А изначально причину создания шлюза и pppoe можно узнать, а то может другие решения есть, ну например просто натить на конкретные ip, или squid?
Вот еще про pppoe-server http://vladimir-stupin.blogspot.com/2009/02/pppoe-debian.html
как я понимаю, если использовать rp-pppoe в режиме ядра настраивать маскардинг не нужно будет?
или я ошибаюсь?
Вообще шлюз делался изначально для раздачи интернета в многоквартирном доме, подключено к нему почти 30 машин, сейчас сетка потихоньку расширяется и кинул я её в соседние дома.
В будущем хотелось бы всерьёз заняться Интернет провайдингом так сказать, заключить договора с крупными Интернет провайдерами и т.д. :) но признаюсь, чтобы всё сделать почеловечески - мне еще нужно курить и курить маны и обращаться за советами в этом плане :)
Сейчас пока всер абоатет таким образом:
ppp0 - интерфейс с интернетом;
eth0 - сеть провайдера;
eth1 - моя сеть;
раздаю Интернет таким образом: (при этом делая привязку к мак адресу) :)
#!/bin/sh
iptables -F INPUT
iptables -F FORWARD
iptables -F OUTPUT
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
echo "1" > /proc/sys/net/ipv4/ip_forward
iptables -P FORWARD DROP
iptables -I FORWARD 1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp -m multiport --dports 111,3306 -j DROP
iptables -A INPUT -i ppp0 -p udp -m multiport --dports 111,3306 -j DROP
iptables -A INPUT -i eth0 -p tcp -m multiport --dports 111,3306 -j DROP
iptables -A INPUT -i eth0 -p udp -m multiport --dports 111,3306 -j DROP
iptables -I FORWARD 1 -m mac --mac-source 90:E6:BA:C6:64:B5 -s 10.20.0.2 -j ACCEPT
iptables -I FORWARD 1 -m mac --mac-source 48:5B:39:A4:FC:D4 -s 10.20.0.3 -j ACCEPT
...
Так же установлен DHCP сервер, UPNPD служба для автоматического перенаправления портов (например для тех же торрент клиентов) и скрипты шейпинга на TC.
Хотелось бы всё сделать более оффициально так сказать.
Чтобы PPPoE клиенты подключаясь - смогли использовать интерфейс ppp0, но при этом, чтобы в настройках сетевого интерфейса на их компьютере при указания этого шлюза - они не могли получать доступ к Интернету.
Пока у меня не получилось этого сделать.
Повторюсь: если просто прописать маскардинг к ppp0 интерфейсу - интернет будет доступен PPPoE клиентам, но в тоже время он будет доступен в том случае если указать в сетевом интерфейсе на их же машине адрес шлюза.
Хотелось бы как то защититься так сказать от этого, ведь тут люди тоже не дураки сидят :)
