Ubuntu 9.04 - domácí sít [vyřešeno]

[3.14.TR]

Večer na to mrkneme, je to totiž úplně jednoduchoučké Úsměv

to by bylo fajn... jneom bych rád aby bylo možné po nastavení firewallu vidět na server druhého pc, respektive na apache...
např zadáním adresy http://[ip]/složka... tzn jakot o mám nyní http://192:168.0.1/slozka

však dříve než firewall mám jiný problém, díky celému postupu mám pevně přazené ip adresy, což má výhody, lépe funguje sítový tisk atd, ale problém je že zařízení jako mobil atd vyžadují pro připojení k síti DHCP server, a proto se nemůžu připojit, což je... jak to říct... blbý
tudíš bych to potřeboval rozjet ještě jednou, tentokrát ale s DHCP serverem který by měl asi běžet na notebooku...
je mi líto:-(

[Petr Merlin Vaněček]

Večer na to mrkneme, je to totiž úplně jednoduchoučké Úsměv

to by bylo fajn... jneom bych rád aby bylo možné po nastavení firewallu vidět na server druhého pc, respektive na apache...
např zadáním adresy http://[ip]/složka... tzn jakot o mám nyní http://192:168.0.1/slozka

však dříve než firewall mám jiný problém, díky celému postupu mám pevně přazené ip adresy, což má výhody, lépe funguje sítový tisk atd, ale problém je že zařízení jako mobil atd vyžadují pro připojení k síti DHCP server, a proto se nemůžu připojit, což je... jak to říct... blbý
tudíš bych to potřeboval rozjet ještě jednou, tentokrát ale s DHCP serverem který by měl asi běžet na notebooku...
je mi líto:-(

Jistě, požadavek poměrně elegantně řeší dnsmasq který umí vystupovat jako podřízený DNS server a DHCP server.
Lze i jednotlivým MAC adresám přiřadit pevně adresu IP.

[Petr Merlin Vaněček]

Takže, vytvořte si soubor /etc/init.d/firewall:

Kód: [Vybrat]

#!/bin/bash
. /lib/lsb/init-functions

#promenne
IPTABLES=/sbin/iptables                                                                                                                  
PUBLIC_IF=pan0
PRIVATE_IF=eth0
LOCAL_IF=lo

start_firewall () {
#vycistime tabulky
$IPTABLES -F
$IPTABLES -X
$IPTABLES -t nat -F
$IPTABLES -t nat -X

#vsechno zakazeme                                                                                                                           
$IPTABLES -P INPUT DROP                                                                                                                  
$IPTABLES -P OUTPUT DROP                                                                                                                 
$IPTABLES -P FORWARD DROP

#povolime preposilani, odchozi a prichozi navazane
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -P FORWARD ACCEPT
$IPTABLES -P OUTPUT ACCEPT

#povolime pristup z lokalu a loopbacku
$IPTABLES -A INPUT -i $PRIVATE_IF -j ACCEPT
$IPTABLES -A INPUT -i $LOCAL_IF -j ACCEPT

#nahodime patricne moduly - i par "nepotrebnych"
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_conntrack_irc
modprobe iptable_nat
modprobe ip_nat_ftp
modprobe ip_nat_irc
/sbin/depmod -a

#zapneme forward
echo "1" > /proc/sys/net/ipv4/ip_forward

#... a NAT
$IPTABLES -t nat -A POSTROUTING -o $PUBLIC_IF -j MASQUERADE

#povolime par nesmyslu z vnejsku
$IPTABLES -A INPUT -i $PUBLIC_IF -p icmp -j ACCEPT
$IPTABLES -A INPUT -i $PUBLIC_IF -p tcp --dport ssh -j ACCEPT
$IPTABLES -A INPUT -i $PUBLIC_IF -p tcp --dport http -j ACCEPT

#blokneme preposilani SMTP -- vhodnejsi je lokalne open realy SMTP, nez zavirovany PC rozesilajici spam
$IPTABLES -A FORWARD -p tcp --dport smtp -j DROP

#a nekam dovnitr si treba posleme nejaky ten portik
$IPTABLES -t nat -A PREROUTING -p tcp --dport 5580 -i $PUBLIC_IF -j DNAT --to 192.168.0.2:5580
}

stop_firewall () {
#vycistime tabulky
$IPTABLES -F
$IPTABLES -X
$IPTABLES -t nat -F
$IPTABLES -t nat -X

#vypneme forward
echo "0" > /proc/sys/net/ipv4/ip_forward
}


case "$1" in                                                                                                                             
start)
log_begin_msg "Starting firewall and NAT"  
start_firewall
log_end_msg $?
;;
stop)
log_begin_msg "Starting firewall and NAT"  
stop_firewall
log_end_msg $?
;;
restart)
log_begin_msg "Restarting firewall and NAT"  
stop_firewall
start_firewall
log_end_msg $?
;;
*)                                                                                                                                       
  echo "Usage: $0 {start|stop|restart}" >&2                                                             
  exit 1                                                                                                                                 
;;
esac

exit 0

následně pak

Kód: [Vybrat]

sudo chmod +x /etc/init.d/firewall
sudo update-rc.d firewall defaults

A po restartu PC (a navázání WiFi spojení) by vše mělo šlapat, pak ještě nakonfigurovat dnsmasq a bude
Firewall je hodně jednoduchý, neřeší DoS útoky, nezahazuje neúplné pakety atp. ale věřím, že to si už nastudujete.
Případné chyby opravte, píšu to z hlavy

[3.14.TR]

děkuji za trpělivost a cenné rady

[Roman Vacho]

Ty vado!