Колесниченко Д.Н. Cделай сам компьютерную сеть. Монтаж, настройка, обслуживание

Подождите немного. Документ загружается.

Глава 15. Подключаем локальную сеть к Интернету через Windows-сервер

-Автоматическая

настройка

Использование

автоматической

настройки может изменить

установленное

;

вручную

параметры. Для

использования

ручной настройки отключите

автоматическую

настройку.

Автоматическое

определение

настроек

I Использовать сценарий

автоматической

настройки

,:р

Прокси-сервер

Использовать

прокси-сервер

Адрес:

.|192.168.1.1

Порт:

|3128

Дополнительно...]

,Отмена

Рис.

15.36.

Параметры браузера

Затем нужно настроить все браузеры (на всех компьютера вашей локаль-

ной сети) на использование прокси-сервера. На рис. 15 вы видите парамет-

ры прокси-сервера браузера Internet Explorer 5.0. Порт по умолчанию — 3128.

Практически все остальные параметры, кроме параметров кэширования,

должны удовлетворить запросы практически любого администратора.

Перейдите на вкладку Кэширование. На этой вкладке вам нужно изме-

нить следующие параметры:

* Размер кэша = 20xN, где N — это количество компьютеров в вашей

локальной сети.

Объем кэш-памяти можно увеличить до 1024 Кб или даже до 2048.

Все зависит от объема оперативной памяти компьютера-шлюза и от

того, используется ли он для других целей, например, в качестве

рабочей станции для набора текста. Если шлюз «по совместитель-

ству» является еще и печатающей машинкой, то размер кэш-памяти

не нужно устанавливать большим — 1024 Кб вполне хватит, если же

компьютер выделен только под шлюз, размер памяти можно увели-

чить до 8096 Кб.

» Если на диске, на котором расположен кэш, нет больше места,

перенесите каталог кэширования на другой диск.

* Можно также увеличить размер кэшируемого объекта до 1024 Кб,

особенно это актуально для FTP.

На вкладке Доступ можно определить доступ к определенным ресурсам

только определенным группа пользователей. Разобраться с этой странич-

кой несложно, поэтому перейдем сразу к настройке почтового сервера.

Часть V. Подключаем локальную сеть к Интернету. Общий выход в Интернет

Примечание.

Стоит только отметить,

что

при указании имени ресурса вы можете исполь-

зовать символьные маски * и ? как при указании маски файла. Например,

маска *bmw* выделит все ресурсы, в имени которых содержится слово

«bmw».

WinRoute — почтовый сервер

Сразу нужно отметить, что в состав программы WinRoute входит простой

почтовый (SMTP/POP3) сервер, который, впрочем, позволит вам полу-

чать почту от других пользователей (включая пользователей сети Интер-

нет) и отправлять почту по протоколу SMTP. Если вас интересует про-

фессиональный почтовый сервер, посетите страничку www.kerio.com. На

ней вы найдете Kerio

MailServer

5, который обладает антивирусной за-

щитой, фильтром вложений, функцией ограничения доступа, Web-интер-

фейсом и многими другими полезными функциями.

Намного рациональнее установить Kerio MailServer 5 или же

просто

ис-

пользовать почтовый сервер провайдера, не ломая себе голову настрой-

кой WinRoute — в любом случае сервер провайдера будет работать на-

дежнее и будет более функциональным, чем почтовый сервер WinRoute.

WinRoute — DHCP-сервер

А вот с сервером DHCP все намного проще. Его функций вполне хвата-

ет, чтобы в вашей сети появился полноценный DHCP-сервер. Для вклю-

чения DHCP-сервера выберите команду меню Настройки

—>

Сервер DHCP,

а затем отметьте флажок Включить сервер DHCP. Для создания нового

диапазона IP-адресов нажмите кнопку Новый диапазон.

Маска;

|255.255.255.0

"Параметры

[Л

Доменное имя

Сервер DNS

Сервер WINS

ЛШлюз

по

умолч.

Указать

значение:

OKJ

Отмена [

Рис.

15.37.

Параметры диапазона IP-адресов

350

Глава

15.

Подключаем локальную сеть к Интернету через Windows-сервер

В появившемся окне (рис. 15.37) введите новый диапазон, например,

192.168.1.2...192.168.1.20,

маску сети — 255.255.255.0. Также можно ука-

зать дополнительные параметры, такие как:

* Время выделения;

Доменное имя;

» Сервер DNS;

Сервер WINS;

* Шлюз по умолчанию.

Нажав на Ок, вы получите свой DHCP-сервер с указанными параметра-

ми (рис. 15.38).

Настройка клиентов производится как обычно — нужно настроить

все

клиенты сети на автоматическое получение IP-адреса.

••'!

Сервер

DHCP

ШШ

Вк-пючшЩрвр

'ЙНЙт;;

•

;

•

: | :

•

;

Диапазоны

Параметры

Параметры по

умолчанию

|ljj

;

О ШИНШИИ

Выбор

имени

Маска

•Ли

Время

выделе...

Ц^Шлюзпоамолч.

Сервер DNS

Значение

"255Ж255.0"

12:00

192.168.1.1

192.68.1.1

.. [

Jo6aBtfrb

выделен.

...||

Изменить...

[ Удалить

Дополнительно...!

К I Отмена I

Применить

Рис. 15.38. DHCP-сервер

WinRoute

— ретранслятор DNS

Программа WinRoute выполняет функции ретранслятора сервера DNS,

то есть самим сервером она не является, но перенаправляет DNS-запро-

сы

клиентов на один из DNS-серверов, известных операционной систе-

ме. Вы можете также указать отдельный DNS-сервер, например, сервер

провайдера.

351

Часть V. Подключаем локальную сеть к Интернету. Общий выход в Интернет

WinRoute также может выполнять функции кэширующего

DNS-сервера,

что позволяет немного ускорить время обращения к Интернет-ресурсам,

поскольку ответ приходит от кэширующего сервера DNS (в роли кото-

рого выступает WinRoute), а не от сервера провайдера. Все, что вам нужно

для ретрансляции DNS — это ее включить. Справедливости ради нужно

отметить, что она включена по умолчанию.

Изменить параметры ретрансляции можно в окне Ретранслятор DNS (выз-

вать его можно выбрав Настройки

-»

Ретранслятор DNS), показанном на

рис. 15.39.

Параметры по умолчанию должны устроить большинство администрато-

ров, поэтому я не думаю, что вам придется их изменять.

Ретранслятор

DNS

Включить

ретрансляцию

Ш|-

Перенаправлять

запросы

DNS

на сервер по

автоматическому

выбору

из

DNS-серверов,

известных

операционной системе

Перенаправлять

запросы DNS на

указанный

(-е) сервер

(-ы)

I I?

Включить

кэш для

декор

ответов

на повторные запросы

;

: :

;•

Упрощенное

определение

DNS-

Прежде чем

направлять

запрос,

искать имя в :

Файяе

HOSTS

Правка

файла...]

таблице

выделенных

DHCP

Определяя

имя

по

Файлу

HOSTS

илитаблице

вьщеления,

объединить

его с

ipcesaHfttjfMSO^eHOM

DNS :

Отмена

Рис. 15.39. Параметры ретрансляции DNS

Фильтрация пакетов

Программа WinRoute также может выполнять функции бастиона (меж-

сетевого экрана). Рассмотрим как действуют политики WinRoute. Откройте

окно пакетного фильтра (Настройки

-»

Дополнительно

-»

Фильтр паке-

тов). В этом окне (см. рис. 15.40) вы увидите две вкладки — одна для

входящих пакетов, другая — для исходящих.

На каждой страничке вы можете определить интерфейс, для которого

хотите определить правила фильтрации. Также можно определить пра-

вила для любого интерфейса. Предположим, что у нас есть последова-

тельность

правил

для

интерфейса

linel

(модемное

соединение):

352

Глава 15. Подключаем локальную сеть к Интернету через Windows-сервер

Входящие | Исходящие I

IRealtek

8133

series PCI NIC

Dial in

adapter

Й--

Iine1

•"•••

•§•

Любой интерфейс

Добрить...!

Отмена

Рис.

15.40.

Пакетный фильтр

Ввод

элемента

данных

рактеристикз

пакета

Протокол:

[тер

Отправитель

Йдресат

Тип:-.

Любой адрес

Тип:]

Узел

IP-адрес

:]194.67.88.9S|

flogTij

Любой

Флажки

TCP

] 1

Только

при

установленной TCP-связи

Г~

олько

при

установке

TCP-связи

Порт:]

Равный

(=)

Действие

Регистрация пакета

;

(-Имеет

сила

а3реш

ить

Запись

ваайя

Временной

интервал

[(Постоянно)

Игнорировать

Регюр

„^

С*

Запретить

;

ОК

Отмена

Рис. 15.41. Создание правила, разрешающего всем доступ

к нашему Web-серверу 194.67.88.99:80

353

Подключаем локальную

сеть к Интернету через

Linux-сервер

Часть V. Подключаем локальную сеть к Интернету. Общий выход в Интернет

Си-IB»

Realtek

81ЗЭ

series PCI NIC

'i-jgjj

Dial in

adaptei

linel

-f

TCP Любой

язел

все порты

°=>

194.87.88.99

порт=80

TCP Любой

узел

все порты

194.67.88.99

порт=110

UDP Любой

узел

порт=53

=> Любой

узел

порт=53

•

TCP

Дюбрйазел

все порты

Любой

цзел

порт<1024

У-

ШЯ||||Д8РНцжШм1ЙШЮшМ8ШшШ8Ш

•^

Любой интерфейс

Добавить...

Изменкгь...

Удалить

ОК

J Отмена j

Применить

Рис. 15.42. Политика безопасности

Поиск правила осуществляется в порядке его добавления. Например, если

было найдено совпадение с правилом В,

то

правила С и D не обрабаты-

ваются.

Как же составлять последовательность

правил?

Сначала в индивидуаль-

ном порядке разрешаем

передачу

входящих/исходящих пакетов для ком-

пьютеров, для которых допускается использование извне, например, для

Web-сервера, РОРЗ-сервера. Номера портов, как правило, в этом случае

будут меньше 1024. Затем разрешаем входящие

UDP-пакеты,

номера

портов которых равняются 53 — это необходимо для службы

DNS.

За-

тем запрещаем входящие

TCP/UDP-пакеты,

номера портов которых мень-

ше

1024.

354

Часть V. Подключаем локальную сеть к Интернету. Общий выход в Интернет

16.2. Пошаговое

описание

настройки шлюза

16.2.1. Настройка ядра

Скорее всего, вам придется перекомпилировать ядро. При этом должны

быть активизированы следующие опции:

Networkina

support (CONFIG NET)

Tvl

Подключаем локальную

сеть к Интернету через

Linux-сервер

16.1.

Постановка задачи. Выбор

конфигурации

Сначала определим функции, которые должен выполнять шлюз:

Поддержка связи с провайдером.

2. Маршрутизация IP-пакетов между локальной сетью и сетью Интер-

нет для выхода пользователей локальной сети в Интернет.

3. Обеспечение IP-сервиса.

4. Защита локальной сети от несанкционированного доступа из Ин-

тернет.

Конфигурирование шлюза в операционной системе Linux состоит из сле-

дующих этапов:

;

Настройка ядра.

2. Настройка сети.

3. Конфигурирование IpChains.

4. Настройка DNS.

5. Настройка Squid.

Для определенности будет использоваться два сетевых интерфейса —

ethO, идущий к провайдеру, и ethl — во внутренней сети. Пусть интер-

фейсу

eth0

назначен IP-адрес 111.111.111.111,

ethl

—

192.168.1.1.

355

Часть V. Подключаем локальную сеть к Интернету. Общий выход в Интернет

16.2. Пошаговое

описание

настройки шлюза

16.2.1.

Настройка ядра

Скорее всего, вам придется перекомпилировать ядро. При этом должны

быть активизированы следующие опции:

Networking

support

(CONFIG_NET)

[у]

TCP/IP

networking

(CONFIG_INET)

[у]

forwarding/gatewaying

(CONFIG_IP_FORWARD)

[y]

multicasting

(CONFIG_IP_MULTICAST)

[y]

firewalling

(CONFIG_IP_EIREWALL)

[y]

accounting

(CONFIG_IP_ACCT)

[y]

Можно также поэкспериментировать с набором опций Advanced Router,

если данные функции есть в вашем ядре. Более подробно о процессе

компилирования ядра вы можете прочитать в следующей главе.

16.2.2. Настройка сети

После перекомпилирования ядра нужно включить IP-forwarding. Сделайте

это при помощи следующей команды:

# echo "1" >

/proc/net/ip_forward

Настройку сетевых карт произведите с помощью программы netconf. О

том, как это сделать, было рассказано в начале книги, в соответсвующей

главе.

16.2.3. Конфигурирование IPTables (или

IpChains)

Теперь приступим к настройке IPChains/IPTables. В зависимости от ва-

шего дистрибутива, вы будете использовать один из этих бастионов.

Параллельно я буду писать команды IPChains и IPTables Создайте це-

почку, через которую пойдет весь трафик от провайдера:

ipchains -N prov

ipchains -A input -i ethO -j prov iptables -N prov

iptables -A INPUT -i ethO -j prov

356

Глава 16. Подключаем локальную сеть к Интернету через Linux-сервер

Запретите

ip-spoofing:

ipchains

-A

prov

-s

192.168.1.1/16

-1 -j

DENY

ipchains

-A

prov

-s

127.0.0.1/8

-1 -j

DENY

iptables

-A

prov

-s

192.168.1.1/16

-j

DROP

iptables

-A

prov

-s

127.0.0.1/8

-1 -j

DROP

Запретите Telnet снаружи:

ipchains

-A

prov

-p tcp

—destination-port

23 -j

REJECT

Эта же команда «в переводе на

IPtables»

будет выглядеть так:

iptables

-A

prov

-p tcp

—destination-port

23 -j

REJECT

Если вы не хотите, чтобы samba «светилась» наружу, запретите порты 137... 139:

ipchains

-A

prov

-p tcp

--destination-port

137 -j

REJECT

ipchains

-A

prov

-p udp

--destination-port

137 -j

REJECT

To же самое проделайте для портов 138 и 129. На IPTables данные ко-

манды будут выглядеть так:

iptables

-A

prov

-p tcp

--destination-port

137 -j

REJECT

iptables

-A

prov

-p udp

--destination-port

137 -j

REJECT

О настройке samba вы можете прочитать в

Samba-HOWTO.

Создайте цепочку для подсчета трафика:

ipchains -N trafin

ipchains

-I

input

-i

ethO

-s !

123.123.123.0/24

-p all -j

trafin

ipchains -A trafin -d

123.123.123.123

Соответственно, на iptables команды будут выглядеть следующим образом:

iptables -N trafin

iptables

-I

input

-i

ethO

-s !

123.123.123.0/24

-p all -j

trafin

iptables -A trafin -d

123.123.123.123

Для того чтобы ваши правила были постоянными (при перезагрузке ма-

шины правила IpChains теряются), используйте скрипты ipchains-save и

ipchains-restore.

Настройте свои правила, а затем выполните команду:

# ipchains-save >

/etc/ipchains.rules

iptables-save

/etc/iptables.rules

Далее создайте

скрипт,

подобный тому, что приведен в листинге

16.1.

357

Часть V. Подключаем локальную сеть к Интернету. Общий выход в Интернет

Листинг

16.1.

Скрипт управления пакетной фильтрацией на

ipchains

#! /bin/sh

# Скрипт управления пакетной фильтрацией.

# Если правил нет, то ничего не делать.

#! /bin/sh

# Скрипт управления пакетной фильтрацией.

# Если правил нет, то ничего не

делать.

[ -f

/etc/ipchains.rules

]

exit 0

case

"$1"

start)

echo -n "Включение пакетной

фильтрации:"

/sbin/ipchains-restore

/etc/ipchains.rules

exit

echo 1 > /proc/sys/net/ipv4/ip_forward

echo

"."

; ;

stop)

echo -n "Отключение пакетной

фильтрации:"

echo 0 > /proc/sys/net/ipv4/ip_forward

/sbin/ipchains -X

/sbin/ipchains -F

/sbin/ipchains -P input ACCEPT

/sbin/ipchains -P output ACCEPT

/sbin/ipchains -P forward ACCEPT

echo

"."

; ;

echo "Использование:

/etc/init.d/packetfilter

{start|stop}"

exit 1

;

esac

exit 0

358