Шлюз и доступ в интернет

Точно, ну так пусть добавить:

iptables -A FORWARD -p udp -m udp  --dport 53 -m state --state NEW -j ACCEPT

И все попрет!

afanasev.p, я правилами этими редко пользуюсь, поэтому у меня они могут быть корявыми.

И снова здрасти.... Прочитав Ваши посты, прописал правила и получилось вот так:
eth0 - локалка (192.168.1.0.24)
eth1 - провайдер
[console]

INPUT DROP
FORWARD DROP
OUTPUT DROP

-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i ppp+ -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1723 -j ACCEPT

-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -o eth1 -s 192.168.1.0/24 -p tcp -m multiport --dports 20,21,25,80,110,443,1024:65535 -j ACCEPT
-A FORWARD -p udp -m udp --dport 53 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -p icmp -m icmp -j ACCEPT
-A FORWARD -i ppp+ -o eth0 -j ACCEPT
-A FORWARD -i ppp+ -o eth1 -j ACCEPT

-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p all -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 22 -j ACCEPT

-A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
[/console]
вроде работает.....
Прошу критики, рекомендации и коментарии по поводу этих правил и нагрузки на маршрутизатор....
P.S. для FTP, прописал сначала 21 порт, не заработало, добавил 1024:65535 заработало....
Можно как то сократить диапазон портов? Я так понимаю под этот диапазон попадают порты для любителей торрентов?

есть модуль nf_nat_ftp - как раз для поддержки nat-а ftp:
[console]
modprobe nf_nat_ftp
[/console]
И, по идее, не нужно будет прописывать пачку портов >1024

ЗЫ: в /etc/sysconfig/iptables-confif в IPTABLES_MODULES добавить этот самый модуль

с ftp срослось...
появилась другая проблема..... не могу подключиться к другой сети по VPN вот с этими правилами, т.е. в свою сеть я попадаю, а вот из своей не хочет...
[console]

-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i ppp+ -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1723 -j ACCEPT

-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -o eth1 -s 192.168.1.0/24 -p tcp -m multiport --dports 20,21,25,80,110,143,443,1024:65535 -j ACCEPT
-A FORWARD -p udp -m udp --dport 53 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -p icmp -m icmp -j ACCEPT
-A FORWARD -i ppp+ -o eth0 -j ACCEPT
-A FORWARD -i ppp+ -o eth1 -j ACCEPT

-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p all -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 22 -j ACCEPT
-A OUTPUT -o ppp+ -p tcp -m tcp --sport 22 -j ACCEPT

-A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
[/console]

:D
Огласите весь список, пжлста

afanasev.p написал:

:D
Огласите весь список, пжлста

Прошу прощения, но этот момент я как то упустил из виду.....

Тут много уже всего ответили, но я перемещу тему в соответствующий раздел.

ruldik написал:

с ftp срослось...
появилась другая проблема..... не могу подключиться к другой сети по VPN вот с этими правилами, т.е. в свою сеть я попадаю, а вот из своей не хочет...

Народ подмогните с проблемкой!!!

Да что тут помогать-то, все в Интернете лежит, бери не хочу.
Тем более я тебе предлагал поставить веб морду, но вы не захотели.

В инете инфа как попасть в свою сеть по vpn, а вот как из нее выйти в другую по vpn я чтото не нашОл... Если не трудно тЫкните носом на пример хотя бы!!!

Если не видет, значить логично нету маршрута в другую подсеть.
Пропиши на своем шлюзе маршрут и проверь.

И напишите адрес сети в какую хотите попасть. У вас я так понимаю целых три сети:
1. ppp0 - VPN PPTP сеть с адресом - 192.168.1.0/24
2. eth0 - локальная сеть с адресом - XX.XX.XX.XX
3. другая сеть - не знаю какая и откуда она - напишите.

И тут вы хотите попасть в другую сеть из пункта 3, но у вас не получается, потому что нет маршрута.

eth0 - локалка 192.168.1.0/24
eth1 - провайдер
Немогу подключиться по vpn в другую сеть, т.е. пытаюсь подключиться, пишет "Проверка имени пользователя и пароля" а затем 619 ошибка .

"ruldik" написал:

по vpn в другую сеть

ruldik написал:

eth0 - локалка 192.168.1.0/24
eth1 - провайдер
Немогу подключиться по vpn в другую сеть, т.е. пытаюсь подключиться, пишет "Проверка имени пользователя и пароля" а затем 619 ошибка .

То есть у вас такая ситуация:
На сервере имеется три интерфейса eth0 - локалка, eth1- Интернет Yota, ppp0 - виртуальный адаптер по которому юзеры локалки выходят в Интернет через адаптер eth1 (Yota).

Теперь проблема: У юзера который подключен по ppp0 интерфейсу есть Интернет, и вы хотите подключится к удаленному серверу также по протоколу PPTP. Но возникает затык при подключении, выходит ошибка: 619 - Неверный логин или пароль

В данном случае могу только это посоветовать:
1. Проверьте правильно ли вы вводите логин и пароль
2. Проверьте логи VPN сервера, если конечно у вас есть доступ к нему

Юзеры ходят в инет без интерфейса ppp+...
При этих правилах все работает как надо..., т.е. и в свою сеть по vpn попадаю и в чужую выйти могу
[console]
# iptables
*nat
:PREROUTING ACCEPT [14:828]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -o eth1 -j MASQUERADE
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [181:22996]
-A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1723 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A FORWARD -i eth0 -o eth1 -j ACCEPT
-A FORWARD -i eth1 -o eth0 -j ACCEPT
-A FORWARD -i ppp+ -o eth0 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 80 -j ACCEPT
COMMIT
[/console]
а при этих...
[console]
INPUT DROP
FORWARD DROP
OUTPUT DROP

-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i ppp+ -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1723 -j ACCEPT

-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -o eth1 -s 192.168.1.0/24 -p tcp -m multiport --dports 20,21,25,80,110,443,1024:65535 -j ACCEPT
-A FORWARD -p udp -m udp --dport 53 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -p icmp -m icmp -j ACCEPT
-A FORWARD -i ppp+ -o eth0 -j ACCEPT
-A FORWARD -i ppp+ -o eth1 -j ACCEPT

-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p all -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 22 -j ACCEPT

-A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
[/console]
не могу в чужую выйти...

Нету конкретики, можешь написать откуда ip адрес 192.168.1.8 , , куда хочешь коннектится ip адрес 111.222.333.444.
И по какому соединению проходит коннект vpn, ipoe ....
Можно посмотреть удаленно на твой сервер?

Ну куда уж конкретней... Возьми список этих правил и попробуй на виртуалке, если есть..., подключиться к другой сети через впн....

ruldik, может потому что форвард только в одну сторону (eth0=>eth1)?

zenon написал:

ruldik, может потому что форвард только в одну сторону (eth0=>eth1)?

Я тоже об этом подумал...
Думаю вот это правило должно помочь...
[console]
iptables -A FORWARD -i eth1 -o eth0 -d 192.168.2.0/24 -p tcp -m tcp --sport 1723 -j ACCEPT
[/console]
Что скажите?

Прошу совета.

Нужно организовать шлюз в инет для офисных машин.
Причем не напрямую, а через vpn или pppoe. Что бы можно было вести контроль использованием инета.

Организация этого дела такая.
Статичные интерфейсы шлюза

сеть офиса 192.168.0.0/20 eth0
шлюз к прову 195.189.68.118/30 eth1

Ну и динамические ppp0 ppp1 и тд взводитые акселем

На сервере взведен accel-ppp.
Его виртуальный адрес 10.10.0.1

К конектишимся VPN клиентам адреса выдает из дипазона 10.10.0.0/16

К акселю притензий вроде нет. Работает хорошо. Клиенты коннектся. ppp интерфейсы взводятся. Адреса выдаются.

А дальше затык.

Нужно как то настроить роутинг или iptables. Вот здесь и хочется сказать help me! :(
Иначе traceroute с клиенской машины дальше 10.10.0.1 не идет.

Причем я никак не соображу что надо крутить в первую очередь. Роутинг или iptables

роутинг на серве вроде ведь поднимается подключении клиента
route -n

Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 195.189.68.117 0.0.0.0 UG 0 0 0 eth1
10.11.1.8 0.0.0.0 255.255.255.255 UH 0 0 0 ppp0
192.168.0.0 0.0.0.0 255.255.240.0 U 0 0 0 eth0
195.189.68.116 0.0.0.0 255.255.255.252 U 0 0 0 eth1

А iptables чист вообще. Никаких правил нет