Здравствуйте. Как и у многих у меня есть домашний сервер, который работает 24/7, качает и раздает торренты, является шлюзом, DNS сервером и еще много чего, в принципе сплошное развлечение и веселуха.
Теперь мне попал в руки старенький ноутбук с убитым экраном, но в прекрасном состоянии, я хочу заменить им свой нынешний сервер, потому что это удобнее, там старый десктоп стоит.
Проблема в том, что у ноутбука одна сетевая карта и воткнуть вторую нет никакой возможности (кроме USB, этот способ я буду рассматривать в последнюю очередь).
Я пытался разрулить дело с помощью vlan, у меня ничего не получилось, да и что-то подсказывает мне, что vlan в этом случае не очень нужен. Нужен?
Я прикреплю картинку, чтоб понятнее было, что я имею в виду.
Я прошу тех, кто сведущ в теме, подсказать мне нужное направление.
LinuxForum.Fans
Интернет шлюз с одним физическим интерфейсом.
Автор: oziris
25 сообщений
3515 просмотров
А зачем Вам при такой схеме шлюз? Нормальную фильтрацию пакетов при такой схеме вы не сделаете всё равно. Теоретически, поизвращаться можно так:
1. Полностью отключаете на модеме DHCP, обязательно разрешаете приём пакетов только с одного адреса, скажем, 192.168.0.10.
2. Этот адрес ставите на свой "шлюз". Вторым адресом на ту же сетевую карту ставите иной, желательно из второй подсети, скажем, 192.168.1.1.
3. Адрес 192.168.1.1 объявляете шлюзом и сервером DHCP, пакеты с него транслируете на модем через второй адрес, 192.168.0.10.
Но, если честно, сомневаюсь, что эта схема будет достаточно эффективной, поскольку объём трафика через сетевую карту возрастёт вдвое. Соответственно, максимально возможная скорость соответственно упадёт вдвое.
P.S. А найти USB-сетевую карту нереально?
А зачем Вам при такой схеме шлюз? Нормальную фильтрацию пакетов при такой схеме вы не сделаете всё равно. Теоретически, поизвращаться можно так:
P.S. А найти USB-сетевую карту нереально?
Нет, мне нужен шлюз. Я не хочу поднимать pppoe на модеме, он адски глючит при большом трафике, да и удобнее со шлюзом, у меня четыре постоянных клиента.
USB сетевую карту найти реально, с зарплаты закажу из Китая, просто хотел без этого обойтись.
oziris, ну я вам теоретическую часть описал, можете попробовать.
У меня решение проще - MikroTik, роутер позволяет много что гибко настраивать.
лучше всего через как говорили найти еще 1 сетевую, но если сетевую выкроить никак нельзя, то через vlan, так как тез него вы жертвуете безопасностью (любой пользователь в сети потенциально сможет перехватывать трафик). Если безопастностью готовы пожертвовать, то создаете алиас из другой под сети в которой будет и модем и настраиваете как с 2-мя сетевыми...
Мне однажды удалось это сделать, обсуждалось здесь:
http://linuxforum.ru/viewtopic.php?id=32224
Сейчас у меня нет при себе конфигурационных файлов. На шлюзе включён NAT,
в одной сети или подсети - источник Интернета, в другой - компьютер за NATом.
Компьютер-шлюз и компьютер-потребитель включены в один свич.
Пётр.
Peter, маршрутизировать можно, но в таком случае пользователь легко может посмотреть реальный шлюз и прописать его напрямую. Смысл сервера при этом теряется.
beliy, на большой части модемов можно ограничить разрешённые для подключения адреса.
Peter, маршрутизировать можно, но в таком случае пользователь легко может посмотреть реальный шлюз и прописать его напрямую. Смысл сервера при этом теряется.
Об этом я не задумывался, т.к. мне было нужно в принципе противоположное -
чтобы источник Интернета не знал, что к нему обращается не компьютер-шлюз,
а кто-то другой, т.к. там и вообще у провайдеров есть контроль по MAC-адресу.
Для скрытия этого и используется NAT.
Пётр.
beliy, на большой части модемов можно ограничить разрешённые для подключения адреса.
По мак адресу?) Вопрос, вы можете выяснить мак адрес сетевой в случае если вы подключаетесь к этой же сетевой? Можете ли вы менять мак своей сетевой на нужный? :)
Об этом я не задумывался, т.к. мне было нужно в принципе противоположное
Да, для вашего случая это подходит, но тут немного другая ситуация насколько понимаю. Хотя в вашем бы случае есть смысл купить роутер и отказаться от зависимости в постоянно включенном ПК.
Peter, маршрутизировать можно, но в таком случае пользователь легко может посмотреть реальный шлюз и прописать его напрямую. Смысл сервера при этом теряется.
Это совершенно не имеет значения, шлюз домашний, за одно и вайфай роутить будет, никто просто не станет заниматься такой ерундой, мне просто хочется поднимать pppoe на компьютере, а не на модеме.
Ну и шейпер, чтоб не мешать друг другу.
Так, может кто на счет vlan подскажет.
Я создаю виртуальный интерфейс eth0.2, даю ему адрес из одной подсети с модемом, настраиваю pppoe на работу с этим интерфейсом, но линк не поднимается.
Если настроить pppoe на работу с физическим интерфейсом, то линк поднимается.
Допустим физический интерфейс будет смотреть наружу, а виртуальный внутрь, тогда я могу использовать такой вариант:
text
#!/bin/sh
iptables -F
iptables -X
iptables -I FORWARD -s 192.168.0.2 -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j REJECT --reject-with icmp-port-unreachable
iptables -A FORWARD -o ppp0 -p tcp -j DROP
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
На компьютере 192.168.0.2 указываю шлюзом виртуальный интерфейс, все перезапускаю, пингую на клиенте 8.8.8.8, чтоб исключить возможные проблемы с днс, но пинга нет!
Получается, что между физическим и виртуальным интерфейсом нет форвардинга, хотя ip forwarding включен.
Я так понимаю, что в этом случае для форвардинга нужно что-то добавить. Что?
ЗЫ сейчас у меня все интерфейсы в одной подсети.
Походу я переубежден.
Почему это решение плохое?
1. Сложность. Такое решение намного сложнее классического шлюза на двух сетевых картах.
2. Быстродействие. Пропускная способность такого шлюза в половину меньше.
3. Дорогая безопасность. Для сохранения безопасности необходимо предпринимать дополнительные меры, либо в настройке клиентских машин, либо покупая дорогое оборудование (управляемый свич).
Получилось!!! *CRAZY*
Просто сделал алиас, на нем поднял pppoe!
Вот сейчас через этот шлюз пишу!
А напрямую через модем никто и не подключится, он же бриджем работает =)
Нет, мне нужен шлюз. Я не хочу поднимать pppoe на модеме, он адски глючит при большом трафике, да и удобнее со шлюзом, у меня четыре постоянных клиента.
Hint: купите нормальный модем(роутер), он стОит ЕМНИП рублей 300.
не шибко и критично, на самом деле.1. Сложность. Такое решение намного сложнее классического шлюза на двух сетевых картах.
это не важно. В ноутах обычно гигабитный ethernet, а в ADSL максимум 8Мбпс download и полмегабита аплоада.2. Быстродействие. Пропускная способность такого шлюза в половину меньше.
это да. Сделать DMZ не получится.3. Дорогая безопасность.
Hint: купите нормальный модем(роутер), он стОит ЕМНИП рублей 300.
Можно и купить, но тут просто спортивный интерес, лишний опыт лишним не бывает =)
это не важно. В ноутах обычно гигабитный ethernet, а в ADSL максимум 8Мбпс download и полмегабита аплоада.
Да, почти угадал.
это да. Сделать DMZ не получится.
Скажем, я бы не стал использовать такое решение в продакшине, а для дома сойдет.
на само деле такой вариант почти ничем не отличается от варианта с двумя eth. Просто выводите всё на один eth(в разные подсети).Можно и купить, но тут просто спортивный интерес
для дома две коробочки(битый ноут и модем) неудобны просто потому, что это куча проводов и всё болтается(и постоянно отваливается). Я не говорил "нельзя", просто неудобно. Как и открытая наружу подсеть(впрочем для ADSL это не очень страшно AFAIK).Скажем, я бы не стал использовать такое решение в продакшине, а для дома сойдет.
для дома две коробочки(битый ноут и модем) неудобны просто потому, что это куча проводов и всё болтается(и постоянно отваливается). Я не говорил "нельзя", просто неудобно.
А это такой сдвиг на сетях, чтоб не скучать =)
Мне на работе этого мало, вот я и дома в качестве хобби тем же самым занимаюсь, только в миниатюре =)
По мак адресу?) Вопрос, вы можете выяснить мак адрес сетевой в случае если вы подключаетесь к этой же сетевой? Можете ли вы менять мак своей сетевой на нужный?
По IP.
По IP.
Ребята, в моем случае это не имеет значения, модем работает бриджем, на нем не коммутируется pppoe, указывать его в качестве шлюза бесполезно.
oziris, тогда ваша задача не имеет решения.
Войдите или зарегистрируйтесь, чтобы ответить.
