Ограничить ресурсы apache, направить внутренний HTTP-трафик в squid

[AnrDaemon]

добавил форвардинг заголовков
-A FORWARD -p tcp -m tcp --tcp-flags RST,SYN SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

TCPMSS в filter не работает.
А первый конфиг больной на всю голову.
С самых первых строк. Просто взрыв мозга.

[BSB]

добавил форвардинг заголовков
-A FORWARD -p tcp -m tcp --tcp-flags RST,SYN SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

TCPMSS в filter не работает.
А первый конфиг больной на всю голову.
С самых первых строк. Просто взрыв мозга.

так я в mangle поставил
На форуме целая куча топиков про "расшарить". Какой из них тру?

[ArcFi]

BSB, вот, это можете добавить:

Код: [Выделить]

*mangle
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A FORWARD -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1300:1500 -j TCPMSS --clamp-mss-to-pmtu
-A OUTPUT -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1300:1500 -j TCPMSS --clamp-mss-to-pmtu
COMMIT

На форуме целая куча топиков про "расшарить". Какой из них тру?

Прикреплённый, в шапке раздела:
https://forum.ubuntu.ru/index.php?topic=107492.0

[BSB]

правильно ли я понимаю, что:
1. Убедившись, что в sysctl.conf существует строчка

Код: [Выделить]

net.ipv4.ip_forward=1можно уже не делать постоянно этого:

Код: [Выделить]

echo 'net.ipv4.ip_forward = 1' >>/etc/sysctl.conf2. Перезапуск сети

Код: [Выделить]

/etc/init.d/networking restart- не отменяет настроек dnsmasq;
- не делает необходимостью перезапуска каких-либо сетевых служб;
- обновляет iptables, если в interfaces для интерфейса lo прописано

Код: [Выделить]

post-up iptables-restore </etc/iptables.conf?
Пользователь решил продолжить мысль 18 Августа 2013, 01:23:21:
Пользователь решил продолжить мысль 18 Августа 2013, 01:39:47:Теперь работает даже вот так:

Код: [Выделить]

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.0.0/24 -i eth1 -p tcp -m conntrack --ctstate NEW -m multiport --dports 22,53,80,6543,6544 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -i eth1 -p udp -m conntrack --ctstate NEW -m multiport --dports 53,67,123 -j ACCEPT
-A INPUT -s 192.168.2.0/24 -i wlan0 -p tcp -m conntrack --ctstate NEW -m multiport --dports 22,53,80,6543,6544 -j ACCEPT
-A INPUT -s 192.168.2.0/24 -i wlan0 -p udp -m conntrack --ctstate NEW -m multiport --dports 53,67,123 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p icmp -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -i eth1 -j ACCEPT
-A FORWARD -s 192.168.2.0/24 -i wlan0 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

*mangle
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A FORWARD -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1300:1500 -j TCPMSS --clamp-mss-to-pmtu
-A OUTPUT -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1300:1500 -j TCPMSS --clamp-mss-to-pmtu
COMMIT

*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -s 192.168.0.0/24 ! -d 192.168.0.0/24 -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128
-A PREROUTING -s 192.168.2.0/24 ! -d 192.168.2.0/24 -i wlan0 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128
-A POSTROUTING -s 192.168.0.0/24 ! -d 192.168.0.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.2.0/24 ! -d 192.168.2.0/24 -o eth0 -j MASQUERADE
COMMIT

Остается последние два вопроса:
1. Помогите отыскать лишние ACCEPT?
2. 6543 и 6544 хочется сделать доступными только внутри подсетей 192.168.0.0/24 и 192.168.2.0/24. Это как можно сделать?

[ArcFi]

1) Насчёт net.ipv4.ip_forward, верно.
2) По поводу рестарта сети, хз, т.к. у меня не убyнта.
3) Что касается ACCEPT, по-моему, уже сейчас достаточно хорошо.
4) 6543/tcp и 6544/tcp у вас открыты только со стороны eth1 и wlan0.

Если потребуется открыть ещё какие-то порты, список есть тут:
http://en.wikipedia.org/wiki/List_of_TCP_and_UDP_port_numbers

Кроме того, можно узнать, какой сервис на каком порту висит, в текущий момент:

Код: [Выделить]

sudo ss -lnptu | sort
Если что-то не работает, добавляем в конец соответствующей цепочки перед терминирующим правилом логирование:

Код: [Выделить]

-A INPUT -s 192.168.0.0/24 -i eth1 -j LOG --log-prefix "input.lan"
-A INPUT -s 192.168.2.0/24 -i wlan0 -j LOG --log-prefix "input.wlan"И в /var/log/messages осядут пакеты, которые не прошли по предыдущим правилам.

[BSB]

Спасибо, всё встало на свои места.

Но только я подумал, что всё, появилась проблема: клиент не может получить адрес

Код: [Выделить]

tcp    LISTEN     0      5              127.0.0.1:53                    *:*      users:(("dnsmasq",7708,9))
tcp    LISTEN     0      5                    ::1:53                   :::*      users:(("dnsmasq",7708,11))
tcp    LISTEN     0      5            192.168.0.1:53                    *:*      users:(("dnsmasq",7708,7))
tcp    LISTEN     0      5       fe80::21b:fcff:febe:9865:53                   :::*      users:(("dnsmasq",7708,21))
udp    UNCONN     0      0              127.0.0.1:53                    *:*      users:(("dnsmasq",7708,8))
udp    UNCONN     0      0                    ::1:53                   :::*      users:(("dnsmasq",7708,10))
udp    UNCONN     0      0            192.168.0.1:53                    *:*      users:(("dnsmasq",7708,6))
udp    UNCONN     0      0       fe80::21b:fcff:febe:9865:53                   :::*      users:(("dnsmasq",7708,20))cat /etc/dnsmasq.conf

Код: [Выделить]

interface=eth1
listen-address=192.168.0.1
bind-interfaces
domain=linux.lan
dhcp-range=192.168.0.2,192.168.0.254,255.255.255.0,24h
dhcp-option=3,192.168.0.1Пользователь решил продолжить мысль 18 Августа 2013, 05:24:41:Да, и перезагрузка шла минут пять из-за того, что не мог включиться wlan0.
И еще одна, на мой взгляд, незначительная проблема: перестал запускаться Network Manager
Пользователь решил продолжить мысль 18 Августа 2013, 05:43:39:Убрал wlan0 и добавил лог, но /var/log/messages отсутствует.

Код: [Выделить]

*nat
:PREROUTING ACCEPT [826:269569]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [619:60171]
:POSTROUTING ACCEPT [619:60171]
-A PREROUTING -s 192.168.0.0/24 ! -d 192.168.0.0/24 -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A POSTROUTING -s 192.168.0.0/24 ! -d 192.168.0.0/24 -o eth0 -j MASQUERADE
COMMIT

*mangle
:PREROUTING ACCEPT [8641:2352457]
:INPUT ACCEPT [8500:2324380]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [7008:1376263]
:POSTROUTING ACCEPT [7316:1444387]
-A FORWARD -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1300:1500 -j TCPMSS --clamp-mss-to-pmtu
-A OUTPUT -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1300:1500 -j TCPMSS --clamp-mss-to-pmtu
COMMIT

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [7008:1376263]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.0.0/24 -i eth1 -p tcp -m conntrack --ctstate NEW -m multiport --dports 22,53,80,6543,6544 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -i eth1 -p udp -m conntrack --ctstate NEW -m multiport --dports 53,67,123 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -i eth1 -j LOG --log-prefix "input.lan"
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p icmp -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -i eth1 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
В syslog ничего криминального.

И тем не менее, DHCP не пашет
Пользователь решил продолжить мысль 18 Августа 2013, 05:51:20:пофиг на DHCP, теперь и с жестко заданным адресом ничего не работает

лог прокси пуст

[AnrDaemon]

Вам уже говорили - кончайте извращаться, разрешите весь трафик из локальной сети.
И на вашем месте я бы объединил wlan0 и eth1 в бридж.

[BSB]

Вам уже говорили - кончайте извращаться, разрешите весь трафик из локальной сети.
И на вашем месте я бы объединил wlan0 и eth1 в бридж.

Пофиг на wlan0, обойдусь пока без пульта. Мне хотя бы нужен безопасный интернет на компьютерах.
Как вы предлагаете изменить, не пойму?

[ArcFi]

Как вы предлагаете изменить, не пойму?

Код: [Выделить]

-A INPUT -s 192.168.0.0/24 -i eth1 -j ACCEPT
-A INPUT -s 192.168.2.0/24 -i wlan0 -j ACCEPTвместо

Код: [Выделить]

-A INPUT -s 192.168.0.0/24 -i eth1 -p tcp -m conntrack --ctstate NEW -m multiport --dports 22,53,80,6543,6544 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -i eth1 -p udp -m conntrack --ctstate NEW -m multiport --dports 53,67,123 -j ACCEPT

добавил лог, но /var/log/messages отсутствует

В убyнтах это может быть другой лог, посмотрите рядом.

[BSB]

Поправил, но проблема теперь не в этом - при загрузке

перезагрузка шла минут пять из-за того, что не мог включиться wlan0.
И еще одна, на мой взгляд, незначительная проблема: перестал запускаться Network Manager

Так-то пофиг, но правила не применяются
Ручной перезапуск сети

Код: [Выделить]

/etc/init.d/networking restartвообще зависает О_о
(а до этого писал что-то про "file exists")
Пользователь решил продолжить мысль 18 Августа 2013, 14:06:37:если зачистить /etc/network/interfaces, оставив

Код: [Выделить]

auto lo
iface lo inet loopbackзагрузка происходит моментально
Пользователь решил продолжить мысль 18 Августа 2013, 14:14:01:nm-connection-editor матерится так:

Код: [Выделить]

** (nm-connection-editor:4011): WARNING **: Couldn't connect to system bus: Failed to connect to socket /var/run/dbus/system_bus_socket: Нет такого файла или каталога
** (nm-connection-editor:4011): WARNING **: Failed to initialize the UI, exiting...Пользователь решил продолжить мысль 18 Августа 2013, 14:26:14:при этом

Код: [Выделить]

# /etc/init.d/dnsmasq restart

 * Restarting DNS forwarder and DHCP server dnsmasq                             
dnsmasq: failed to create listening socket for 127.0.0.1: Адрес уже используется
                                                                         [fail]Пользователь решил продолжить мысль 18 Августа 2013, 14:34:47:В общем и целом, при таком iptables:

Код: [Выделить]

*nat
:PREROUTING ACCEPT [826:269569]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [619:60171]
:POSTROUTING ACCEPT [619:60171]
-A PREROUTING -s 192.168.0.0/24 ! -d 192.168.0.0/24 -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A POSTROUTING -s 192.168.0.0/24 ! -d 192.168.0.0/24 -o eth0 -j MASQUERADE
COMMIT

*mangle
:PREROUTING ACCEPT [8641:2352457]
:INPUT ACCEPT [8500:2324380]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [7008:1376263]
:POSTROUTING ACCEPT [7316:1444387]
-A FORWARD -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1300:1500 -j TCPMSS --clamp-mss-to-pmtu
-A OUTPUT -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1300:1500 -j TCPMSS --clamp-mss-to-pmtu
COMMIT

*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [7008:1376263]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.0.0/24 -i eth1 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -i eth1 -j LOG --log-prefix "input.lan"
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p icmp -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -i eth1 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMITничего не работает. Где я ошибся?
Пользователь решил продолжить мысль 18 Августа 2013, 15:25:23:Блин, достало всё! С нуля прошелся по мануалу:
1. interfaces один-в-один

Код: [Выделить]

# ifdown eth1
ifdown: interface eth1 not configured

# ifconfig eth1
eth1      Link encap:Ethernet  HWaddr 00:1b:fc:be:98:65 
          inet addr:192.168.0.1  Bcast:192.168.0.255  Mask:255.255.255.0
...

# sysctl -p
net.ipv4.ip_forward = 1

# iptables -F
# iptables -X
# iptables -t nat -F
# iptables -t nat -X
# iptables -t nat -A POSTROUTING -s 192.168.0.0/24 ! -d 192.168.0.0/24 -j MASQUERADE
# iptables -t mangle -A FORWARD -p tcp -m tcp --tcp-flags RST,SYN SYN -j TCPMSS --clamp-mss-to-pmtu
# iptables-save >/etc/iptables.conf
итого в iptables.conf:

Код: [Выделить]

# Generated by iptables-save v1.4.12 on Sun Aug 18 17:14:57 2013
*nat
:PREROUTING ACCEPT [106:14537]
:INPUT ACCEPT [106:14537]
:OUTPUT ACCEPT [19:2320]
:POSTROUTING ACCEPT [19:2320]
-A POSTROUTING -s 192.168.0.0/24 ! -d 192.168.0.0/24 -j MASQUERADE
COMMIT
# Completed on Sun Aug 18 17:14:57 2013
# Generated by iptables-save v1.4.12 on Sun Aug 18 17:14:57 2013
*mangle
:PREROUTING ACCEPT [1008:241501]
:INPUT ACCEPT [1008:241501]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [780:204704]
:POSTROUTING ACCEPT [785:205268]
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Sun Aug 18 17:14:57 2013
# Generated by iptables-save v1.4.12 on Sun Aug 18 17:14:57 2013
*filter
:INPUT ACCEPT [1318:310072]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1033:267522]
COMMIT
# Completed on Sun Aug 18 17:14:57 20132. Вот еще одна проблема:

Код: [Выделить]

# dpkg-reconfigure dnsmasq
 * Starting DNS forwarder and DHCP server dnsmasq                               
dnsmasq: failed to create listening socket for 127.0.0.1: Адрес уже используется
                                                                         [fail]
invoke-rc.d: initscript dnsmasq, action "start" failed.
Соответственно "service dnsmasq restart" то же самое.
3. /etc/dnsmasq.conf один-в-один

Выходит, проблема не в конфиге, а в том, с чем конфликтует dnsmasq:

Код: [Выделить]

tcp        0      0 127.0.0.1:53            0.0.0.0:*               LISTEN      3867/dnsmasq   
udp        0      0 127.0.0.1:53            0.0.0.0:*                           3867/dnsmasq   
udp        0      0 0.0.0.0:5353            0.0.0.0:*                           1131/avahi-daemon:
udp6       0      0 :::5353                 :::*                                1131/avahi-daemon: Пользователь решил продолжить мысль 18 Августа 2013, 15:50:48:после apt-get remove dnsmasq имеем

Код: [Выделить]

udp        0      0 0.0.0.0:5353            0.0.0.0:*                           1255/avahi-daemon:
udp6       0      0 :::5353                 :::*                                1255/avahi-daemon: после apt-get install dnsmasq имеем

Код: [Выделить]

tcp        0      0 127.0.0.1:53            0.0.0.0:*               LISTEN      3808/dnsmasq   
tcp        0      0 192.168.0.1:53          0.0.0.0:*               LISTEN      3808/dnsmasq   
tcp6       0      0 ::1:53                  :::*                    LISTEN      3808/dnsmasq   
udp        0      0 127.0.0.1:53            0.0.0.0:*                           3808/dnsmasq   
udp        0      0 192.168.0.1:53          0.0.0.0:*                           3808/dnsmasq   
udp        0      0 0.0.0.0:5353            0.0.0.0:*                           1255/avahi-daemon:
udp6       0      0 ::1:53                  :::*                                3808/dnsmasq   
udp6       0      0 :::5353                 :::*                                1255/avahi-daemon: после контрольной перезагрузки клиенты подцепляются нормально.
Остается дело за конфигом. Начинаю потихоньку усложнять правила
Пользователь решил продолжить мысль 18 Августа 2013, 16:21:25:блин, не хватало

Код: [Выделить]

-A FORWARD -i lo -j ACCEPTПользователь решил продолжить мысль 18 Августа 2013, 16:26:03:В процессе появился удобный скрипт для жонглирования правилами iptables
ipt [save|load|flush|list|apply] [file]
Пользователь решил продолжить мысль 18 Августа 2013, 17:10:58:Что-то поторопился я тему закрывать - после перезагрузки опять не работает

[BSB]

Как оказалось, снаружи веб-сервер не виден

[ArcFi]

Как оказалось, снаружи веб-сервер не виден

Логично — в ТЗ этого не было.

[BSB]

На нем крутится apache, на котором блог и настройки умного дома.

Две вещи хочется:
1. Сайт с настройками УД был доступен только с адресов интерфейса eth1.
2. Весь HTTP-трафик, не предназначенный для шлюза, перебрасывался в squid.

Пользователь решил продолжить мысль 20 Августа 2013, 21:05:41:Оно?

Код: [Выделить]

iptables -t nat -A PREROUTING -s 192.168.1.0/24 -dst 192.168.1.1 -i eth1 -p tcp -m tcp --dport 80 -j ACCEPTПользователь решил продолжить мысль 20 Августа 2013, 21:42:40:Если у меня снаружи на роутер приходят по 80-му порту, а в нем настроен проброс на шлюз - для самого шлюза это будет трафик со 192.168.1.1 или внешнего (динамического) адреса роутера?
Какое правило нужно на шлюзе дописать, чтобы этот трафик получать на стандартный 80-й порт?

[ArcFi]

Как я понял, вам надо разрешить входящий трафик с eth0 на 80/tcp.

[BSB]

Да. Мои вопросы относятся исключительно к пониманию работы сети и синтаксису iptables.
Правильно я понимаю, мне это нужно добавить в filter?:

Код: [Выделить]

-A INPUT -s 192.168.1.0/24 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -s 192.168.1.0/24 -p tcp -m tcp --dport 80 -j ACCEPT