority...
Kellaajaliselt määrad ära palju download võib olla, saab kool päeval rahus olla...
Nimi ja ip on jumala suva, selliseid asju määratakse MAC-i kaudu. Samas vastavalt mac-ile jagad ka ip ning nime dhcp serveriga ja ongi asi korras...

[hr.john]

Ilmselt sai ennast natuke halvasti sõnastatud. Kast on seal vahel bandwidthi jälgimiseks , kasutan selleks http://bandwidthd.sourceforge.net/
.
Eesmärk on siis näha palju mingi ip pealt mingidt trafficut tuleb ja selle järgi saab inimesi korrale kutsuda või internet üldse ära võtta kui 150 inimest hakkavad kõik youtube või torrentit tirima ja interneti kiiruseks on 4mb siis ei sa keegi seal enam midagi teha. Tihti juhtub ka nii ,et kui koolis on mingid tunnid mis vajavad selle interneti kasutust ja ühikas kasutab 95% jõudlusest ära siis võetakse meilt internet kooli serveri poolt ära.
Iga arvuti mis on ühikas peab käsitsi ip panema ja arvuti nimi peab korrektne olema ja selle tabeli abil saab interneti kasutust suhteliselt palju taltsutada.

Asja nimi on siis traffic shaper, millega saad kiirust piirata.
Saad teha kellaajalised reeglid jne.
Kasutajatele peab ikkagi DHCPga IPd andma, aga näiteks tneed kes on oma arvuti MAC aadressi teada andnud, nendele antakse natukene suurem kiirus. See on ebanormaalne, et tava kasutaja peab oma masina IPd muutma.


AI, illukas jõudis just ette

Huvitav, mis koolis sa käid, et pead interneti majandama ?

[obundra]

Pane sinna kasti pfSense või m0n0wall jooksma, neil kõik vajalikud featuurid olemas.Pole küll linux vaid FreeBSD, aga vähemalt jääb omal jalgratta leiutamine ära.

[insippo]

kuidas läbi teise masina saada võrku on 1 lihtsamaid lahendusi bridge ja pole vaja miskit ajude ke....i
http://wiki.debian.org/BridgeNetworkConnections

[illukas]

sa ikka lugesid teemat?
bridge-ga on siin küll kõige vähem pistmist