Интернет через pptpd

[blackback]

В общем смог поднять vpn с MS компов на сервак (отдельный офис), каждому юзернейму свой ип, все подключаются, все хорошо. Имеют инет через прокси squid с ldap авторизацией. Во внутренней сети впн не требуется соответственно.

Но вот вопрос: как на некоторые из компов внутренней/внешней сети дать прямой доступ в инет? Требуется для программ типа банк-клиент, контур, сбис. Как сделать без перенаправления портов?

[ruslandh]

С помощью правил iptables, используя возможности etcnet

[blackback]

я что-то умучился, не могу разобраться
я так понял что igmpproxy и smcroute мне тоже подойдет, т.к. в принципе не обязательно раздавать инет по pptp, мне пока хватит и нескольких клиентов напрямую выходящих в инет из внутренней сети

Тут еще интересно вот что:
Имеется 3 сетевых интерфейса на сервере:
breth0 - ифейс на DSL модем (192.168.1.2 - назначен вручную)
breth1 - ифейс на бухгалтерию (192.168.2.1 - назначен вручную, адреса клиентов прописывается вручную)
eth2 - ифейс на основную сеть (192.168.0.1-тут работает DHCP и DNS)
ppp1 - ифейс интернета (pppoe, ип динамический!, скоро будет статический)

(squid + ldap) + openfire + samba pdc  -  работает корректно на обоих ифейсах (breth1 и eth2)
Задача в том, что у бухгалтерии свой терминальник на винде есть (под 1с), он же раздает инет через виндовое средство простого прямого доступа без всякого контроля и тд.

Линию DSL на бухгалтерском терминальнике надо отключить и дать некоторым бухгалтерам доступ на linux - сервер через шлюз или vpn-туннель, остальным сквида будет достаточно...

Какие есть варианты, если можно поподробнее расписать, мануалы по iptables покурил, но при попытке редактирования вручную - то ругается на синтаксис, при попытке указания конкретных ифейсов, то просто как будто ничего не происходит и командой route маршруты остаются прежними.

Вот погуглил я и нашел вот это:

Код: [Выделить]

IPTABLES -t nat -A POSTROUTING -o ppp1 -j MASQUERADE
ну и в sysctl должно быть:
net.ipv4.ip_forward = 1
вроде этого должно быть достаточно, но все глухо((

Заранее спасибо!!!

[blackback]

Код: [Выделить]

iptables -F
iptables -P FORWARD ACCEPT
sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth2 -o ppp1 -j ACCEPT
iptables -t nat -A POSTROUTING -o ppp1 -s 192.168.0.19 -j MASQUERADE #тут ип тестируемого компа
iptables -A FORWARD -i ppp1 -o eth2 -j REJECT
iptables -I FORWARD -s 192.168.0.19 -j ACCEPT
service iptables save
service iptables restart
тоже не работает((

[Karlsson]

Ну поехали по порядку.
1) Зачем вам вообще нужны бриджи на интерфейсах?
Почему на двух интерфейсах есть, а на одном нет?
Курить мануалы до полного прояснения вопроса. Я вот точно знаю, что бридж на нулевом интерфейсе вам нафиг не нужен. "Так было изкаопки" это не ответ.

2) Что бы пакетики бегали между интерфейсами, об этом нужно рассказать ядру. Тема затрагивалась минимум в трех ветках в течении последних 5 дней.

3) Мало того, нужно еще рассказать пакетному фильтру, что, откуда и куда должно бегать, а что не должно.

[Karlsson]

iptables -A FORWARD -i eth2 -o ppp1 -j ACCEPT
iptables -A FORWARD -i ppp1 -o eth2 -j REJECT
iptables -I FORWARD -s 192.168.0.19 -j ACCEPT
iptables -t nat -A POSTROUTING -o ppp1 -s 192.168.0.19 -j MASQUERADE #тут ип тестируемого компа
тоже не работает((

И не должно.

[blackback]

И не должно.

Понятно что где-то косячу)) так где?
вот не складывается работа иптаблес системно и четко в голове у меня
тяжело по мануалам учиться)
а где мне прочитать про отключение бриджей еще? спасибо...

[Karlsson]

И не должно.

Понятно что где-то косячу)) так где?

Берете листочек и ручку. Рисуете, как пакеты должны идти внутри вашей системы.
С учетом всех таблиц пакетного фильта. Применяете правила, и думаете.
Вторая ссылка в гугле, вам в помощь.

У вас ровно два косяка кстати.

[ruslandh]

http://www.altlinux.org/Etcnet/firewall

[Karlsson]

Да, схемка там красивая.
Но вот остальное все, новичку боюсь не осилить.
Сам по этой инструкции делал. Мата было очень много, а я далеко не новичек.
И кстати, так и не заработало у меня, по этой инструкции. Хотя может, что-то изменили.

[blackback]

brctl - вот оно, нашел я, бриджи поудалял, нормальные адреса на интерфейсах поставил, но! если перегрузиться, или сделать service network restart - бриджи снова поднимаются. Где мне убрать их запуск? все обрыскал, не могу найти эту фичу искаопки))

http://www.altlinux.org/Etcnet/firewall

а нет того же самого, только в режиме "для чайников"?)

[ruslandh]

Так, наверное, бриджи в настройках etcnet прописаны.

Для чайников - это альтератор (Центр управления системой).

[blackback]

Для чайников - это альтератор (Центр управления системой).

жаль, но свойствами альтератора мне не удалось сквид, PDC и жаббер с лдапом подружить. Также альтератор не умеет добавлять компы в домен, после добавления компов мимо альтератора он перестает создавать пользователей (not free uid available), и пакет alterator-squidmill начинает конкретно глючить (жаль так и не пофиксили).

Так, наверное, бриджи в настройках etcnet прописаны.

Можно чуть подробнее? в /etc/net ничего не нашел ((
А именно — я даже удалял директории (из /etc/net) с именами breth0 и breth1, но они создаются заново(( Я так понял автозапуск мостов прописывается в конфигурационных файлах вышеуказанных директорий, но нет, по ходу где-то валяется скриптик (например в /etc/init.d). Что-связанное с bri имеется в файле /etc/init.d/network, но я в нем не могу разобраться ((

[Skull]

Можно чуть подробнее? в /etc/net ничего не нашел ((
А именно — я даже удалял директории (из /etc/net) с именами breth0 и breth1, но они создаются заново(( Я так понял автозапуск мостов прописывается в конфигурационных файлах вышеуказанных директорий, но нет, по ходу где-то валяется скриптик (например в /etc/init.d). Что-связанное с bri имеется в файле /etc/init.d/network, но я в нем не могу разобраться ((

Посмотрите /etc/libvirt/qemu/networks/default.xml

[blackback]

Посмотрите /etc/libvirt/qemu/networks/default.xml

/etc/libvirt/qemu/networks/default.xml - есть путь, но нет такого файла
/etc/libvirt/qemu/networks/autostart - и тут пусто, просто пусто ((
все строки в конфигурационных файлах, в директории /etc/libvirt/, закомментированы

где еще может быть? если сервер перегрузится или выключится  - все ифейсы снова руками редактировать прийдется))

причем интересно то, что после перезагрузки IP статические и динамические присваиваются интерфейсам eth*, а ифейсы breth* просто создаются, подцепляют к себе eth* и просто висят без присвоенных ипов, а сеть не работает 0_о
удаляю бриджи руками через brctl - все заводится))