[Sysadmins] DSL + IpTables + Squid
Garafiev Aidar
=?iso-8859-1?q?garafiev_=CE=C1_nzh=2Eieml=2Eru?=
Чт Янв 29 05:16:41 UTC 2009
MisHel64 пишет:
> Здравствуйте, Garafiev.
>
> Вы писали 28 января 2009 г., 8:03:14:
>
>
>> Меня интересует немного другое - технические тонкости настройки данной
>> системы, поскольку опыта в настройке Iptables и Squid'а практически
>> никакого.
>>
>
> Судя по твоему письму у тебя вообще опыта в администрировании серверов
> никакого, что еще хуже нет еще и теоретической базы. И что бы ответить
> на твои вопросы придется читать тебе много часовую лекцию.
>
>
>> 1. Модем настроен роутером и адрес Ethernet интерфейса "серый" -
>> 192.168.101.254.
>> 2. На сервере, который является шлюзом и будет резать всякую гадость,
>> две сетевые карты (посредством одной он соединяется с модемом: адрес
>> интерфейса 192.168.101.253, а посресдством второй: адрес интефейса
>> 192.168.1.1 - соединяется с локальной сетью, интернет контент для
>> которой будет фильтроваться)
>>
>
> Для начала, я бы тебе посоветовал не использовать для своих сетей
> адреса из 192.168.0.0/24 и 192.168.1.0/24. Долгое сидение на ADSL
> своего провайдера четко навели меня на эту мысль.
>
> Если у тебя правильный провайдер, и PPPoE, то адреса DNS модем должен
> получать автоматом. Нормальный модем умеет их использовать и
> становится DNS сервером. Имеено модем будет DNS сервером для твоего
> сервера. То есть, адреса DNS серверов провайдера прописываются в
> модеме автоматом. Если этого не происходит, то только тогда в вручную.
>
> Теперь ты должен поднять DNS сервер у себя на сервере. Для начала
> простой кэширующий. Очень желательное, но не очень обязательное
> условие. Из-за криворуких админов моего провайдера, лично мне пришлось
> настраивать полноценный DNS сервер, что бы не использовать DNS адреса
> провайдера. Для поднятия собственного полноценного DNS есть масса
> других причин. При наличие локальной сети очень желательно поднять у
> себя DHCP сервер. Если в локальной сети используется ОС Windows и нет
> сервера на базе Windows, то очень желательно поднять у себя еще и WINS
> сервер (Читай про самбу), в DNS прописать прямые и обратные зоны (т.е.
> простым кэширующим сервером DNS уже не отделаешься), и заставить DHCP
> сервер обновлять эти зоны в DNS. Это все очень желательные, но
> необязательные условия.
>
>
>> Указывал через route маршруты до ДНС провайдера через модем - не
>> помогло, работают только ДНС запросы :(((
>>
>
> Что бы что-то трафик из локальной сети с серыми ИП мог уйти за пределы
> этой локальной сети, на сервере который является шлюзом нужно
> настроить NAT. Читаем про iptables до просветления. Если маршрутизация
> настроена правильно, но ничего добавлять в таблицы роутинга ненужно.
> Настраиваем, пробуем пинговать внешние ресурсы, пингуется, значит все
> здорово.
>
> Теперь нужно запретить весь трафик из локальной сети наружу. Этим ты
> запретишь и доступ к внешним WEB серверам. Настраиваем, пробуем
> пинговать внешние ресурсы, НЕ пингуется, значит все здорово.
>
> Теперь думаем, что можно пускать наружу. Переписываем все программное
> обеспечение используемое в локальной сети которое не умеет, или не
> должно ходить через прокси, но должно ходить наружу. К таким
> программам относятся почтовые клиенты, аска (по желанию), клиенты DNS
> (по настройкам сервера). Смотрим какие протоколы и какие порты
> используют серверы этих программ, и открываем их. За одно открываем
> ICMP протокол. Теперь пробуем пинговать внешние ресурсы, и открыть WEB
> страничку. Пинги опять идут, но странички открываются. Значит все
> здорово.
>
> Только теперь переходим к настройкам сквида. Сначала настраиваем его,
> потом прикручиваем авторизацию, что бы знать кто и куда ходит. Потом
> прикручиваем стоп лист.
>
> Статистика посещений пишется в лог, но читать ее там, это мазохизм.
> Прикручиваем анализатор трафика. Тебе уже советовали ЛичСквид. Я лично
> его использую, ставится из бранча и работает при минимальной доводке.
>
> Что бы увидеть эту статистику, тебе придется поднимать у себя веб
> сервер. Это уже отдельная песня. И в первый раз аппач ты будишь
> настраивать очень долго. Но дело полезное.
>
>
>> Заранее благодарен за помощь!!!
>>
>
> И прежде чем делать все это, я очень рекомендую почитать об общих
> принципах организации сетей, маршрутизации и прочем. Если тебе нужно
> все это сделать быстро, то лучше найми кого-нибудь. С твоим уровнем
> знаний за пару недель не уложишься.
>
>
Согласен с тем, что опыта у меня довольно-таки немного.
А вот нанимать кого-то для этого дела.... С этим я не согласен,
поскольку это убдет просто уход от проблемы а не её решение. Зачем же
тогда я устраивался на такую должность?!
Подробная информация о списке рассылки Sysadmins