Настройки iptables

[Roquen]

Всех приветствую!!!!
Не могу ни как разобраться с настройками iptables.
Задача: есть одна большая локальная сеть с множеством клиентов. В этой сети есть сервер на Ubuntu 8.10, этот сервер должен раздавать интернет нескольким компьютерам(не всем).
Почитав разные статейки, понял что выгоднее всего будет воспользоваться vpn сервером на основе PPTP, так как доступ к интернету смогу получить только те пользователи которые пройдут аутентификацию.
На сервере имеется одна сетевая карта (eth0), по этой карте устанавливается PPPoE соединение, откуда и естественно берется интернет(ppp0). При подключении клиента соответственно образуется соединение(ppp1).

PPTP установил все в порядке соединение с клиентом осуществляется, но так как не прописано настроек iptables то интернета по соединению нет. Ни как не получается правильно настроить  iptables:-[
Прошу помощи в настройке iptables. Буду благодарен за любую полезную информацию и разъяснения. Допустим что изначально iptables чист.
Имеющиеся настройки:

etc/pptpd.conf

(Нажмите, чтобы показать/скрыть)

logwtmp
locallip 10.15.0.1
remoteip 10.15.0.2-10

etc/ppp/pptpd-option

(Нажмите, чтобы показать/скрыть)

auth
name pptpd
refuse-pap
refuse-chap
refuse-mschap
require-mschap-v2
require-mppe
ms-dns 10.15.0.1
proxyapr
nodefaultroute
lock
nodsdcomp

etc/ppp/chap-secrets

(Нажмите, чтобы показать/скрыть)

...
user pptp user "*"

ifconfig

(Нажмите, чтобы показать/скрыть)

eth0      Link encap:Ethernet  HWaddr 00:d0:b7:d5:cf:1d 
          inet addr:10.15.0.1  Bcast:10.15.0.255  Mask:255.255.255.0
          inet6 addr: fec0::b:2d0:b7ff:fed5:cf1d/64 Scope:Site
          inet6 addr: 2002:5b92:27e6:b:2d0:b7ff:fed5:cf1d/64 Scope:Global
          inet6 addr: fe80::2d0:b7ff:fed5:cf1d/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:47770 errors:0 dropped:0 overruns:0 frame:0
          TX packets:12568 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:5158214 (4.9 MB)  TX bytes:1776141 (1.6 MB)

lo        Link encap:Local Loopback 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:20 errors:0 dropped:0 overruns:0 frame:0
          TX packets:20 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:1264 (1.2 KB)  TX bytes:1264 (1.2 KB)

ppp0      Link encap:Point-to-Point Protocol 
          inet addr:91.146.39.230  P-t-P:217.14.207.51  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1492  Metric:1
          RX packets:521 errors:0 dropped:0 overruns:0 frame:0
          TX packets:5 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3
          RX bytes:36965 (36.0 KB)  TX bytes:86 (86.0 B)

iptables-save

(Нажмите, чтобы показать/скрыть)

с интернетом

# Generated by iptables-save v1.3.8 on Mon May 24 23:04:52 2010
*mangle
:PREROUTING ACCEPT [44146:4572557]
:INPUT ACCEPT [21424:2353024]
:FORWARD ACCEPT [5772:660822]
:OUTPUT ACCEPT [6487:936622]
:POSTROUTING ACCEPT [12291:1604431]
-A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Mon May 24 23:04:52 2010
# Generated by iptables-save v1.3.8 on Mon May 24 23:04:52 2010
*nat
:PREROUTING ACCEPT [29534:2860068]
:POSTROUTING ACCEPT [468:30226]
:OUTPUT ACCEPT [138:13234]
COMMIT
# Completed on Mon May 24 23:04:52 2010
# Generated by iptables-save v1.3.8 on Mon May 24 23:04:52 2010
*filter
:INPUT DROP [6793:865824]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [1712:259314]
-A INPUT -s 217.14.207.51 -i ppp0 -p udp -m udp --dport 53 -j ACCEPT
-A FORWARD -s 217.14.207.51 -i ppp0 -o eth0 -j ACCEPT
-A FORWARD -d 217.14.207.51 -i eth0 -o ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 217.14.207.51 -i ppp0 -o ppp0 -j ACCEPT
-A FORWARD -d 217.14.207.51 -i ppp0 -o ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Mon May 24 23:04:52 2010


без интернета

# Generated by iptables-save v1.3.8 on Mon May 24 23:05:32 2010
*mangle
:PREROUTING ACCEPT [44676:4617330]
:INPUT ACCEPT [21844:2387689]
:FORWARD ACCEPT [5772:660822]
:OUTPUT ACCEPT [6487:936622]
:POSTROUTING ACCEPT [12291:1604431]
COMMIT
# Completed on Mon May 24 23:05:32 2010
# Generated by iptables-save v1.3.8 on Mon May 24 23:05:32 2010
*nat
:PREROUTING ACCEPT [30061:2904542]
:POSTROUTING ACCEPT [468:30226]
:OUTPUT ACCEPT [138:13234]
COMMIT
# Completed on Mon May 24 23:05:32 2010
# Generated by iptables-save v1.3.8 on Mon May 24 23:05:32 2010
*filter
:INPUT DROP [7213:900489]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [1712:259314]
COMMIT
# Completed on Mon May 24 23:05:32 2010

[AnrDaemon]

1. Воткнуть отдельную сетевую, по которой будет приходить инет.
Ты сдурел свою сеть голой жопой в сети провайдера держать?

2. require-mppe-128

3. Забить pppoe интерфейс куда-нибудь "выше тысячи".
Иначе есть шанс, что он поплывёт, и вместо ppp0 окажется что-то непредсказуемое.

Когда всё это сделаешь, поговорим о настройках фильтра.

[djrust]

AnrDaemon
А что значит голой попой?кабель в сетевую без роутера?

[AnrDaemon]

AnrDaemon
А что значит голой попой?кабель в сетевую без роутера?

Посмотри на его ifconfig и ответь сам на свой вопрос...

[djrust]

AnrDaemon
ну да)))гггг....

[Roquen]

Раз нельзя на одной сетевой карте дк нельзя будет думать о другом решении.
....А стоп

А возможен такой вариант как в сервере две сетевых карты, которые фактически входят в одну сеть(сеть провайдера). Одна карта будет держать интернет другая локальную сеть???

[AnrDaemon]

Раз нельзя на одной сетевой карте дк нельзя будет думать о другом решении.
....А стоп

А возможен такой вариант как в сервере две сетевых карты, которые фактически входят в одну сеть(сеть провайдера). Одна карта будет держать интернет другая локальную сеть???

Ты сам понимаешь, какой бред ты несёшь? Или ты просто недоговариваешь чего-то? Или банально не понимаешь? Спроси - объясним.

[Roquen]

Ну давайте сначала.
VPN  — обобщённое название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети.
 
Как уже писал есть сеть с множество компьютеров, требуется по верх этой сети создать сеть из нескольких компьютеров, которые бы получали интернет от одного компьютера и другие нет. По моему это возможно, если нельзя объясните почему.

[AnrDaemon]

Это возможно, но это не та проблема, в которую я тебя тыкаю носом.

Сейчас твоя сеть выглядит как
{Internet}-{помойка твоя сеть}-(твой сервер)

А должна выглядеть как
{Internet}-{помойка}-(твой сервер)-{твоя сеть}

Переводя на русский, твоя сеть сейчас в помойке. Когда это исправишь, поговорим об остальном.

[Roquen]

Спасибо понял

[matt]

Блин тему перепрочитал уже раз 100, и все равно не догоняю.
Вот у меня кажется такая же ситуация как и у автора.
Есть сеть, есть провайдер который дает инет, и надо сети раздать инет.
Я аналогично решил по VPN сделать это.

Как это все выглядит (сеть небольшая, дома раскидываю инет)
Есть свич в который впихнул 3 домашних компа и кабель от провайдера
1 Домашний мой комп
2 Домашний брата комп
3 Сервер Ubuntu который в теории должен раздавать инет.

У всех 3 машин по 1 сетевухе и они все подрублены к свичу. Ubuntu конектится к првоайдеру по pppoe соединению. VPN сеть подымается с в легкую,а вот инет не могу раздать, опят же таже проблема что и у автра не вкуриваю как настроить iptables.

Возвращаясь к тебе, как я понимаю мой способ посторение сети получается не верынм, как я понимаю вы наводите на мысль что правильно будет сделать так
1 Комп сервер Ubuntu 2 сетевухи, в одну сетевуху вгоняем кабель провайдера, вторая сетевуха идет к свичу
2 Комп домашний брата, кабель в свич
3 комп домашний мой, кабель в свич
Я верно все понимаю ? или же как я изначально сделал при таком раскладе то же можно все нормально сделать

[AnrDaemon]

Повторю избитую, но тем не менее истину - возможно всё. Не всё стоит делать.

Возвращаясь к тебе, как я понимаю мой способ посторение сети получается не верынм, как я понимаю вы наводите на мысль что правильно будет сделать так
1 Комп сервер Ubuntu 2 сетевухи, в одну сетевуху вгоняем кабель провайдера, вторая сетевуха идет к свичу
2 Комп домашний брата, кабель в свич
3 комп домашний мой, кабель в свич
Я верно все понимаю ?

Да. Причём в вашем случае даже никакого VPN'а городить не надо. Не думаю, что вы с братом настолько ненавидите друг друга, что будете считаться мегабайтами интернета.

[matt]

Не ну на самом деле я понимаю что ВПН тут особо не к чем, достаточно шлюза, но цель ВПН получить знания в его поднятии и конфигурации, в будущем пригодится =)
PS AnrDaemon спасибо за помощ, буду переделывать сетку =)

[Roquen]

Ну вот допустим еще одну ситуация. Создана защищенная виртуальная сеть внутри(openVPN) сети провайдера, все очень хорошо шифруются, подключится к сети кому попало сервер не даст. Можно ли дать интернет в виртуальную сеть???
вот ifconfig:

(Нажмите, чтобы показать/скрыть)

eth0      Link encap:Ethernet  HWaddr 00:d0:b7:d5:cf:1d 
          inet addr:10.15.0.1  Bcast:10.15.0.255  Mask:255.255.255.0
          inet6 addr: fec0::16:2d0:b7ff:fed5:cf1d/64 Scope:Site
          inet6 addr: 2002:5b92:23a6:16:2d0:b7ff:fed5:cf1d/64 Scope:Global
          inet6 addr: fe80::2d0:b7ff:fed5:cf1d/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:161214 errors:0 dropped:0 overruns:0 frame:0
          TX packets:111638 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:20795967 (19.8 MB)  TX bytes:15986290 (15.2 MB)

lo        Link encap:Local Loopback 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:4 errors:0 dropped:0 overruns:0 frame:0
          TX packets:4 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:200 (200.0 B)  TX bytes:200 (200.0 B)

ppp0      Link encap:Point-to-Point Protocol 
          inet addr:91.146.39.230  P-t-P:217.14.207.7  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1492  Metric:1
          RX packets:72627 errors:0 dropped:0 overruns:0 frame:0
          TX packets:65378 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3
          RX bytes:7443285 (7.0 MB)  TX bytes:6511584 (6.2 MB)

tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 
          inet addr:10.10.10.1  P-t-P:10.10.10.2  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)

[AnrDaemon]

Повторяю ещё раз. Либо вы мне лжете, и сеть не ваша, либо вы подключаете свой сервер МЕЖДУ сетью провайдера и своей, а не с краю от помойки.