FreeBSD - Интернет шлюз на FreeBSD.

kyzmi4 · Сообщение **kyzmi4** » 22 мар 2011, 10:48

Здравствуйте уважаемые форумчанине и форумчанки.

История не нова, но всеже.

Завили к нам в здание 10 мбитный интернет. Сразу возник вопрос это раздать, поделить и себя не обделенным оставить. Решение данного вопроса я возложил на себя. В копилке навыков имеется представление о построении сетей, настройки. Также имеется в копилке настройка файлового сервера на FreeBSD с интеграцией с AD. Сейчас есть интернет пропускной способностью 2 мбит, шлюз на слаке и полная анархия, кто торренты качает, кто Youtube, пока лечится только arp -s ip fake_mac. Дабы чувствовать себя в этой теме как рыба в воде, мною был прочитан вдоль и поперек лисяра

http://www.lissyara.su

, handbook и почитанны местные темы. И прежде чем приступать к практическим действиям, хочу спросить у вас, правильно ли я все понял и вник в суть:

Это как я ее назвал схематическая схема.

Как это должно работать:

1) Есть отдел занимающийся оформлением документов, им кроме как 80, 8080,443 и почтовых портов ничего не надо. (Я так сказал

) Все они дружно ходят через прозрачный прокси на сквиде, а почта заворачивает на НАТ. Все остальные порты, весело и непринужденно режутся, кромсаются фаерволом. И мало того будет стоять ограничение по ширине канала, отдадим им 2 мбита.

2) Есть Very Important Person, это начальство и другие. Они создают на своем компе VPN подключение через стандартные функции Окон. И качают, и делают что хотят. Их всех заворачивает на НАТ.

Что будет использоватся:

DCHP - isc-dhcp3-relay Для раздачи IP

DNS - BIND Кеширующий

SQUID - Собственно сама прокси

Rejik - Будем резать, будем бить, в интернет сюда ходить, а сюда не ходить.

SAMS - Посмотреть, другим показать, кто куда лазиит.

Apache, MySQL, PHP 5 - для поддержания веб морды SQUID´a

NAT - еще не определился с программой, изучаю этот вопрос.

IPFW - фаервол, отворот-поворот.

VPN - по протоколу PPTP, программы PoPToP или mpd.

Серия вопросов:

1) Помогите определится с NAT.

2) Нужен ли кеширющий ДНС, если есть прокси?

3) При VPN подключении к серверу создается еще один интерфейс, как с этим справится фаер или же в нем можно будет указать список интерфейсов, а не по одному прописывать. (Вопросом еще не занимался, не гуглил)

4) На Сквиде морда Самс, а на Нате как вести статистику?

К процессу преступлю только недельки через две, не хочу прыгать сразу в прорубь.

В процессе, сборки, установки, настройки буду отписываться из чего потом собирем RTFM.

Вложения: [Расширение jpeg было запрещено, вложение больше недоступно.]

ashota · Сообщение **ashota** » 22 мар 2011, 10:48

У меня все точно так же сделано, кроме VPN.

Цитата kyzmi4:

Помогите определится с NAT.

FreeBSD - Интернет шлюз на FreeBSD.

Для NAT использую ipfw

Цитата kyzmi4:

Нужен ли кеширющий ДНС, если есть прокси?

FreeBSD - Интернет шлюз на FreeBSD.

Если все только и лезут в инет через прокси, тогда и в принципе не нужен. Но у тебя есть DHCP. А в связке в DDNC очень даже приятная вещь!

kyzmi4 · Сообщение **kyzmi4** » 22 мар 2011, 10:48

Да, есть DHCP. Щас пытаюсь настроить DDNS. Обложен весь книжками и сотни открытых вкладок. Второй день бьюсь, но никак =\ В книжке написанно настраиваешь ДНС, потом типа делаешь nslookup ya.ru на машине с FreeBSD и приходит ответ Server: my_domain; Address: 127.0.0.1#53; Non-authoritative answer: Other servers. Ну вот не хочет.

Кстати веду блог по моим мучениям

http://kyzmi4-freebsd.livejournal.com/

kyzmi4 · Сообщение **kyzmi4** » 25 мар 2011, 09:52

По пунктам

Цитата kyzmi4:

1) Помогите определится с NAT.

2) Нужен ли кеширющий ДНС, если есть прокси?

3) При VPN подключении к серверу создается еще один интерфейс, как с этим справится фаер или же в нем можно будет указать список интерфейсов, а не по одному прописывать. (Вопросом еще не занимался, не гуглил)

4) На Сквиде морда Самс, а на Нате как вести статистику?

FreeBSD - Интернет шлюз на FreeBSD.

1 - В связке ipfw+natd все работает отлично. Будете использовать pf - у него есть своя команда маскарадинга прямо внутри фаерволла (не интересовался, ибо классический вариант устраивает на 100%)

2 - я поставил pdnsd (есть в портах) - маленький, шустрый, без простыней конфигов. Работает отлично.

3 - VPN не использую, использую статику, т.к. так рапределять кто ВИП, а кто негр - проще. Раделение доступа к ресурсам через фаер или SQUID, причем в последнем можно даже по расписанию (типа всем везде можно в воскресенье и в субботу после 5 вечера, удобно)

4 - зачем? на НАТе? статистику? Хотите знать всё - tcpdump дампите и смотрите, смотрите, смотрите... очень долго смотрите ...

dmitryst · Сообщение **dmitryst** » 29 мар 2011, 18:03

tcpdump, это да хорошо. Но не получается у моего мозга обрабатывать такое количество информации бегущей строкой

(кто то наверно скажет про опцию -w tcpdump).

Всетаки не могу немного разобратся с DNS.

По моему мнению что я хочу пока добится:

1.) 127.0.0.1 переводится в inet.fms

2.) inet.fms переводится в 127.0.0.1

Подключаю виндовую машину получаю IP 192.168.1.10, делаю nslookup 127.0.0.1 192.168.1.1 получаю:

*** Can´t find server name for address 192.168.1.1: Non-existent domain # Оно и понятно, 192.168.1.1 я не настраивал еще зону

Server: UnKnown

Address: 192.168.1.1

Name: inet.fms

Address: 127.0.0.1

Но вот когда я делаю ping inet.fms, не удалось обнаружить узел, хотя поидеи должен меня пропинговать.

Мои догадки это то что надо настоить zone inet.fms.

Конфиги:

named.conf

PHP код:

Код: Выделить всё

options {
    directory    "/etc/namedb/working";
    pid-file    "/var/run/named/pid";
    dump-file    "/var/dump/named_dump.db";
    statistics-file    "/var/stats/named.stats";
    listen-on { 127.0.0.1; 192.168.1.1; }; 
        forward first;
    forwarders {
        21x.45.0.3;
        21x.45.2.5;
        8x.245.145.6;
    };
query-source address * port 59;
};

zone "." {
 type hint;
  file "/etc/namedb/named.root";
   };
zone "0.0.127.in-addr.arpa" {
 type master;
  file "/etc/namedb/master/localhost.rev";
   };
/*
zone "inet.fms" {
 type master;
  file "/etc/namedb/master/inetfms.db";
   };
zone "1.168.192.in-addr.arpa" {
 type master;
  file "/etc/namedb/master/192168.db";
   };
*/

localhost.rev

PHP код:

Код: Выделить всё

$TTL 3600
@ IN SOA inet.fms. root.inet.fms. (
2011032900  ;Serial
3600        ;Refresh
900         ;Retry
3600000     ;Expire
3600 )      ;Minimum
  IN NS inet.fms.
1 IN PTR inet.fms.
inet.fms. IN A 127.0.0.1

rc.conf

PHP код:

Код: Выделить всё

hostname="inet.fms"
keymap="ru.koi8-r.win"
font8x8="koi8-r-8x8"
font8x14="koi8-r-8x14"
font8x16="koi8-r-8x16"
keyrate="fast"
defaultrouter="21x.100.148.53"
sshd_enable="YES"
named_enable="YES"
ifconfig_fxp0="inet 21x.100.148.54  netmask 255.255.255.252"
ifconfig_xl0="inet 192.168.1.1 netmask 255.255.255.0"
dhcpd_enable="YES"
dhcpd_ifaces="xl0"

kyzmi4 · Сообщение **kyzmi4** » 29 мар 2011, 18:03

Цитата kyzmi4:

tcpdump, это да хорошо. Но не получается у моего мозга обрабатывать такое количество информации бегущей строкой (кто то наверно скажет про опцию -w tcpdump).

FreeBSD - Интернет шлюз на FreeBSD.

это был здоровый сарказм

. Ну зачем весь ВЕСЬ траффик, объясните? Для нормальной жизни админа достаточно смотреть логи/статистику SQUID (это http - кто что откуда сколько качал, я пользовался lightsquid), что-нибудь на ftp (topftp или утилиту статистики какую), остальной траффик смотрим iftop-ом или trafshow.

Насчет ДНС - я не понял, вам именно полноценный ДНС нужен? Нужно держать имя для белого IP? Или просто чтобы "всё работало"?

dmitryst · Сообщение **dmitryst** » 30 мар 2011, 11:56

Цитата dmitryst:

Ну зачем весь ВЕСЬ траффик, объясните?

FreeBSD - Интернет шлюз на FreeBSD.

Параноидальный вуеризм

Цитата dmitryst:

Насчет ДНС - я не понял, вам именно полноценный ДНС нужен? Нужно держать имя для белого IP? Или просто чтобы "всё работало"?

FreeBSD - Интернет шлюз на FreeBSD.

Да, полноценный ДНС, точнее ДДНС. Чтобы к имени компа еще прикручивался домен. Имя для белого IP нет (хотяяя, ну это в будующем). С моими конфигами почему не форвардится inet.fms в 127.0.0.1, товарищ телепат?

P.S. Целый день пытался впихнуть в видеорегистратор 1996 года с IDE HDD, жесткий SATA через переходник SATA -> IDE, не прокатило. Так и не занимался ДДНС, догадываюсь что объема прочитанного достаточно для настройки, но вот не хватает малюсенького пинка

С горя заказал себе книгу ¨DNS и BIND¨.

kyzmi4 · Сообщение **kyzmi4** » 30 мар 2011, 11:56

Цитата kyzmi4:

Да, полноценный ДНС, точнее ДДНС.

FreeBSD - Интернет шлюз на FreeBSD.

тут я вам не помощник.

Цитата kyzmi4:

почему не форвардится inet.fms в 127.0.0.1, товарищ телепат?

FreeBSD - Интернет шлюз на FreeBSD.

товарищ коллега, для начала покажите ваш /etc/hosts (вообще, туда-то и надо добавить 127.0.0.1 inet.fms)

Жёсткий оффтоп!

Цитата kyzmi4:

P.S. Целый день пытался впихнуть в видеорегистратор 1996 года с IDE HDD, жесткий SATA через переходник SATA -> IDE, не прокатило.

FreeBSD - Интернет шлюз на FreeBSD.

у нас продается вот такая кака

http://ultra.ge/product_details_eng...._products=3974

. С ней работает почти все, где я ее применял. Там чип JB36х, типа стандартный, видится из биоса и прекрасно загружается. Насчет регистратора не знаю.

dmitryst · Сообщение **dmitryst** » 30 мар 2011, 13:50

Ну вообщем я его победил. Все всем выдается, получается и обновляется.

/etc/hosts

PHP код:

Код: Выделить всё

127.0.0.1 localhost

Волнует меня только то, что команда dig @127.0.0.1 localhost. a не выдает ответа =\

Жёсткий оффтоп!

P.S. Выглядит также переходник, только чип на нем JM20330. Терзают мутные сомнения что диск SATA II, а переходник SATA -> IDE.

kyzmi4 · Сообщение **kyzmi4** » 30 мар 2011, 13:50

Ну вообщем я его победил. Все всем выдается, получается и обновляется.

/etc/hosts

PHP код:

Код: Выделить всё

127.0.0.1 localhost

Волнует меня только то, что команда dig @127.0.0.1 localhost. a не выдает ответа =\

Жёсткий оффтоп!

P.S. Выглядит также переходник, только чип на нем JM20330. Терзают мутные сомнения что диск SATA II, а переходник SATA -> IDE.

FreeBSD - Интернет шлюз на FreeBSD.

FreeBSD - Интернет шлюз на FreeBSD.

Re: FreeBSD - Интернет шлюз на FreeBSD.

Re: FreeBSD - Интернет шлюз на FreeBSD.

Re: FreeBSD - Интернет шлюз на FreeBSD.

Re: FreeBSD - Интернет шлюз на FreeBSD.

Re: FreeBSD - Интернет шлюз на FreeBSD.

Re: FreeBSD - Интернет шлюз на FreeBSD.

Re: FreeBSD - Интернет шлюз на FreeBSD.

Re: FreeBSD - Интернет шлюз на FreeBSD.

Re: FreeBSD - Интернет шлюз на FreeBSD.