CentOS som router

Google finder ting som:

http://www.wains.be/index.php/2006/06/06/enable-ip-forward-under-rhelcentos/
http://www.centos.org/modules/newbb/viewtopic.php?viewmode=thread&topic_id=3504&forum=30

Noen gamle notater. Her er det tatt høyde for at det skal kjøre noen server funksjoner på gatewayen.

Bare spør, for jeg har gjort dette noen trillioner ganger i de gamle dager.
Enkel gateway firewall med server funksjoner på gatewaymaskin-

#!/bin/sh

# Kommer uten noen form for garanti!

# Enable forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward

# Load some kernel modules
modprobe ip_nat_ftp
modprobe ip_conntrack_ftp

# Flush
iptables -t nat -F
iptables -F
iptables -X
iptables -Z

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Enable Masquerade and statefull inspection all forwarding
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i eth1 -j ACCEPT
iptables -A FORWARD -m state –state ESTABLISHED,RELATED -j ACCEPT

# Open ports on router pc for server/services
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i eth0 -p tcp –dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp –dport 20 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp –dport 21 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp –dport 110 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp –dport 25 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp –dport 22 -j ACCEPT

# STATE RELATED for local processes on firewall machine
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

.. Men jeg har vel satt opp eth1 og eth0 omvendt, slik at de må byttes om ..

Spørsmål:

Kjører i dag diverse Linux inklusive også Asterisk, og prinsippet "alle funksjoner i en boks" som virtualle intallasjoner på en litt vellvoksen Centos 5 med Vmware server. 

Den bruker både en del plass og en del strøm.

Har nok tenkt tanken å bytte over til en slik eee boks som gateway i stedet for denne litt forvokste prossessorfyrte varmeovenen.

Da jeg så på en slik eee boks så kune jeg ikke se at den hadde mulighet for mer enn ett nettverkskort. HVordan fikset du dette ?

Squid-proxy .. Den kan ogs brukes, men vent litt med den. Den må eventuelt konfigureres. Forsøk først å få det til å kjøre med en nat forbindelse lik som den som følger v det scriptet som er over.

Og når det gjelder den trådløse.

Jeg vil ikke anbefale å sette opp et trådløst accesspunkt under Linux. Jeg har eksprimentert litt med det og også hatt det kjørende over tid. Anbefales ikke. Her vil det være bedre å akseptere en eksternt trådløst accesspunkt.

Driverproblematikken en bare ett av problemene. De største problemene er relatert til det med å sette opp selve det trådløse accesspunktet. Her syntes jeg i hvert fall at de løsningene som jeg fat fram til på nettet ikke var gode nok.

Problemstillingene rundt det trådløse akkesspunktet vil også komplisere problematikken rundt firewall og nettverkdeling vesentlig. Å sette opp en to port gateway er forholdsvis lett. Når det blir tre port så blir det vesentlig mer komplissert.

Jeg er meget spent på svar om hvilken eee boks et dreier seg om, og hvordan man får plassert inn netverksadapter no 2 ...

En annen tanke er: Kunne det være tenkelig å kjøre virtuelle installasjoner ..

Er det 2 Gb ram som er maks ? (Det kunne faktisk være nok.)

I dag så kjører jeg ellers en virtuell Smootwall som virtell gateway, og det kjører meget bra. Har bak den en virtuell Linux server med Asterisk. Dette kunne kanskje også kjøre på en eee boks ..

Wow, der er sket noget i tråden her :)

Mange tak. Så er der arbejde til lidt tid...

langbein, jeg købte dette usb-baserede netværkskort : http://logilink.de/showproduct/UA0025C.htm
Det gik meget fint under installationen, men der er også linux-drivere med på en CD eller på deres hjemmeside.

langbein - jeg mister kontakten hver gang jeg prøver at lave dine scripts under flush, men det er vel meningen med flush...:)

[jjj.eu ~]# iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
[jjj.eu ~]# iptables -A FORWARD -i eth1 -j ACCEPT
[jjj.eu ~]# iptables -A FORWARD -m state .state ESTABLISHED,RELATED -j A
CCEPT
Bad argument `.state'
Try `iptables -h' or 'iptables --help' for more information.

Man skal vel helst først lagre kommandoene som en tekstfil, for eksempel som filen "firewall".

Så kan man vel kjøre en slik, tror jeg:

./firewall

(Eller "bash ./firewall" eller "bash firewall".

Her har det vel skjedd noe ifb med copy paste:

iptables -A FORWARD -m state –state ESTABLISHED,RELATED -j ACCEPT

Det skal vel være to stk "minus" foran "state", tror jeg:

iptables -A FORWARD -m state –-state ESTABLISHED,RELATED -j ACCEPT

Tenkte ellers at et var en usb adapter ja, den viker alstså som "eth0".
Det skulle da fungere ok ifb med firewall.

Det fungerer som ganske alm. netværkskort - bare som eth1 i mit tilfælde.
Må lige arbejde lidt med det ovenstående - tak for det!

Hmm, heller ikke -state. Jeg kommer ikke videre herfra.

Hvorfor i alverden hedder iptables i webmin - Linux firewall?

Jeg har prøvet at leje lidt med det men den vil bare ikke forwarde noget som helst.
Og der er absolut intet at bemærke i log-filerne.

Kan godt lide at man bruger commandline i stedet for diverse GUI, da det er hurtigere - hvis man altså kender til det :(

fordi iptables er en firewall

:-)

Fra noe firewall som vi satte opp i de gamle deger. Det går ann å hente noe riktig syntaks. Jo lengere ned i tråden, jo mer testet er det:
http://www.eksperten.dk/spm/541674
(Men dette er en tre port, så det blir mer komplisert, men syntaksen kan stadig vekk brukes.)

Ellers så stemmer det vel bare sånn delvis at iptables er en firewall.

Firewallen til Linux heter netfilter, og den er innebygget i Linux kernel.

Iptables er et tekstbasert komfigurerinsgrensesnitt for å konfigurere Netfilter.

http://netfilter.org/

State setningene kan altså være slik:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

(To streker foran state.)

Eksemplet med tre port løsningen som er lenket inn viser hvor mye mer komplisert det blir hvis man skal kjøre en tre port løsning med både lan og wireless på Linux gatewayen.

Hvis du der i mot vil ha en "all automatic" løsning så kan du benytte smoothwall.
Her finnes det imidlertid ikke web server og slike ting, kun gateway med Squid pluss diverse statistikk osv. http://www.smoothwall.org/

Hej
Jeg fik det hele til at virke perfekt og har nu fået en større indsigt i iptables og dens virkemåde takket være langbein. Faktisk lige efter mit seneste indlæg, men eksperten.dk synes at være nede på det tidspunkt.
Jeg fandt faktisk et af dine andre indlæg som jeg brugte - med 2 -- foran :-)

Tak for hjælpen og smid et svar langbein!

Ikke dårlig at det virket. (Brukte selv en smule tid på det de første gangene.)

Så lenge man kjører ren nat routing (og ikke squid) og iptelefoni, så bør eee boksen ha krefter nok i lange baner.

Den klarer nok også å trekke en web server og en samba server, men man bør vel ikke ha så alt for ye trafikk på web serveren.

Man kan se hvordan belastningen ligger ved å køre "top" fra shell.

Det er også nyttig å installere "iptraf" for å kunne monitore traikken.

(yum update + yum install iptraf ??)

Erfaringen med Squid er at den kan speede opp forbindelsen når den kjører på en kraftig server, men her vil jeg tro at det vil fungere best med å bare la eee boksen sende pakkene rett gjenom via et iptables script.

(Har selv satt opp min kraftigste PC som Squid proxy og da fungerer det. Med en litt svak prosessor i gatewayen så vil det heller sinke trafikken. For at iptelefoni serveren skal kjøre feilfritt og med god lyd så behøver den at prosessoren ikke har for mye last, da det ellers vil oppstå forsinkelser som forringer lyden.)

Så er asterisk og iptables finpudset.
Nu skal det trådløse netværk op at køre. Familiens intranet kører(e-groupware) med hjemmefusket indkøbsseddel-database. Så kan jeg lige wappe op på serveren når der skal handles efter en frisk indkøbsseddel. Billededatabase kører(coppermine) fint og det er normalt noget som trækker tænder ud men den klarer det fint.

Den kører omtrent med samme antal bogomips som en server jeg har haft siden 2002.
Den var dyr og den larmer....

Kan det virkelig passe at processoren har 2 kerner? For test giver den henholdsvis 3219.16 og 3215.97 bogomips...

Det kan forøvrigt også være den skal køre smarthome automation - http://home.comcast.net/~ncherry/