Нстройка сети с несколькими сетевыми интерфейсами

[m010103]

Здравствуйте.
Поднял серван на Ubuntu 12,04 + squid. Несколько дней работало как я и предполагал, потом че-то все глюкануло.
У меня 3 интерфейса
eth0 - смотрит на модем
eth1 - cмотрит домашнюю сеть и все обращения из этой сети ходят через squid в интернет
eth2 - к нему подключен мой ПК, ходит во все подсети и в интернет без прокси. Он собственно и глюканул.
Причем IP адрес eth0  192.168.1.25 а модема 192.168.1.1 и с eth2 192.168.1.25 пингуется, а 192.168.1.1 нет, хотя  самого сервра он пингуется.

(Нажмите, чтобы показать/скрыть)

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
   address 192.168.1.25
   netmask 255.255.255.0
   network 192.168.1.0
   broadcast 192.168.1.255
   gateway 192.168.1.1
   # dns-* options are implemented by the resolvconf package, if installed
   dns-nameservers 192.168.1.1 8.8.8.8
   
auto eth1
    iface eth1 inet static
        address 192.168.0.1
        netmask 255.255.255.0

auto eth2
    iface eth2 inet static
        address 192.168.2.1
        netmask 255.255.255.0

post-up /etc/nat

(Нажмите, чтобы показать/скрыть)

#!/bin/sh

#Включаем форвардинг пакетов
echo 1 > /proc/sys/net/ipv4/ip_forward

#Разрешаем траффик на lo
iptables -A INPUT -i lo -j ACCEPT

#Разрешаем доступ из внутренней сети наружу
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth2 -o eth0 -j ACCEPT
#Включаем NAT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/24 -j MASQUERADE

#Разрешаем ответы из внешней сети
iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

#Запрещаем доступ снаружи во внутреннюю сеть
iptables -A FORWARD -i eth0 -o eth1 -j REJECT
iptables -A FORWARD -i eth0 -o eth2 -j REJECT

# Заворачиваем http на прокси
iptables -t nat -A PREROUTING -i eth1 ! -d 192.168.0.0/24 -p tcp -m multiport --dport 80,8080 -j DNAT --to 192.168.0.1:3128

таблицу маршрутов уже пробовал рулить после того как глюкануло.

(Нажмите, чтобы показать/скрыть)

Таблица маршутизации ядра протокола IP
Destination Gateway Genmask Flags Metric Ref Use Iface
default         192.168.1.1     0.0.0.0         UG    100    0        0 eth0
192.168.0.0     *               255.255.255.0   U     0      0        0 eth1
localnet        *               255.255.255.0   U     0      0        0 eth0
192.168.2.0     *               255.255.255.0   U     0      0        0 eth2

[fisher74]

Добавьте

Код: [Выделить]

iptables -t nat -A POSTROUTING -o eth0 -s 192.168.2.0/24 -j MASQUERADE

[m010103]

Добавьте

Код: [Выделить]

iptables -t nat -A POSTROUTING -o eth0 -s 192.168.2.0/24 -j MASQUERADE

Так и есть, заработало! Ура.
Не доглядел.

Огромное СПАСИБО!

[m010103]

Радость была не долгой.
Сегодня провайдер обрадовал, что интернет смогу получать только в режиме модема - бридж.

Быстренько поднял ppoe с помощью pppoeconf

(Нажмите, чтобы показать/скрыть)

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
   address 192.168.1.25
   netmask 255.255.255.0
   network 192.168.1.0
   broadcast 192.168.1.255
   gateway 192.168.1.1
   # dns-* options are implemented by the resolvconf package, if installed
   dns-nameservers 192.168.1.1 8.8.8.8
   
auto eth1
    iface eth1 inet static
        address 192.168.0.1
        netmask 255.255.255.0

auto eth2
    iface eth2 inet static
        address 192.168.2.1
        netmask 255.255.255.0


auto dsl-provider
iface dsl-provider inet ppp
pre-up /sbin/ifconfig eth0 up # line maintained by pppoeconf
provider dsl-provider


post-up /etc/nat

теперь с сервера пингуется внешний мир, в остальных сетях тихо.
Причем, даже при пинге модема интернета нет.

Где еще какой крантик крутнуть?

[fisher74]

eth0 -> ppp+

[m010103]

eth0 -> ppp+

а разве вот это не оно?

(Нажмите, чтобы показать/скрыть)

#Разрешаем доступ из внутренней сети наружу
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth2 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o ppp0 -j ACCEPT

[AnrDaemon]

Радость была не долгой.
Сегодня провайдер обрадовал, что интернет смогу получать только в режиме модема - бридж.

Посылай провайдера наХХХ и продолжай пользоваться нормально настроенным модемом.

[m010103]

Посылай провайдера наХХХ и продолжай пользоваться нормально настроенным модемом.

Это не возможно. Он единственный, имя - Ростелеком. Ближайший офис конторы - в другом городе , примерно 40 км.

Вы бы не могли мне пояснить, что имелось ввиду

Код: [Выделить]

eth0 -> ppp+где и как это писать?

[AnrDaemon]

Что невозможно? Настроить модем роутером, как он и должен работать, и продолжать нормально пользоваться?
Не смешите меня, а? Десять лет посылал таких говорильщиков, и до сих пор всё работает нормально.

[m010103]

Что невозможно? Настроить модем роутером, как он и должен работать, и продолжать нормально пользоваться?
Не смешите меня, а? Десять лет посылал таких говорильщиков, и до сих пор всё работает нормально.

Если строить модем в режиме Disable Bridge , постоянно рвется связь. В режиме Bridge все работает нормально. В наших краях, по бриджу половина пользователей подключено. Обычно за модемом включенным по бриджу ставим роутер с авторизацией и дальше на все станции.
Как-то так..

[fisher74]

Тогда это проблема в роутере, а не в провайдере.

а разве вот это не оно?

А Вы ЭТО показывали? К тому же это не то. Ваш eth0 - теперь обычная труба, а вот "боевым" интерфейсом стал ppp0, который теперь выступает в той роли в которой раньше выступал eth0.
Потому я и написал eth0 -> ppp+, подразумевая, что функции которые раньше выполнял eth0 теперь должен выполнять ppp0

[m010103]

Огромное спасибо. Все ожило.

Но есть новая грабля, теперь по ssh можно подключаться к ubuntu server извне.
Как бы это прикрыть.

(Нажмите, чтобы показать/скрыть)

#!/bin/sh

#Включаем форвардинг пакетов
echo 1 > /proc/sys/net/ipv4/ip_forward

#Разрешаем траффик на lo
iptables -A INPUT -i lo -j ACCEPT

#Разрешаем доступ из внутренней сети наружу
iptables -A FORWARD -i eth1 -o ppp0 -j ACCEPT
iptables -A FORWARD -i eth2 -o ppp0 -j ACCEPT


#Включаем NAT
iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE
iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.2.0/24 -j MASQUERADE

#Разрешаем ответы из внешней сети
iptables -A FORWARD -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT

#Запрещаем доступ снаружи во внутреннюю сеть
iptables -A FORWARD -i ppp0 -o eth1 -j REJECT
iptables -A FORWARD -i ppp0 -o eth2 -j REJECT

# Заворачиваем http на прокси
iptables -t nat -A PREROUTING -i eth1 ! -d 192.168.0.0/24 -p tcp -m multiport --dport 80,8080 -j DNAT --to 192.168.0.1:3128

(Нажмите, чтобы показать/скрыть)

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
   address 192.168.1.25
   netmask 255.255.255.0
   network 192.168.1.0
   broadcast 192.168.1.255
   gateway 192.168.1.1
   # dns-* options are implemented by the resolvconf package, if installed
   dns-nameservers 192.168.1.1 8.8.8.8
   
auto eth1
    iface eth1 inet static
        address 192.168.0.1
        netmask 255.255.255.0

auto eth2
    iface eth2 inet static
        address 192.168.2.1
        netmask 255.255.255.0


auto dsl-provider
iface dsl-provider inet ppp
pre-up /sbin/ifconfig eth0 up # line maintained by pppoeconf
provider dsl-provider


post-up /etc/nat

Пользователь добавил сообщение 01 Апреля 2016, 15:38:33:Немного исправил, теерь так

#Запрещаем доступ снаружи во внутреннюю сеть
iptables -A FORWARD -i ppp0 -o eth1 -j REJECT
iptables -A FORWARD -i ppp0 -o eth2 -j REJECT
iptables -A FORWARD -i ppp0 -o eth0 -j REJECT

вроде-бы на адрес ррр0 ssh теперь не проходит.
Я верно сделал?

[fisher74]

М-м-м-м... Тут как бэ нужно политику менять.
У вас сейчас она построена на принципах "все разрешено, то не запрещено", потому Вам и приходится ставить заглушки.
Смените её (политику) на "всё запрещено, кроме того, что разрешено" и неожиданностей по открытой (.) будет много меньше.
Как это сделать?  Пусть это будет Вам домашним заданием.

[m010103]

Как это сделать?  Пусть это будет Вам домашним заданием.

Спасибо маэстро!
Я попробую. Вопрос только в том, насколько это оправдано, по крайней мере для дома.
В офисе там, да, "блок всего, кроме...", но там над этим трудится Usergate.
Сайт 2IP.ru сказал, что теперь с безопасностью все отлично, крутнул настройки Firefox и ушли утечки по Flash и Java, а за одним и WebRTC.
В планах поднять DLNA, боюсь, что смена "плана безопасности" угробит эту идею ибо в Линуксе "плаваю" конкретно.
Еще заметил, что Ubuntu Server + ssh - отличная штука для разминки мозга, шахматы и устный счет - детский лепет.
Еще раз спасибо.

[AnrDaemon]

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

# Generated by iptables-save v1.4.12 on Fri Apr  1 22:43:18 2016
*mangle
:PREROUTING ACCEPT [14190100:6388897512]
:INPUT ACCEPT [14995424:6574565922]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [8641629:11300679172]
:POSTROUTING ACCEPT [8708770:11305550101]
:ADSL - [0:0]
:DEFAULT - [0:0]
:VPN - [0:0]
-A PREROUTING -i lo -j ACCEPT
-A PREROUTING ! -s 192.168.1.0/27 -m conntrack --ctstate NEW,RELATED -m mac --mac-source 1C:7E:E5:D1:83:3A -j VPN
-A PREROUTING ! -s 192.168.1.0/27 -m conntrack --ctstate NEW,RELATED -m mac --mac-source 10:47:80:64:54:C0 -j ADSL
-A PREROUTING -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
-A OUTPUT -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
-A OUTPUT ! -d 192.168.0.0/16 ! -o lo -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1493:1500 -j TCPMSS --set-mss 1492
-A ADSL -j CONNMARK --set-xmark 0x2/0xffffffff
-A DEFAULT -j VPN
-A VPN -j CONNMARK --set-xmark 0x1/0xffffffff
COMMIT
# Completed on Fri Apr  1 22:43:18 2016
# Generated by iptables-save v1.4.12 on Fri Apr  1 22:43:18 2016
*nat
:PREROUTING ACCEPT [304557:58283027]
:INPUT ACCEPT [158518:9643560]
:OUTPUT ACCEPT [436941:30772530]
:POSTROUTING ACCEPT [436941:30772530]
-A POSTROUTING ! -s 192.168.1.0/27 ! -d 192.168.0.0/16 -o mac0 -j SNAT --to-source 192.168.1.12
COMMIT
# Completed on Fri Apr  1 22:43:18 2016
# Generated by iptables-save v1.4.12 on Fri Apr  1 22:43:18 2016
*filter
:INPUT DROP [49454:3834842]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [8641629:11300679172]
:NOWAY - [0:0]
:SSH_CHECK - [0:0]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m conntrack --ctstate DNAT -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -s 192.168.1.0/27 -j ACCEPT
-A INPUT -s 192.168.56.0/24 -j ACCEPT
-A INPUT -i eth0 -p tcp -m multiport --dports 9,22,23,25,110,4899 -m conntrack --ctstate NEW -j SSH_CHECK
-A INPUT -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p tcp -m tcp --dport 81 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p udp -m udp --dport 9987 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p tcp -m multiport --dports 25565:25574 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p tcp -m tcp --dport 30033 -m conntrack --ctstate NEW -j ACCEPT
-A NOWAY -p tcp -j REJECT --reject-with tcp-reset
-A NOWAY -j REJECT --reject-with icmp-port-unreachable
-A SSH_CHECK -m conntrack --ctstate NEW -m recent --set --name SSH --rsource
-A SSH_CHECK -m conntrack --ctstate NEW -m recent --rcheck --seconds 90 --hitcount 4 --name SSH --rsource -j NOWAY
COMMIT
# Completed on Fri Apr  1 22:43:18 2016


Домашний сервер, эсличо…