Сисадмин-чайник: первые шаги

Сергеев_ЕВ написал:

Допускаю, что вещь далека от совершенства, но до чего удобная!

не только удобная, но и очень простая. Рекомендуется для компьютеров без сетевых интерфейсов :lol:
У меня такой:

[console]root@dt:~# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
[/console]

Сергеев_ЕВ написал:

это когда нужно пакеты из одной карты в другую направить.

немного не так. не из одной в другую, а хрен знает куда. Удивительно, но это даже работает, если надо И туда, И суда. На самом деле, просто приёмники по очереди обламываются, теряя пакеты, но это никого не волнует - венда и такое умеет :D Впрочем, скрутить 3 и более провода вместе может любой идиот. Другое дело, собрать грамотную электрическую схему... :rolleyes:

Сергеев_ЕВ написал:

это когда нужно пакеты из одной карты в другую направить

Дык например:
[console]
# Разрешаем доступ из внутренней сети наружу
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
[/console]

newzenon написал:

Дык например:
[console]# Разрешаем доступ из внутренней сети наружу
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT[/console]

Ну, попробовал. Он ответил:
[console]iptables v1.4.4: can't initialize iptables table `filter': Permission denied (you must be root)
Perhaps iptables or your kernel needs to be upgraded.[/console] Чё-о, послал куда-то, да?

newzenon написал:

Дык например:

ага. именно!

Сергеев_ЕВ написал:

Чё-о, послал куда-то, да?

от root надо.

Сергеев_ЕВ написал:

Чё-о, послал куда-то, да?

послал *****.
потому как всякие юзвери не имеют прав рулить сервером. предъявите пароль рута.

#Если убунту
sudo iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
#Не забываем про обратный прохождение.
#Да ещё бы не мешалобы маскардинг
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
sudo iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

Спасибо, конечно, попробовал и так, и эдак.
Только эти шаманские заклинания прошли зря: как из внутренней сети не видел внешнюю, так и не вижу...
Думаю, что где-то что-то я делаю не так (что само по себе неудивительно).
Ладно, начну сначала. В-общем, есть локалка. В ней адресное пространство в диапазоне от 192.168.3.1 до 192.168.3.100, причем DHCP выдает только с десятого. В локалке есть две подсети - два компьютерных класса. Учительская тачка в двумя интерфейсами - один смотрит в класс (зеленый, кажется так принято называть внутренние интерфейся), другой - в школьную сеть (красный).
Настроил так:
красный - 192.168.3.9, шлюз - ...3.1 (это общий школьный шлюз), ДНС - ...3.2 (это виндовый ДНС- и ДХЦП-сервер).
зеленый - 192.168.3.10, шлюз - ...3.9 (ну, типа, направил в другой интерфейс).

Пробовал выкидывать все шлюза - одна байда...

И что характерно: пинги валятся либо только через красную карту, либо только через зеленую!
Как бы их подружить, а?

Сергеев_ЕВ написал:

В ней адресное пространство в диапазоне от 192.168.3.1 до 192.168.3.100, причем DHCP выдает только с десятого. В локалке есть две подсети - два компьютерных класса. Учительская тачка в двумя интерфейсами - один смотрит в класс (зеленый, кажется так принято называть внутренние интерфейся), другой - в школьную сеть (красный).
Настроил так:
красный - 192.168.3.9, шлюз - ...3.1 (это общий школьный шлюз), ДНС - ...3.2 (это виндовый ДНС- и ДХЦП-сервер).
зеленый - 192.168.3.10, шлюз - ...3.9 (ну, типа, направил в другой интерфейс).

давайте подробнее. Подробную конфигурацию. Никто не будет ползать по 2м страницам темы, и на бумажке рисовать вашу топологию. Не надо "в посте №666", В ОДНОМ посте, чётко, по буквам, объясните ВСЮ топологию. Начиная от общего школьного шлюза (и его тоже) и до конца.

Как-то вы "настраиваете", но я не понимаю КАК. Какие правила вы прописали? Какие команды выполнили?

Вот команды для снятия конфигурации:

1) ifconfig показывает, какие у вас подняты интерфейсы. в венде ipconfig.
2) iptables-save показывает, какие у вас маршруты прохождения пакетов. в венде нет, но я и так знаю, как там сделано.

непонятны слова "две подсети, два класса" - что это значит? чем различаются эти классы?

мне видится такая схема:

X ---->---Y--->---Z--->---A
                  \--->---B

Здесь X - главный шлюз
Y учительский комп
A и B по одному компьютеру в классе (может их и большое, но если они одинаковые, то не надо про каждый писать. Но про один напишите).
Z - неизвестное устройство, которое разделяет подсети.


ЗЫЖ интересно, почему именно учителя никогда не могут чётко сформулировать задачу? ИМХО - натренированное желание запутать ученика, что-бы выведать его уровень знаний как можно более точно. wink

drBatty написал:

ИМХО - натренированное желание запутать ученика

drBatty написал:

Какие правила вы прописали? Какие команды выполнили?

Да какие там правила! Потыкал в иксе на пипки-списки-переключашки, попытался сделать так, как на винде все это строил - шняга получилась...

Хм-мм... Свитчи-то, наверно, не нужно указывать, или указать?
О! Есть идея! Я тут FPinger юзаю, не знаю, в курсе ли Вы, что это за такое, но штука прикольная. Рисуешь сеть - и все красиво видишь, в-общем. Только она виндовая. Я с нее картинку сдеру, там у меня все разрисовано.

Ну вот я и в винде!
Вот скрин карты моей сети из FPinger'а:

Пойдет такого рода иллюстрация топологии?

Сергеев_ЕВ написал:

Пойдет такого рода иллюстрация топологии?

классно!


Я вот только не пойму, почему вы хотите делать именно на 192.168.3.ххх ? Почему нельзя разнести это действительно в под-сети, скажем .4.ххх и .5.ххх ? (дело в том, что тогда правила упрощаются, а значит будет меньше ошибок). Я вот к примеру даже не помню, как такие диапазоны задаются, я просто разносил именно по подсетям. В подсети С (192.168/16) имеется 65536 адресов, которые интуитивно понятно делятся на 256 подсетей из 256 компьютеров каждая (на самом деле чуть меньше, учитывая broadcast и адрес самой сети, 255 и 0 соответственно. получается 254*255, последнее число == 255, потому-что IP может кончаться на 0, хотя это не желательно). Т..е для КАЖДОЙ сетки выделяйте свою подсеть. И не надо боятся, что вам не хватит, есть ещё более жирная сеть B, и сеть A, в которой 256*256*256 == 16777216 адресов.

Посоветуйте, кого выбрать? Я больше склоняюсь к убунте...

Рекомендую вопрос провентилировать по подробнее ибо не исключено, что с дистрибутива которому вы склоняетесь придется переходить на тот, что рекомендуется министерством образования или еще каким госучреждением. Причем в обязательном порядке.

Macumazan написал:

ибо не исключено, что с дистрибутива которому вы склоняетесь придется переходить на тот, что рекомендуется  министерством образования или еще каким госучреждением.  Причем в обязательном порядке

drBatty написал:

почему вы хотите делать именно на 192.168.3.ххх ?

drBatty написал:

Почему нельзя разнести это действительно в под-сети, скажем .4.ххх и .5.ххх?

Сергеев_ЕВ написал:

Я тут FPinger юзаю

Сергеев_ЕВ написал:

Для первого класса, для моего, то бишь, там, где нарисована машинка "Сергеев Е.В." - это и есть моя машина. На ней красный интерфейс настраиваю, например, 192.168.1.11, т.е. из диапазона общешкольной под-сети, а зеленый - 192.168.11.1 (ну, кабинет у меня под номером 11, wink). Ученические тачки: 192.168.11.11...19 (считать удобнее: машинка №1 - 11, №2 - 12 и т.д.). В настройках зеленого интерфейса прописываю шлюз - айпишник красного интерфейса, а в настройках красного - айпишник шлюза (на рисунке это машинка "Internet_server").
Все правильно?

вроде да...
По идее, я не понимаю, почему вы отказались от DHCP?

интернет--->общий_шлюз---1-->ваша_машина---2--->компьютер_ученика

Там, где стрелочка 1, у вас(на ВАШЕЙ машине) самое обычное подключение подключение к интернету, там работает (у вас) обычны DHCP клиент, который при старте посылает запрос ВСЕМ-ВСЕМ-ВСЕМ, по адресу 255.255.255.255. Клиенты молчат, отвечают только DHCP сервера. понятно, что когда они все сразу отвечают, это плохо. Что-бы такого не было, применяют маску и IP адрес. Важно понимать, что это вовсе не весь адрес, а только его начало. , т.е. вы посылаете запрос всем компьютерам с 192.168.1.0 до 192.168.1.255 (если маска 255.255.255.0). Там только один DHCP сервер, он вам и отвечает. Конечно можно делить и по иному, например задать маску 255.255.255.128, тогда буде две подсети по 128 адресов: 192.168.1.0...192.168.1.127, и 192.168.1.128...192.168.1.255. С первым диапазоном просто, но второй не круглый, и с ним неудобно (если под сетей не две, а скажем 5), придётся хорошо переводить в уме числа из десятичной в двоичную или шестнадцатеричную систему. Ваша нумерация к двоичной системе никак не привязана, и потому вам невозможно замаскировать запрос - этот запрос принимают сразу 2 сервера, и к какому вы подключитесь зависит от случайных причин. На практике получается как: вам нужен сервер А, но сервер В подсовывает свой IP быстрее, когда ваш компьютер это обнаружит, он опять пересоединяется, и опять В быстрее. Так происходит до тех пор, пока вы не выйдете из этого диапазона коллизий. Если-бы все серверы в вашей сети имели-бы свою третью цифру (IP = 1.2.3.4), а все клиенты пользовались-бы одной и той-же маской 255.255.255.0, то проблем-бы не было - каждый клиент получал-бы IP только от своего сервера. То, что у вас что-то работает - лишь случайное и временное совпадение, а не ваша заслуга.

Вам нужно разделить сеть на отдельные области, причём так, что-бы в каждой области был только один шлюз.

Шлюзом называется компьютер, который одновременно находится в двух сетях.

При этом, с одной стороны он является обычной клиентской машиной, и получает адрес от какого-то другого шлюза, у вас это 192.168.1.11, при этом, на 11 вы никак не можете повлиять - завтра вам дадут 21, а после завтра - 213.

Но кроме того, вы ещё и являетесь сервером, т.е. раздаёте адреса своим клиентам, к примеру, как вы предложили, 192.168.11.1, этот адрес состоит из двух частей, и за пределами вашей сети никакой из компьютеров знать о нём не должен, и не должен туда отправлять никаких пакетов. Удобно, если у вас две сетевые карты, причём первая (красная) Получает какой-нибудь (какой дадут) адрес из диапазона 192.168.1.{0..255}. А вот вторая карточка имеет фиксированный (заданный вами) адрес 192.168.11.1. Именно к ней обращаются все ваши ученики, у них правила простые - все пакеты скидываем учителю, он разберётся.

...ладно... завтра допишу...

drBatty написал:

По идее, я не понимаю, почему вы отказались от DHCP?

drBatty написал:

при этом, на 11 вы никак не можете повлиять - завтра вам дадут 21, а после завтра - 213.