Отправляет email-рассылки с помощью сервиса Sendsay

RFpro.ru: Установка и настройка Unix/Linux/FreeBSD

Подписаться Бесплатная «Золотая» новостная рассылка . Подписчиков 3.981 RSS
←   Январь 2010   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


За последние 60 дней ни разу не выходила


Сайт рассылки: http://admin.rusfaq.ru/nix
Открыта: 14-03-2002

Автор
Калашников О.А.

Статистика

3.981 подписчиков
0 за неделю
←   Все выпуски   →

RFpro.ru: Установка и настройка Unix/Linux/FreeBSD


Хостинг портала RFpro.ru:
Московский хостер
Профессиональный платный хостинг на базе Windows 2008

РАССЫЛКИ ПОРТАЛА RFPRO.RU

Чемпионы рейтинга экспертов в этой рассылке

vladisslav
Статус: 5-й класс
Рейтинг: 1059
∙ повысить рейтинг » 		Волков Алексей aka Lupo
Статус: 5-й класс
Рейтинг: 352
∙ повысить рейтинг » 		Руслан Тофикович
Статус: 5-й класс
Рейтинг: 335
∙ повысить рейтинг »

/ КОМПЬЮТЕРЫ И ПО / Установка и настройка ОС / Unix/Linux/FreeBSD

Номер выпуска:1291
Дата выхода:05.01.2010, 02:00
Администратор рассылки:Калашников О.А., Руководитель
Подписчиков / экспертов:807 / 184
Вопросов / ответов:1 / 1
IRC-канал по теме:#nix

Вопрос № 175738: Здравствуйте! Прошу помочь разобраться со следующей ситуацией. Ни один ПК в локальной сети не может выйти в интернет. Последовательность действий: 1. Установил Linux CENTOS 5.4 2. Прописал настройки сетевых карт : ifconfig-eth0 (dhcp), ifconfig...

Вопрос № 175738:

Здравствуйте! Прошу помочь разобраться со следующей ситуацией. Ни один ПК в локальной сети не может выйти в интернет. Последовательность действий:
1. Установил Linux CENTOS 5.4
2. Прописал настройки сетевых карт : ifconfig-eth0 (dhcp), ifconfig-eth1 192.168.0.1 255.255.255.0. Остальное здесь стало автоматически (маска, hastname, network)
Причем, что настроить их удалось только через конфигуратор system-config-network. А с консоли, так и не удалось, пишет при ifconfig eth1 192.168.0.1 255.255.255.0 up. "SIOCSIFADDR -не допустимый аргумент", такая же ситуация и по eth0 . Это первый нюанс.
3. Идем дальше в etc/sysconfig/network дописал FORWARD_IPV4=yes
4. А так же в etc/sysctl.conf сделал изменения net.ipv4.ip_forward=1 и net.ipv4.ip_always_defrag=1
5 Перезапустил /etc/rc.d/init.d/network restart
6. Теперь для того что-бы сервер обрабатывал запросы установил кеширующий dns-сервер yum install bind. Все поставилось. В появившемся файле /etc/nam ed.caching-nameserver.conf сделал изменения в синтаксисе:
allow-query {localhost; };
allow-query-cache {localhost; };
forwarders {yyy.yyy.yyy.yyy; }; где yyy.yyy.yyy.yyy - dns-адрес провайдера
7. В файле /etc/resolv.conf дописал nameserver yyy.yyy.yyy.yyy
8. На локальных компах прописал в качестве настроек dns адрес сервера-шлюза (eth1)192.168.0.1
9. И теперь настройки iptables, в первом случае через конфигуратор system-config-securitylevel уровень безопасности включен. SELinux принудительный режим. Доверенные устройства eth0 и eth1. На маскарадинге указываю обу карты. Разрешить входящие указываю www, https, smtp, порт 110 для забора почты, ssh. Все выхожу, сохраняюсь, перезапусаюсь. С локальных компьютеров набираю страницу к примеру mail.ru и вижу что идет перебор mail.net, mail.org, mail.com и невозможно отобразить страницу.
10 Вариант 2. Захожу в etc/sysconfig/iptables все комментирую и указываю iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 0/0 -o eth0 -j SNAT --to-source yyy.yyy.yyy.yyy-где yyy.yyy.yyy.yyy -адрес eth0
дописываю iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 0/0 -o eth0 --dport 80 -j SNAT --to-source yyy.yyy.yyy.yyy. Сохраняюсь перезапускаюсь. При проверке выдается : применяется правила браундмауера - iptables-restore : line 1 failed. Сбой. Соответственно, ни один комп не выходит в мир. Описал все действия. Прошу указать что здесь не правильно и как устранить проблемы, ведь сразу после праздников люди выйдут на работу.


Отправлен: 30.12.2009, 10:38
Вопрос задал: Kozyr76, Посетитель
Всего ответов: 1
Страница вопроса »

Отвечает PVS@Lviv, Профессионал :
Здравствуйте, Kozyr76.
Ну для начала
ifconfig eth1 192.168.0.1/255.255.255.0 up

С форвардом и кеширующим DNS на первый взгляд все нормально.

Хотелось бы видеть что там наваял конфигуратор для iptables (iptables-save), но руками все должно выглядеть так:

iptables -t nat -F
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source yyy.yyy.yyy.yyy

iptables -F
iptables -A FORWARD -p icmp -j ACCEPT
iptables -A FORWARD -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -p tcp --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp --dport 53 -j ACCEPT
iptables -A FORWARD -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -p tcp --dport 110 -j ACCEPT
iptables -A FORWARD -p tcp --dport 143 -j ACCEPT
iptables -A FORWARD -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -j DROP

идея такая: все что идет на выход - заNAT'ить на внешний IP-адрес, и указать что именно (icmp - ping лучше открыть,22-ssh,25-smtp,53-DNS,80-http,110-pop,143-imap,443-https) пропускать.

Также надо учесть, что некоторые сервисы разрешают пользование почтовыми программами только с шифрованием и через другие порты, так что список открытых портов у Вас еще пополнится "по заявкам трудящихся".

Для блуждания по internet'у я бы рекомендовал поставить прокси - множество сайтов держат некоторые части на портах отличных от 80 - указать их всех в правилах iptables - практически открыть все.

Ответ отправил: PVS@Lviv, Профессионал
Ответ отправлен: 30.12.2009, 13:13

Как сказать этому эксперту "спасибо"?
  • Отправить SMS #thank 258272 на номер 1151 (Россия) | Еще номера »
  • Отправить WebMoney:
    • Вам помогли? Пожалуйста, поблагодарите эксперта за это!

    Оценить выпуск »
    Нам очень важно Ваше мнение об этом выпуске рассылки!

    Задать вопрос экспертам этой рассылки »

    Скажите "спасибо" эксперту, который помог Вам!

    Отправьте СМС-сообщение с тестом #thank НОМЕР_ОТВЕТА
    на короткий номер 1151 (Россия)
    Номер ответа и конкретный текст СМС указан внизу каждого ответа.

    Полный список номеров »

    * Стоимость одного СМС-сообщения от 7.15 руб. и зависит от оператора сотовой связи. (полный список тарифов)
    ** При ошибочном вводе номера ответа или текста #thank услуга считается оказанной, денежные средства не возвращаются.
    *** Сумма выплаты эксперту-автору ответа расчитывается из суммы перечислений на портал от биллинговой компании.

    © 2001-2009, Портал RFpro.ru, Россия
    Авторское право: ООО "Мастер-Эксперт Про"
    Автор: Калашников О.А. | Программирование: Гладенюк А.Г.
    Хостинг: Компания "Московский хостер"
    Версия системы: 2009.6.13 от 28.12.2009
    В избранное