Squid- maily
Ahojte, Squid nam na sieti bezi bez problenmov az na jeden. Nedaju sa rozbehat maily v klientovi (Thunderbird). Klient vypisuje, ze hlada hostitela, hoci cez terminal na ping reaguje. Porty 25, 139, 110, 143 su v Squide zaradene medzi Safe_ports. Je mozne ze nejak nepozna DNS? Dakujem za napady a nasmerovanie.
Žijem v krajine, kde aj zajtra znamená predvčerom :-)
Pre pridávanie komentárov sa musíte prihlásiť.
Panelakova siet, cca 15 PC v sieti. Spolocny router a proxy server. Router je nastaveny aby odpovedal na poziadavku pridelenia dyn.IP adresy, ostatne poziadavky len proxy masine- toto je kvoli notorickym preinstalovavacom okien a stahovacom.
Klienti maju v sietovych nastaveniach DHCP. Brana je nastavena na IP proxy.
Problem je, ze pri takomto nastaveni nefunguje u klientov RDP (napr. do prace), nedaju sa nahodit maily do Thunderbirdu a pod...
Preco to nenastavis tak, ze bude samostatna siet (v ponimani IP adries) pre Router+Server a samostatna pre Server+Klienti? Napriklad Router+Server by mali siet 10.0.1.0/24 a Router+Klienti by mali siet 10.0.0.0/24, pricom Server by sluzil ako gateway pre Klientov a Router by odpovedal len na poziadavky, ktore by prisli zo Servera. Potom by uz stacilo spustit DHCP na Serveri, vypnut na Routri, dalej na Serveri nastavit forwardovanie packetov a hotovo. Mas z toho skoro plnohodnotny router, mozes santit s iptables, so squidom (napriklad ako transparent proxy) a s cim chces. A nebude uz ziadny problem s emailami ani nicim inym.
Samozrejme, stale je tu moznost, ze nejaky zlomyselny pouzivatel si nastavi IP a MAC adresu rovnaku, ako ma vonkajsie rozhranie Servera a bude pristupovat priamo na Router, ale to moze urobit aj teraz.
Nieco, ako na tomto obrazku.
Ale je to v celku jednoduche:
Povolime forvardovanie packetov: echo 1 > /proc/sys/net/ipv4/ip_forward
Vymazeme vsetky predosle nastavenia: (iptables -F FORWARD)
Nastavis si default politiku pre forwardovane packety na DROP (iptables -P FORWARD DROP).
Povolime vsetky uz nadviazane spojenia (iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT)
a nasledne uz len nastavujes porty ktore maju byt povolene a ktorym smerom:
(iptables -A FORWARD -s 192.168.0.0/24 -d ! 192.168.0.0/24 -p tcp --dport 1234 -j ACCEPT) akceptuje pripojenia z LAN na port 1234
(iptables -A FORWARD -s ! 192.168.0.0/24 -d 192.168.0.0/24 -p tcp --dport 4321 -j ACCEPT) akceptuje pripojenia z inetu na port 4321
Nasledne to uz iba vlozis do scriptu a das ho spustat pri starte systemu:
#!/bin/bash
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -F FORWARD
iptables -P FORWARD DROP
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 192.168.0.0/24 -d ! 192.168.0.0/24 -p tcp --dport 1234 -j ACCEPT
iptables -A FORWARD -s ! 192.168.0.0/24 -d 192.168.0.0/24 -p tcp --dport 4321 -j ACCEPT
Toto je taky maly jednoduchy priklad z ktoreho mozes vychadzat. Dufam ze ti to pomoze
Na Routri by vyzerala routovacia tabulka nejako takto (pseudoformat): Na Serveri by vyzerala routovacia tabulka nejako takto: A na klientoch by vyzerala nejako takto:
Routovacie tabulky na serveri a na klientoch by sa teda nastavili automaticky. Rucne by bolo treba pridat len jedno pravidlo do Routra (hrubo vyznacene).