LINUX.ORG.RU
Форум — Admin  

iptables


0

0

Здравствуйте, есть 1 внешний апишник, решил сделать НАТ и 2 других компа водить через НАТ. В айпитаблесе прописал правила (политика по умолчанию accept), получил что второй комп может пингвовать весь инет , но если начать загружать страничку то она начинает загружатся, выводится название сайта, но не закачивает просто весит типо оч медленно загружается, аська тоже не коннектится.
Правила (PPP0 внешний айпишник):
ETH0=192.168.11.1
IPTABLES=/sbin/iptables
$IPTABLES -F
$IPTABLES -t nat -X
$IPTABLES -t filter -A FORWARD -j TCPMSS -p tcp --tcp-flags SYN,RST SYN --clamp-mss-to-pmtu
$IPTABLES -t filter -A FORWARD -j ACCEPT -s 192.168.11.0/24
$IPTABLES -t filter -A FORWARD -j ACCEPT -d 192.168.11.0/24
$IPTABLES -t filter -A INPUT -j ACCEPT -m state --state RELATED,ESTABLISHED
$IPTABLES -t filter -A INPUT -j ACCEPT -s 127.0.0.1 -d 127.0.0.1

$IPTABLES -t filter -A INPUT -j ACCEPT -d $PPP0 -p tcp --dport 22
$IPTABLES -t filter -A INPUT -j ACCEPT -d $PPP0 -p icmp
$IPTABLES -t filter -A INPUT -j ACCEPT -d $PPP0 -p igmp
$IPTABLES -t filter -A INPUT -j REJECT -d $PPP0

$IPTABLES -t filter -A INPUT -j ACCEPT -d $ETH0 -m multiport -p tcp --dport 20:22,80
$IPTABLES -t filter -A INPUT -j ACCEPT -d $ETH0 -p icmp
$IPTABLES -t filter -A INPUT -j ACCEPT -d $ETH0 -p igmp
$IPTABLES -t filter -A INPUT -j REJECT -d $ETH0

$IPTABLES -F -t nat
$IPTABLES -t nat -A POSTROUTING -s 192.168.11.0/24 -d 0.0.0.0/0 -j SNAT -o ppp0 --to-source $PPP0

Заранее благодарю за ответ

★★
← подскажите по pf....
Samba: авторизация по mac-адресу →

Оказывается сайт все таки загрузился мин через 20. А можно процесс както ускорить?

DDR ★★
() автор топика

INPUT к нату не относится никак.
если раздаёте инет с ppp0 соединения, то лучше маскарад чем снат, хотя вам виднее.
Если политика FORWARD=ACCEPT то в написании правил для цепочки filter я смысла не вижу, все равно всё разрешено.
Вообщем вы читали какой то не тот мануал.

В вашем случае нужно сделать как то так:
iptables -P FORWARD DROP
iptables -A FORWARD -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.11.0/24 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/conf/all/forwarding

Эти правила пустят подсетку 192.168.11.0/24 через ваш шлюз

kilolife ★★★★★
()
Ответ на: комментарий от kilolife

Маскарад машину вешает сильнее, а айпишник внешний статический у мну. Про: $IPTABLES -t filter -A FORWARD -j ACCEPT -s 192.168.11.0/24 $IPTABLES -t filter -A FORWARD -j ACCEPT -d 192.168.11.0/24 Согласен шлупо, просто уже не знал чо написать чтоб заработало хоть какнить. Политика по дефолту стоит, вообще ее не трогал. Спасибо за скрипт, буду возле серва проверю.

DDR ★★
() автор топика
Ответ на: комментарий от DDR

если за вами человек 100 то может быть разницу вы и почувствуете, особенно на слабых машинках.
У вас 2 юзера в нате, и никакой доп нагрузки маскарад не сделает.
Но, конечно, можно и через SNAT

kilolife ★★★★★
()
Ответ на: комментарий от kilolife

У меня щас 2 юзера, в будущем до 5, но на сервере крутится еще и кеды и на нем пока юзают приложения (гуевые) :(. А сервак тож н еблекс пенек 733мгц и 256 озу. Такчто имхо лудше СНАТ.
А что именно с мту смотреть?

DDR ★★
() автор топика
Ответ на: комментарий от DDR

Люди инет проходит, но блин чтобы дождатся пока загрузитсяя страничка надо мин 10-15 ждать, почему так может быть?

DDR ★★
() автор топика
Ответ на: комментарий от DDR

> А что именно с мту смотреть?

iptables -t mangle -A POSTROUTING -p tcp --tcp-flags SYN,RST SYN -o ppp0 -j TCPMSS --clamp-mss-to-pmtu

Ну и в настройках ppp уменьшить значение mtu до 1452 или даже 1412.

anonymous
()
Ответ на: комментарий от DDR

Может. Классический симптом слишком большого mtu.

anonymous
()
Ответ на: комментарий от anonymous

Люди, я конечно тупой, но блин у меня нету /etc/ppp/pppoe.conf . Для создания скрипта своего я юзал pppconfigure, который положил скрипт в /etc/ppp/peers/. Если прописать в скрипт CLAMPMSS=1412, то он ругается и не хочет запускать этоот скрипт.

DDR ★★
() автор топика
Ответ на: комментарий от anonymous

Попробуй набери в консоли nslookup ya.ru

Сколько времени ушло на ответ ???. Повтори то же только со снижером на интерфейсе с которого уходят пакеты...

tcpdump -i ppp(your ppp hear) -vvv -n -N

paranormal ★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← подскажите по pf....
Admin
Samba: авторизация по mac-адресу →