Имеем в одной физической сети
основная сеть 192.168.0.1-192.168.0.255 (сеть с доменом стоит под windows kerio mail server)
дополнительная 192.168.100.1-192.168.100.255 (Рабочая группа интернет в доп подсеть идет от основной сети)
Задача отделить дополнительную подсеть от основной шлюзом под управлением linux с помощью IPTABLES.
Интернет в дополнительную подсеть будет раздавать этот же шлюз который в свою очередь будет брать инет из основной сети.
С этим все понятно проблем нет. Надо чтобы пользователи дополнительной подсети получали почту не из инета напрямую, а с основной подсети где под виндой стоит
kerio mail server ( адрес внутренний 192.168.0.2). Как посоветуете настроить iptables и маршрутизацию.
На примере такого конфига iptables.
#!/bin/sh
iptables -F
iptables -t nat -F
echo 1 > /proc/sys/net/ipv4/ip_forward
modprobe ip_nat_ftp
## описываем интерфейс на стороне основной сети
INET_IP="192.168.0.2"
INET_IFACE="eth0"
INET_BROADCAST="192.168.0.255"
## описываем интерфейс на стороне дополнительной сети
LAN_IP="192.168.100.1"
LAN_IP_RANGE="192.168.100.0/24"
LAN_IFACE="eth1"
#полная свобода юзеров
iptables -A INPUT -s localhost -j ACCEPT
iptables -A INPUT -s $LAN_IP_RANGE -j ACCEPT
#######
iptables -A INPUT -p icmp -j ACCEPT #
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT #
iptables -P INPUT DROP #
Что надо ещё дописать в маршрутизацию, и в iptables чтобы можно было забирать локально почту c основной сети где стоит kerio mail server ( адрес внутренний 192.168.0.2) ?
#полная свобода юзеров
iptables -A INPUT -s localhost -j ACCEPT
iptables -A INPUT -s $LAN_IP_RANGE -j ACCEPT
????
Вообще примерно так:
text
# Запрещаем доступ снаружи во внутренние сети:
$IPT -A FORWARD -i $EXT -o $LAN1 -j REJECT
$IPT -A FORWARD -i $EXT -o $LAN2 -j REJECT
# Разрешаем доступ из внутренней сети наружу:
$IPT -A FORWARD -i $LAN1 -o $EXT -j ACCEPT
$IPT -A FORWARD -i $LAN2 -o $EXT -j ACCEPT
# Между сетями
$IPT -A FORWARD -i $LAN1 -o $LAN2 -j ACCEPT #DROP или REJECT
$IPT -A FORWARD -i $LAN2-o $LAN1 -j ACCEPT #DROP или REJECT
EXT - интерфейс интернета.
LAN1, LAN2 интерфейсы сетей.
Вместо LAN1, LAN2 можно использовать маски сетей, правила немного по-другому будут.
Кому чего ACCEPT/DROP/REJECT сам сообрази.
