нужна помощь в настройке firewall

24.02.2010 18:19 · отредактировано #1921

есть сервер на linux

на нем стоит poptop (VPN -сервер)

есть вход
wan - инет от провайдера настройки динамические
lan - локальная сеть 192.168.1.0/24
ppp - VPN сеть (poptop) 192.168.100.0/24
запутался совсем с iptables помогите....

1) из wan на сервер нет доступа, кроме.
- ping на сервер по wan
- открытый порты 80, 1723, 8080
- всё остальное закрыто drop как я понимаю

2) из lan доступ в инет через wan. NAT как я понял

3) переброс порта
в локалке комп 192.168.1.2 на нём торент стоит. нужно чтобы шло перенаправление пакетов с wan:2222 на 192.168.1.2:2222

4) чтобы к vpn серверу могли подключиться все.. хоть из LAN хоть из WAN
и так же имели доступ к инету через сервер.
чтобы пользователи из lan имели связь с ppp пользователями. ну на шару зайти ....

если можно с коментариями плиз....

25.02.2010 11:46 · отредактировано #2345

Тут и так все понятно...

text

#!/bin/bash
# Var
LAN_IF=eth0
LAN_IP=192.168.1.1
LAN_NET=192.168.1.0/24
WAN_IF=eth1
WAN_IP=
WAN_NET=
VPN_IF=ppp+
VPN_IP=
VPN_NET=192.168.100.0/24
# Clear all tables
iptables -t filter -F
iptables -t filter -X
iptables -t nat -F
iptables -t nat -X
# Default rules
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
# Allow all at localhost
iptables -A INPUT -i lo -s 127.0.0.1 -j ACCEPT
iptables -A OUTPUT -o lo -d 127.0.0.1 -j ACCEPT
# Allow I/O at localnet
iptables -A INPUT -i $LAN_IF -s $LAN_NET -j ACCEPT
iptables -A OUTPUT -o $LAN_IF -d $LAN_NET -j ACCEPT
iptables -A FORWARD -d $LAN_NET -j ACCEPT
iptables -A FORWARD -s $LAN_NET -j ACCEPT
# Allow I/O at vpn clients
iptables -A INPUT -s $VPN_NET -j ACCEPT
iptables -A OUTPUT -d $VPN_NET -j ACCEPT
iptables -A FORWARD -d $VPN_NET -j ACCEPT
iptables -A FORWARD -s $VPN_NET -j ACCEPT
# Allow ICMP, 80/TCP, 1723/TCP, 8080/TCP, 53/UDP
iptables -A INPUT -i $WAN_IF -p icmp -j ACCEPT
iptables -A OUTPUT -o $WAN_IF -p icmp -j ACCEPT
iptables -A INPUT -i $WAN_IF -p tcp -m multiport --dport 80,1723,8080 -j ACCEPT
iptables -A OUTPUT -o $WAN_IF -p tcp -m multiport --sport 80,1723,8080 -j ACCEPT
iptables -A OUTPUT -o $WAN_IF -p udp --dport 53 -j ACCEPT
iptables -A INPUT -i $WAN_IF -p all -m multiport --dport 1024-65535 -j ACCEPT
# NAT/Masquerade
iptables -t nat -A POSTROUTING -s $LAN_NET -j MASQUERADE
iptables -t nat -A POSTROUTING -s $VPN_NET -j MASQUERADE
iptables -t nat -A PREROUTING -i $WAN_IF -p tcp --dport 2222 -j DNAT --to-destination 192.168.1.2:2222
iptables -t nat -A PREROUTING -i $WAN_IF -p udp --dport 2222 -j DNAT --to-destination 192.168.1.2:2222

С виндовой шарой сложнее будет. Или доступ только по ip'шникам или поднимать WINS и DNS.