[LOST]Debian som router/brannmur. ICS?

[Ståle]

Holder pa a sette opp en Debian maskin som brannmur.

 

Og na lurer jeg pa hvordan jeg far PCene under Debian i hierakiet til a ha internett tilgang?

 

Jeg hadde 2 NIC i maskinen. Men det ene funka ikke, sa na har jeg 2 helt like.

Jeg vet at det funker siden jeg far pinget debian fra de andr ePCene.

 

Merkelig nok har jeg eth0 og eth3 ( en liten stund hadde jeg eth3 og eth4)

 

Jeg har installert Firestarter, og der huket jeg av for Internet Connection Sharing.

 

IPen NIC #1 ( mot BKK routeren)

192.168.80.80

255.255.255.0

192.168.80.1

 

IPen pa NIC #2 er statisk ogsa

 

192.168.2.105

255.255.255.0

Gateway: 192.168.80.1

 

 

Gatewayen er satt opp pa klientene som 192.168.2.105

 

Jeg fant denne guiden: http://www.tnldp.org/index.php/Router_med_...g_DHCP_(Debian)

og fulgte den helt til DHCP-delen kommer inn i bildet. Men virka ikke.

(Jeg byttet ikke ut noen tall i koden, kanskje det er det som er feil?)

 

Dritt.. kan jo ikke laste opp bilder uten a poste de??

 

 

 

 

Endret 15. august 2007 av Ståle

[Ståle]

Argh.. na far jeg ikke pinget Debian fra de andre maskinene lenger.

 

Og "nettverkskabelen" som var pa "oppgavelinjen" har gatt fra 2 aktive nettverkskort til "Ingen nettverks forbindelse", selv om jeg har internett.

 

 

Bildet er dedikert til Marius

Endret 13. august 2007 av Ståle

[Ståle]

debian:~# ifconfig -a

eth0 Link encap:Ethernet HWaddr 00:0A:CD:07:DE:4F

inet addr:192.168.80.80 Bcast:192.168.80.255 Mask:255.255.255.0

inet6 addr: fe80::20a:cdff:fe07:de4f/64 Scope:Link

UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1

RX packets:17258 errors:3 dropped:0 overruns:0 frame:0

TX packets:16163 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:1000

RX bytes:12556139 (11.9 MiB) TX bytes:2837992 (2.7 MiB)

Interrupt:11 Base address:0xe000

 

eth3 Link encap:Ethernet HWaddr 00:0E:2E:31:25:A4

inet addr:192.168.2.105 Bcast:192.168.2.255 Mask:255.255.255.0

inet6 addr: fe80::20e:2eff:fe31:25a4/64 Scope:Link

UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1

RX packets:767 errors:0 dropped:0 overruns:0 frame:0

TX packets:87 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:1000

RX bytes:80905 (79.0 KiB) TX bytes:9871 (9.6 KiB)

Interrupt:10 Base address:0xdc00

 

lo Link encap:Local Loopback

inet addr:127.0.0.1 Mask:255.0.0.0

inet6 addr: ::1/128 Scope:Host

UP LOOPBACK RUNNING MTU:16436 Metric:1

RX packets:233 errors:0 dropped:0 overruns:0 frame:0

TX packets:233 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:0

RX bytes:17746 (17.3 KiB) TX bytes:17746 (17.3 KiB)

 

sit0 Link encap:IPv6-in-IPv4

NOARP MTU:1480 Metric:1

RX packets:0 errors:0 dropped:0 overruns:0 frame:0

TX packets:0 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:0

RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)

[Ståle]

Er det sa vanskelig da?

 

Egentlig samme hvordan jeg far det til.. bare det virker, og jeg kan enkelt legge til/fjerne porter som skal vaere apne. + NAT.

 

Na er det ~95 folk som har sett denne traden. Selv om du ikke har sa mye a bidra med, noe er bedre enn ingenting. Og jeg har ingenting!

Endret 14. august 2007 av Ståle

[stigfjel]

Er du komfortabel med konsollet?

[Ståle]

Ja, problemet er bare at jeg ikke vet hva jeg skal skrive

 

Hvis noen gidder a skrive kommandoene for a legge til/ slette oppforinger i brannmuren/NAT kan jeg lage webpanel selv.

[stigfjel]

Til brannmurformål ville jeg heller ha brukt OpenBSD. Det er lettere å holde styr på reglene, samt at NAT og redirect er lettere å sette opp. Dessuten finner du førstehånds dokumentasjon på hvordan du setter opp brannmuren riktig. Siden du er komfortabel med å jobbe i konsoll burde det ikke være for vanskelig for deg.

 

Edit: jeg vet at dette er en linux-tråd, og at det spørres spesifikt etter Debian, men jeg har hatt dårlige erfaringer med nettopp iptables og firestarter. Det eneste firestarter gjorde for meg var å blokkere all trafikk da jeg skulle dele en internet-forbindelse med en annen maskin.

Endret 14. august 2007 av stigfjel

[Langbein]

Hva er det ikonet du nevner? Du kjører ikke NetworkManager eller noe slikt? For det er neppe lurt på en ruter.

 

Ellers virket jo guiden du linket til enkel og grei. Jeg anbefaler at du tester routinga først, før du går løs på dhcp ihvertfall.

 

Pass på at du både har skrudd på masquerading og enabled routing i kernelen. Evt. kan du poste config-filene dine

 

 

EDIT: Jeg har ikke noe erfaring med Firestarter, så kanskje den har tukla til et eller annet? Jeg ville personlig gjort ting manuelt isteden, så har du mer oversikt. Er tross alt bare 2 kommandoer for å få igang NAT

Endret 14. august 2007 av Langbein

[stigfjel]

Skal man ha finkornet kontroll kan man ikke stole på såkalte "brukervennlige" verktøy. Da må man nødvendigvis inn med litt manuell konfigurering.

[Ståle]

Pass på at du både har skrudd på masquerading og enabled routing i kernelen.

Hvor? hva?

 

[quot] Evt. kan du poste config-filene dine

Hvilke?

 

interfaces er akuratt som den i guiden, bare med IPene som er i 1. post her.

[Langbein]

Var disse to kommandoene jeg tenkte på:

/sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE 
echo 1 > /proc/sys/net/ipv4/ip_forward

 

Du skal bruke det samme, såfremt eth0 står ut mot internett.

Endret 14. august 2007 av Langbein

[Ståle]

De har jeg skrevet flere ganger. Men virker ikke.

 

Jeg prover a avinstallere Firstarter jeg.. *sec*

[seigmann]

Sitter i akkurat samme gryte nå. Fresh install av debian som skal være firewall/router. Men hos meg deler den heller ikke linja videre til det nye subnettet.

[Ståle]

Virket ikke =/

 

debian:~# iptables --list
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

 

Far ikke pinget maskinen fra andre askiner pa nettverket.

[stigfjel]

Vet ikke om det er svar på spørsmålet, men hvis du heller bruker OpenBSD får du et bedre og mer forståelig pakkefilter å hanskes med, nemlig PF. Og dokumentasjonen er førstehånds og meget bra. OpenBSD er designet for brannmurformål, selv om det er et komplett OS.

[seigmann]

Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     0    --  anywhere             anywhere
ACCEPT     0    --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:www
ACCEPT     0    --  anywhere             anywhere            state RELATED,ESTABLISHED
DROP       udp  --  anywhere             anywhere            udp spt:netbios-ns dpt:netbios-ns

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
ACCEPT     0    --  anywhere             anywhere

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

min iptables.

 

Forward koden min (som skal sende internett videre til subnet):

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE
iptables --append FORWARD --in-interface eth1 -j ACCEPT

 

fortsatt så klarer den ikke å route internett videre til subnettet!

[Ståle]

OMG!!

 

Er det rart ikke noe virker da? Det er jo jeg som styrer nettverket...

 

Trenger DNS serveren a ha internett? neeesj

 

OMG

 

Ja, da virker det altsa

 

 

:wallbash::wallbash::wallbash::wallbash::wallbash::wallbash::wallbash::wallbash::wallbash::wallbash:

 

[seigmann]

Lyst å sende meg firewall scriptet ditt?

Kan jeg også få se på "route -n"'n din?

[Ståle]

debian:~# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.2.0     0.0.0.0         255.255.255.0   U     0      0        0 eth3
192.168.80.0    0.0.0.0         255.255.255.0   U     0      0        0 eth0
0.0.0.0         192.168.80.1    0.0.0.0         UG    0      0        0 eth0

[seigmann]

Takker, men fikk det faktisk til selv. Brukte shorewall