Автор Тема: Школьный сервер: Подключение Интернета через модем-роутер (ADSL)  (Прочитано 8484 раз)

Оффлайн aa

  • Участник
  • *
  • Сообщений: 148
Здравствуйте! Давно не обращался за помощью (всё работало), но вот момент настал (хочется большего)
Помогите, пожалуйста или хотя бы направьте куда надо...
Итак, имеется:
1. Школьный сервер 4.1 (работает полгода без проблем как DHCP и Файлообенник) никаких претензий
2. имеется модем D-Link 2500U ADSL работает тоже без проблем особенно после того как мне здесь посоветовали перевести его в режим роутера, что и было сделано.
3. имеется также небольшая сеть ~15 компов
Требуется:
1.осуществить раздачу Инета для всех через Школьный Сервер
2. пока просто раздачу потом видно будет...
Что сделано:
1. Изучил документацию /alt-docs/school_server/ там про прокси один абзац и написано что стоит только указать внешний интерфейс все заработает - не заработало, поэтому обратился за помощью сюда
2. на одной сетевой плате присвоен вручную адрес на второй (внешней) поставил Использовать DHCP
3. Запустил службу squid
ничего не происходит с компов в сети нет выхода в инет (((
спасибо за содействие

Drool

  • Гость
http://old.linux.kiev.ua/~drool/nat_squid.tar.bz2
И поищите по имени этого файла здесь на форуме.

Оффлайн Mikhail

  • Участник
  • *
  • Сообщений: 201
  • Не уверен - не тренди.
Здравствуйте!
Запустив сквид, ты поднял прокси сервер. То есть во всех браузерах в локалке нужно указать работать через этот прокси сервер.
Что бы из локалки появился полноценный выход в инет, нужно копать уже в сторону NAT. (man iptable)
Понравился ответ? Прибавь репутации!

Оффлайн speccyfan

  • Участник
  • *
  • Сообщений: 522
  • CCNA
    • speccyfan (Примеры различных конфигураций сетевых сервисов)
Пара советов,
Если юзеры активные вебсерферы, то даже для 15 компов лучше поднять pppoe соединение на сервере, а модем перевести в режим бриджа. У модема мозг слабоват. Я заметил заметный прирост производительности, когда так сделал, правда юзеров >20 было на тот момент, а канал был 2 мегабита. К тому же все падения/поднимания линка будешь видеть в syslog, не надо будет заморачиваться с snmp-traps и т.п. для диагностики.

Если не нужна авторизация пользователей, то поднимай прозрачный прокси.
Настрой DHCP таким образом, что бы он выдавал всем правильнйы default gateway, т.е. ip твоего сервера. (option routers ip.add.re.ss; в dhcpd.conf)

Подними squid и укажи ему, что он прозрачный
http_port 3128 transparent (в squid.conf)

Включаем ip форвардинг:
net.ipv4.ip_forward = 1
в файле /etc/net/sysctl.conf

Далее можно использовать скрипт Drool'а, а можно оттуда взять только пару правил, вот чем-то таким можно завернуть весть web трафик на твой прокси:
iptables -t nat -A PREROUTING -s 192.168.0.0/24 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:3128
В все остальное надо замаскарадить, и пустить напрямую
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ppp1 -j MASQUERADE
Т.к. мы шас торчим прямо в Инете, то надо немножко прикрыться
iptables -A INPUT -i ppp1 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j REJECT --reject-with icmp-port-unreachable
Ну тут по вкусу, можно сначала что-то открыть наружу конечно.
что бы настройки iptables сохранилось нужно выполнить iptables-save > /etc/sysconfig/iptables
Само собой в squid надо будет настроить delay_pools что бы ограничить качальщиков, да и вообще на шлюзе всегда есть с чем поиграться :-)
« Последнее редактирование: 26.09.2009 10:50:51 от speccyfan »
With best regards, Yury Konovalov aka 2:453/53

Оффлайн Mikhail

  • Участник
  • *
  • Сообщений: 201
  • Не уверен - не тренди.
Если юзеры активные вебсерферы, то даже для 15 компов лучше поднять pppoe соединение на сервере, а модем перевести в режим бриджа.
Согласен. Да же один торрент клиент при множестве закачек кладет модем. Где-то определил, что 64 нити через модем еще можно пробросить, но больше уже не стоит. Да и многие люди называют цифру в 128-200 нитей на модем пределом. Я пробовал несколько самых ходовых модемов. И ли брать циску ОДМную, благо это уже не слишком дорого.

Если не нужна авторизация пользователей, то поднимай прозрачный прокси.
Вот на счет прозрачного прокси, есть очень большие сомнения. Всякие обновлялки, и прочие пакости пытаются лезть и что-то качать. Вот у папы дома, несколько игрушек, и все. Но пока не перекрыл ему свободный доступ, пару десятков метров в день умудрялся качать, хотя инетом не пользуется вообще. А в большой компании, вообще не реально отследить весь этот мусор, и прикрыть. Я эту проблему решил именно парольным прокси, разрешив антивирусам, и Windows обновлять себя через проксю без ввода пароля.

Настрой DHCP таким образом, что бы он выдавал всем правильнйы default gateway, т.е. ip твоего сервера.
А заодно откуда брать настройки прокси сервера. Для пользователей ИЕ, это вообще самый кошерный вариант. Ничего настраивать не придется, все само подхватиться. В гугле искать по wpad.dat

Включаем ip форвардинг:
Для использования прокси, форвардинг включать не нужно. Это для NAT нужно.

Далее можно использовать скрипт Drool'а,
Вот скрипт дролла никогда использовать не нужно. Слишком специфичные настройки и слишком неправильный метод реализации.

Само собой в squid надо будет настроить delay_pools
Ошибочное мнение, что это разгрузит входящий канал. С качальщиками борятся несколько другими методами.
Пулы хороши когда прокси стоит на толстом входящем канале, и тонком исходящем. Если сквид стоит на шлюзе, то картина обычно как раз на оборот выглядит.
« Последнее редактирование: 26.09.2009 23:53:17 от Mikhail »
Понравился ответ? Прибавь репутации!

Drool

  • Гость
Включаем ip форвардинг:
net.ipv4.ip_forward = 1
в файле /etc/net/sysctl.conf

Далее можно использовать скрипт Drool'а

Так в моем инит-скрипте он и включается. А при stop - выключается.

Drool

  • Гость
Вот скрипт дролла никогда использовать не нужно. Слишком специфичные настройки и слишком неправильный метод реализации.

А более аргументированно можно услышать что специфично и что не правильно? Или для Вас заворачивание http-траффика через прокси, а остального - через NAT - это и есть не правильно?

Оффлайн speccyfan

  • Участник
  • *
  • Сообщений: 522
  • CCNA
    • speccyfan (Примеры различных конфигураций сетевых сервисов)

Если не нужна авторизация пользователей, то поднимай прозрачный прокси.
Вот на счет прозрачного прокси, есть очень большие сомнения. Всякие обновлялки, и прочие пакости пытаются лезть и что-то качать. Вот у папы дома, несколько игрушек, и все. Но пока не перекрыл ему свободный доступ, пару десятков метров в день умудрялся качать, хотя инетом не пользуется вообще. А в большой компании, вообще не реально отследить весь этот мусор, и прикрыть. Я эту проблему решил именно парольным прокси, разрешив антивирусам, и Windows обновлять себя через проксю без ввода пароля.
Я не настаиваю, просто исходя из требований автора темы:
Цитировать
2. пока просто раздачу потом видно будет...
Мне показалось прозрачный прокси лучшим вариантом. Да и не сильно отличается  настройка доступа, те же ACL по IP можно использовать и iptables никто не отменял. Т.е. ограничить все равно можно кого и как угодно.
Цитировать
Настрой DHCP таким образом, что бы он выдавал всем правильнйы default gateway, т.е. ip твоего сервера.
А заодно откуда брать настройки прокси сервера. Для пользователей ИЕ, это вообще самый кошерный вариант. Ничего настраивать не придется, все само подхватиться. В гугле искать по wpad.dat
Я ж для прозрачного советовал, там никакие настройки прокси не надо, если с авторизацией, то да, ваш вариант подходит.
Цитировать
Включаем ip форвардинг:
Для использования прокси, форвардинг включать не нужно. Это для NAT нужно.
Для использования прозрачного прокси - нужно.
Цитировать
Далее можно использовать скрипт Drool'а,
Вот скрипт дролла никогда использовать не нужно. Слишком специфичные настройки и слишком неправильный метод реализации.
Ну тут кому что нравится, более дистрибутивно, просто тупа сохранять настройки и использовать сервис iptables, хотя некоторые могут наехать и попробовать вообще заставить использовать альтератор ;)
Цитировать
Само собой в squid надо будет настроить delay_pools
Ошибочное мнение, что это разгрузит входящий канал. С качальщиками борятся несколько другими методами.
Пулы хороши когда прокси стоит на толстом входящем канале, и тонком исходящем. Если сквид стоит на шлюзе, то картина обычно как раз на оборот выглядит.
Несколько раз прочитал это и не понял, что вы тут хотели сказать. Тут под качальщиками я имею ввиду юзеров, активно тянущих что-то с файлообменников типа рапиды. По поводу каналов, то в большинстве своем так и бывает, я обслуживаю несколько шлюзов со свкивдом и все они имеют входящий канал толще, чем исходящий. И delay_pools очень хорошо справляются, со своей ролью.

Единственное, что меня в данное время напрягает в delay_pools, так это то, что в сквиде не реализован механизм внешнего хелпера для них. Я в данное время пишу свою систему авторизации/контроля доступа + редиректор к squid, с базой в MySQL, т.е. что-то заменяющее squidguard,SAMS и т.п., но пока не придумал, как лучше управлять ведрами.
With best regards, Yury Konovalov aka 2:453/53

Оффлайн Mikhail

  • Участник
  • *
  • Сообщений: 201
  • Не уверен - не тренди.
Вот скрипт дролла никогда использовать не нужно. Слишком специфичные настройки и слишком неправильный метод реализации.

А более аргументированно можно услышать что специфично и что не правильно? Или для Вас заворачивание http-траффика через прокси, а остального - через NAT - это и есть не правильно?
В мане по иптабесу, поиск слова маскардинг. Там внятно написано, что именно и в каких лучаях у тебя в крипте неправильно.
Понравился ответ? Прибавь репутации!

Оффлайн Mikhail

  • Участник
  • *
  • Сообщений: 201
  • Не уверен - не тренди.
Для использования прозрачного прокси - нужно.
Не уверен, спорить не буду. У себя форвардинг включаю сразу и навсегда, если есть 2 интерфейса.

хотя некоторые могут наехать и попробовать вообще заставить использовать альтератор ;)
Умные люди, так не посоветуют.

я обслуживаю несколько шлюзов со свкивдом и все они имеют входящий канал толще, чем исходящий
Может мы друг друга не правильно поняли. Под входящим, я имею ввиду канал в инет. Я почти не видел более 100МБит. Исходящими, я называю каналы смотрящии в локальную сеть, и их меньше 100МБит я не видел очень давно.

Несколько раз прочитал это и не понял, что вы тут хотели сказать.
Я хотел сказать, что типовая ситуация для меня, это когда в канал в инет 1МБит и меньше, а канал в локальную сеть 100МБит и больше. При таком раскладе, пулы, по моему мнению, не являются хорошим решением, для ограничивания желающих скачать что-то большое. Так как сквид, будет забивать весь входящий канал, пока не скачает запрошенное, скачивая на максимально доступной для него скорости. А отдавать будет со скоростью указанной в пуле. То есть возниктнет ситуация, что файл уже полностью скачан из сети, но пользователь его не получил еще не получил. Что в общем то считаю неправильным. И второй побочный эффект, что разгрузки входного канала не происходит. При скачивании двух файлов последовательно, ситуация еще хуже, и входной канал используется еще менее эффективно, зря расходуя время человека. Если есть желающие пользоватся P2P сетямя, то вообще пулы начинают приносить еще больший вред.
И еще одно, что отучило меня пользовтся пулами притв качальщиков. Я заметил, что люди начали открывать много тяжолых страниц, и уходить курить, а потом прочитывать их. И такое поведение спровоцировало именно неправильная настройка пулов. Правда это было во времена выделенных линий.

но пока не придумал, как лучше управлять ведрами.
Для себя я эту проблему решил наная уборщицу. :)
« Последнее редактирование: 28.09.2009 03:33:13 от Mikhail »
Понравился ответ? Прибавь репутации!

Drool

  • Гость
Цитировать
А более аргументированно можно услышать что специфично и что не правильно? Или для Вас заворачивание http-траффика через прокси, а остального - через NAT - это и есть не правильно?
В мане по иптабесу, поиск слова маскардинг. Там внятно написано, что именно и в каких лучаях у тебя в крипте неправильно.

Та шо Вы говорите? А почему ж тогда оно работает? Причем именно так, как описано в мане по iptables? Может все-таки прекратите показывать на людях свое хамство?

Drool

  • Гость
хотя некоторые могут наехать и попробовать вообще заставить использовать альтератор ;)
Умные люди, так не посоветуют.

rpm -qi alterator | grep Packager
Packager    : Stanislav Ievlev <inger@altlinux.org>

Я передам Ваши слова Станиславу Иевлеву. Он даже не подозревает что он не умный, раз разработал и использует альтератор. Тем более что Ваша квалификация не оставляет ему шансов быть умным.

Оффлайн Mikhail

  • Участник
  • *
  • Сообщений: 201
  • Не уверен - не тренди.
Цитировать
А более аргументированно можно услышать что специфично и что не правильно? Или для Вас заворачивание http-траффика через прокси, а остального - через NAT - это и есть не правильно?
В мане по иптабесу, поиск слова маскардинг. Там внятно написано, что именно и в каких лучаях у тебя в крипте неправильно.

Та шо Вы говорите? А почему ж тогда оно работает? Причем именно так, как описано в мане по iptables? Может все-таки прекратите показывать на людях свое хамство?
Если бы ты прочитал инструкцию, ты бы знал, и почему оно работает, и кок именно оно работает, и когда оно должно работать. Может все-таки прекратите показывать на людях свою не компетентность, и не желание читать маны? За одно тупить и провоцировать флейм?

Если человек что-то делает, облегчающее жизнь новичкам, это не значит, что он глуп. По крайней мере, он в отличии от тебя прочитал инструкцию, и в совершенстве знает, что именно нужно прописывать в файле конфигурации, и зачем. Может все-таки прекратите передергивать мои слова, троллить и провоцировать флейм?
« Последнее редактирование: 28.09.2009 11:11:11 от Mikhail »
Понравился ответ? Прибавь репутации!

Оффлайн speccyfan

  • Участник
  • *
  • Сообщений: 522
  • CCNA
    • speccyfan (Примеры различных конфигураций сетевых сервисов)
Я хотел сказать, что типовая ситуация для меня, это когда в канал в инет 1МБит и меньше, а канал в локальную сеть 100МБит и больше. При таком раскладе, пулы, по моему мнению, не являются хорошим решением, для ограничивания желающих скачать что-то большое. Так как сквид, будет забивать весь входящий канал, пока не скачает запрошенное, скачивая на максимально доступной для него скорости. А отдавать будет со скоростью указанной в пуле.
Вы не разобрались с delay_pools, читайте документацию, их бывает три вида, я обычно использую пулы 1-го класса, так если юзер качет какой-то большой файл, то ограничиваю до определенной скорости,
...
acl 20conn maxconn 20
acl work_time time 7:50-20:10
acl guest dst 82.209.245.151/32
acl guest dst 193.232.248.80/32
acl guest dst 82.209.195.15/32
и тд...

delay_pools 3
delay_class 1 1
delay_class 2 1
delay_class 3 1
delay_access 1 allow all !guest
delay_access 2 allow guest work_time
delay_access 3 allow 20conn
delay_access 3 deny all
delay_access 2 deny all
delay_access 1 deny all
delay_parameters 1 16384/262144
delay_parameters 2 162000/104857600
delay_parameters 3 1024/1024
Вот рабочий конфиг, тут три пула, в случае если юзер тянет файл > 256 KB, его ограничивает до скорости 16 kbps, если тянет что-то из внутренних ресурсов провайдера и больше метра, то ограничиваем до 162 kbps и только в рабочее время, ночью без ограничений. И 3-й пул ограничивает до 1 кбпс если юзер инициировал > 20 соединений.
Вы как раз описали тот случай, если пользователь сам ставит у себя какое-то органичение, он в итоге ограничивает скорость только от себя до прокси. И если уберет ограничение, то да, файл стянется сразу со сквида, почти мгновенно, сам такое видел.
« Последнее редактирование: 28.09.2009 12:08:18 от speccyfan »
With best regards, Yury Konovalov aka 2:453/53

Drool

  • Гость
Если бы ты прочитал инструкцию, ты бы знал, и почему оно работает, и кок именно оно работает, и когда оно должно работать.

А зачем? Я свои правила для раздачи интернета беру прямо с астрала, без всяких манов.