Arno's Iptables Firewall Einfach zu konfigurierendes, leicht anpassbares Skript, das automatisch Regeln für Firewall-IPtables generiert.
Starten Sie das Einrichten der Firewall auf dem Server
Die Quelldaten sind Standard-2-Netzwerk, eines für den Provider, das zweite im Switch - Local Area Network:
2 Schnittstellen angegeben
eth0 - Internetanbieter
ip 192.168.1.5
mask 255.255.255.0
gateway 192.168.1.1
dns 192.168.1.1
eth1 - Lokales Netzwerk
ip 192.168.2.1
mask 255.255.255.0
Installieren Sie das Firewall-Konfigurationsskript mit dem Befehl:
aptitude install arno-iptables-firewall
Während der Installation weigern wir uns, das Programm zu starten.
Nach der Installation müssen Sie mit dem Setzen des Befehls arno-iptables-firewall beginnen:
dpkg-reconfigure arno-iptables-firewall
Wir stimmen der Konfiguration über debconf zu, geben die externe Schnittstelle (Anbieter) an - eth0:
Wenn der Anbieter Internet über statische IP bereitstellt, verbieten wir dem Anbieter DHCP. Wenn Sie externen Zugriff auf den Server per ssh benötigen, geben Sie den Port an, auf dem Sie ssh haben. Wenn Sie den Port nicht geändert haben (aus Sicherheitsgründen ist es besser zu ändern, dann fallen alle Arten von Chinesen mit ihrer Passwortauswahl fast vollständig ab und stören sich nicht mehr), dann der Standard-Port 22. Wenn der Zugriff auf Geräte über TCP nicht erforderlich ist, schreiben Sie nichts.
Wenn ein offener Port über UDP erforderlich ist, z. B. wenn Sie einen OpenVPN-Server konfiguriert haben, geben wir den gewünschten Port an. Wenn der Zugriff auf Geräte von UDP nicht erforderlich ist, schreiben Sie nichts. Wir schalten auch den Ping auf den Server. Für die beste Sicherheit ist es besser, sich nicht einzuschalten (alle Arten von Portscannern scannen Sie weniger, da Sie nicht auf Ping reagieren), aber für meine Bequemlichkeit schließe ich von Zeit zu Zeit ein, um den Pingu-Server zu überprüfen:
In internen Schnittstellen geben wir die Schnittstelle an, die zum Switch geht - lokales Netzwerk eth1. Geben Sie das Subnetz auf der eth1-Schnittstelle an, in unserem Fall ist es 192.168.2.0/24
Wenn Sie NAT zulassen müssen, und in unserem Fall erlauben wir es, da mehrere Maschinen den vollen Zugriff auf das Internet (für FTP, für Torenta usw.) benötigen, und der Rest wird nur über einen Proxy-Server als Zugang zum Internet bezeichnet. Wir geben an, wer NAT verwenden darf: entweder das gesamte Subnetz oder über den IP-Raum von Computern, die NAT benötigen:
Damit ist die Arno Iptables Firewall-Einstellung via debconf abgeschlossen. Stimmen Sie dem Firewall-Start zu.
Grundlegende Firewall-Einrichtung ist erledigt.
Wenn Sie einen transparenten Proxy verwenden, können Sie eine Firewall so konfigurieren, dass der 80(Web)-Port gewaltsam auf den Proxyserver-Port verschoben wird. Selbst wenn der benutzer ein nat hat, sitzt der benutzer nur über einen proxy-server, aber torrents, ftp, etc. Wir werden an Proxies vorbeigehen. Es gibt einige Lösungen:
1. Configure Shaper - ein Programm, das den Kanal nach den Einstellungen für jeden Computer über das Internet verteilt.
2. Schalten Sie das NAT aus.
2.1 Öffnen Sie Port 443 (https) nach außen für alle, denn wenn Sie nicht öffnen, müssen Sie jedem die Verwendung von IP-Proxy-Servern und Port vorschreiben. Port 443 ist nicht lichtdurchlässig für Port Squid.
2.2 Öffnen Sie Port 21 (ftp) nach außen für diejenigen, die aktiv ftp-Clients verwenden, da die Arbeit von ftp durch Tintenfisch nicht abgeschlossen ist.
2.3 Der torent des kunden kann über den proxy-server-port aufgerufen werden. In den Client-Trent-Einstellungen geben wir IP:PORT-Proxy des Squid-Servers an.
2.4 Erzwungene Übertragung aller Browser vom 80-Port zum Proxy-Server-Port 3128
Hafenkraft 80 (Browser) Port of Proxy Server für Debian Lenny:
Debian Lenny hat eine Version von Arnos Iptables Firewall v1.8.8o installiert, und es gibt kein Plugin, das Port rollt wie in Debian Squeeze.
Um eine Übertragung von allen auf den Proxy-Server-Port zu erstellen, benötigen Sie eine Arno Iptables Firewall in der Datei. /etc/arno-iptables-firewall/custom-rules Fügen Sie eine Zeile hinzu:
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128
Es steht hier geschrieben, dass jeder, der vom lokalen Netzwerk (Browser) geht, zum Port 3128 unseres Proxy-Servers wechselt. Wenn der Benutzer das Intranet nicht nutzen darf oder der Benutzer nicht registriert ist, kann er das Internet nicht über einen Browser nutzen.
Wir erzwingen 80 Port (Browser) zum Proxy-Server-Port für Debian Squeeze:
In der Debian Squeeze-Version wurde Arnos Iptables Firewall v1.9.2k installiert, und es gibt bereits ein Plugin, das den Port rollover macht.
Um das Plugin zu aktivieren, müssen Sie die Datei ändern. /etc/arno-iptables-firewall/plugins/transparent-proxy.conf
war:
ENABLED=0 # (Transparent) proxy settings # ------------------------------------------------------------------------------ #HTTP_PROXY_PORT="3128"
wurde:
ENABLED=1 # (Transparent) proxy settings # ------------------------------------------------------------------------------ HTTP_PROXY_PORT="3128"
Und starten Sie das Firewall-Skript mit dem Befehl:
/etc/init.d/arno-iptables-firewall restart
Ports und NAT in Arno Iptables Firewall
Für die Übertragung von Pods auf Computer, die sich hinter dem Internetserver befinden, werden wir die internen Fähigkeiten des Arno Iptables Firewall-Programms nutzen.
Ein Beispiel analog, mit dem Sie Ihre Aufgabe eingerichtet haben:
Unser Server verfügt über 2 Netzwerkkarten:
eth0 - Internet
eth1 - Enterprise Local Network IP-Adresse 192.168.1.1
Es gibt einen Computer eines Buchhalters - ip 192.168.1.5 und einen Administrator - ip 192.168.1.10. Wir müssen:
- Öffnen Sie NAT (voller Internetzugang mit Ausnahme von 80 Ports, die die Firewall abfängt und an den Proxy-Port des Squid-Servers überträgt) und werfen Sie den RDP(3389)- und Radmin(4899)-Port nach draußen.
- Für den Computer des Buchhalters müssen Sie NAT in Google Mail (465 und 995 Ports) und NAT für die Bank des Kunden öffnen, die auf TCP auf Port 2255 arbeitet (z. B.).
Hier sind wir.
Beginnen wir mit dem Computer des Buchhalters:
Um NAT auf Google-Mail-Ports und dem Client-Bank-Port für den Computer des Buchhalters zu öffnen, müssen wir uns in einer Datei registrieren. /etc/arno-iptables-firewall/custom-rules:
vi /etc/arno-iptables-firewall/custom-rules
... iptables -t nat -A POSTROUTING -o eth0 -p tcp -s 192.168.1.5 -j MASQUERADE --to-ports 465,995,2255 ...
Öffnen Sie NAT für den Administratorcomputer in einer Konfigurationsdatei /etc/arno-iptables-firewall/debconf.cfg Arno Iptables Firewall:
vi /etc/arno-iptables-firewall/debconf.cfg # Разрешен ли DHCP на внешнем интерфейсе: DC_EXT_IF_DHCP_IP=0 # Разрешен ли пинг на внешнем интерфейсе: DC_OPEN_ICMP=1 # Внешние сетевые интерфейсы: DC_EXT_IF="eth0" # Открытые порты TCP: DC_OPEN_TCP="22" # Открытые порты UDP: DC_OPEN_UDP="" # Внутренние сетевые интерфейсы: DC_INT_IF="eth1" # Включен NAT: DC_NAT=1 # Перечисляем IP компьютеров через пробел, либо указываем подсеть вида 192.168.1.0/24(открыт всем) которым разрешаем NAT: DC_INTERNAL_NET="192.168.1.10" DC_NAT_INTERNAL_NET="192.168.1.10"
Jetzt konfigurieren Sie die RDP(3389) und Radmin(4899) Ports von außen auf den Computer des Administrators, dafür öffnen wir die Datei. /etc/arno-iptables-firewall/firewall.conf und Änderungen vornehmen:
... NAT_FORWARD_TCP="3389,4899>192.168.1.10" NAT_FORWARD_UDP="" ...
Als Beispiel:
Fliegen Sie den Server-Port 80 und den Server-FTP-Port 21 zu dem Server im lokalen Netzwerk hinter dem Internet-Gateway 192.168.1.10;
Fly 81 Server-Ports zu 80 Port des Computers 192.168.1.7:
NAT_FORWARD_TCP="80,21>192.168.1.10 81>192.168.1.7~80"
Nachdem Sie die Änderungen an den Arno Iptables Firewall-Dateien gespeichert haben, um die Änderungen anzuwenden, starten Sie das Arno Iptables Firewall-Programm mit dem Befehl neu:
/etc/init.d/arno-iptables-firewall restart
Um die Verbindung zur E-Mail vom Buchhaltungscomputer zu überprüfen, führen wir den Befehl aus:
telnet google.com 465
Wenn es ein NAT gibt, wird die Verbindung gestartet, sonst nicht.
Kommentar