Bytte ut routeren med ubuntu-box?

[pulse]

Hei, jeg ønsker og bytte ut min nåværende router/firewall/switch/dhcp med en PC som har to nettverkskort og kjører ubuntu server. Så langt har jeg fått konfigurert begge nettverkskortene med ip. eth0 = min internett ip (fast) - eth1 = 192.168.1.1 men den spør også etter broadcast ip (som ikke jeg vet hva er). Har også fått lagt inn webmin. Der har jeg gjort ett -mislykket- forsøk på og sette opp en DHCP. Jeg vet heller ikke hvordan jeg får -delt- internett fra eth0 til eth1. eller hvordan sette opp port forwarding osv. I tillegg til dette (som sikkert er skikkelig basis saker) ønsker jeg også og kunne ha flere sub-domener rettet til denne ip adressen, men hvor hver av domenene igjen skal redirectes til forskjellige webservere på intern-nettet. Som f.eks: www.example.com => 192.168.1.10 og backup.example.com => 192.168.1.11

 

Takker for alle svar som hjelper meg på vei

Endret 26. august 2007 av pulse

[stigfjel]

Bruk heller OpenBSD til dette. Pakkefilteret du finner der, PF, er bedre og veldig godt dokumentert.

[AudunSæther]

Det kommer klart frem av posten at han har bestemt seg for hvilket OS han skal bruke, så da kan man jo la det være med det?

 

On-topic: http://www.linuxguiden.no/index.php/Netfilter og http://www.linuxguiden.no/index.php/Netfilter_%28eksempel%29 er to veldig gode steder å starte når man snakker om GNU/Linux som router

[arnizzz]

Bruk heller OpenBSD til dette. Pakkefilteret du finner der, PF, er bedre og veldig godt dokumentert.

9366874[/snapback]

 

Kan du begrunne litt hvorfor PF er bedre enn iptables?

[VikinGz]

du kan også bruke monowall

eller clark connect

[Gjest member-1768784]

-

Endret 10. april 2017 av member-1768784

[stigfjel]

I tillegg har du CARP (redundant system, flere maskiner kan fungere som en) og ftpproxy som letter oppsett av FTP-forbindelse både ut og inn.

[Sokkalf™]

Skal du kun bruke maskinen som router, er nok OpenBSD det beste valget når det gjelder features og muligheter. En annen "router"-distro som smoothwall, m0n0wall etc er mer brukervennlig.

 

Har du derimot planer om å kjøre noe mer enn kun en router, som f.eks webserver, filserver osv, ville nok ikke Ubuntu være noe dårlig valg.

[pulse]

http://www.linuxguiden.no/index.php/Netfilter og http://www.linuxguiden.no/index.php/Netfilter_%28eksempel%29 er to veldig gode steder å starte når man snakker om GNU/Linux som router

9368067[/snapback]

dette førte meg til denne: http://www.linuxguiden.no/index.php/Dele_I...nett-tilkobling som fungerte utmerket. Skal sitte og kløne litt med dns of port forwarding fremtil jeg går over på del2. Nemlig det og gi maskiner på internettet navn, som igjen skal gjenspeiles i domenenavnet. Om noen har godt tips til hvor jeg burde begynne hadde det vært flott =D

 

nærmere forklart:

Maskin1 er "routeren": router.example.com

Maskin2 er hoved server: example.com

Maskin3 er backup server: backup.example.com

Maskin4 er arbeids makinen: work.example.com

Når jeg da skal ftp/ssh/etc til en av maskinene så vil jeg ikke gi dem forskjellige porter. men heller bare bruke subdomenet for og referere til dem. Er dette mulig, isåfall, hvordan?

[Exentler]

https://www.diskusjon.no/index.php?showtopic=813131

 

det er opprettet en egen tråd for slik prat

 

linuxguiden (som nevt over) og lunix1.no er gode steder å søke hjelp

[stigfjel]

Har du derimot planer om å kjøre noe mer enn kun en router, som f.eks webserver, filserver osv, ville nok ikke Ubuntu være noe dårlig valg.

9378541[/snapback]

Det kan du uten problemer gjøre også med OpenBSD. OpenBSD er et kompakt, men et fullverdig OS på lik linje med Ubuntu, men pakkefilteret PF gjør jobben sin.

[Langbein]

Det kan du uten problemer gjøre også med OpenBSD. OpenBSD er et kompakt, men et fullverdig OS på lik linje med Ubuntu, men pakkefilteret PF gjør jobben sin.

9380344[/snapback]

Det er selvsagt ingenting i veien med å vurdere OpenBSD til slikt bruk, så lenge man er klar over at OpenBSD kan være en del vanskeligere å sette opp en de fleste linux-distroer. Ytelsesmessig kommer også OpenBSD dårligere fra det. FreeBSD kan sånn sett være et bedre valg, både mtp. ytelse og brukervennlighet.

 

Ellers har jo PF mange fine finesser som flere har nevnt. Men mye av "snadderet" er vel ikke nødvendig for typiske hjemmebrukere (eller mindre bedrifter for den saks skyld)? Tenker f.eks. på CARP. Eller AuthPF for den saks skyld. Trenger man egentlig autentisering mot ruteren hvis man har WPA-kryptert nett?

[stigfjel]

Ellers har jo PF mange fine finesser som flere har nevnt. Men mye av "snadderet" er vel ikke nødvendig for typiske hjemmebrukere (eller mindre bedrifter for den saks skyld)? Tenker f.eks. på CARP. Eller AuthPF for den saks skyld. Trenger man egentlig autentisering mot ruteren hvis man har WPA-kryptert nett?

9380632[/snapback]

Det kan være en ekstra sikkerhet i tillegg til trådløs kryptering. Det er faktisk ikke alle som bruker WPA-kryptering, faktisk bare mindretallet, av en eller annen merkelig grunn. PF er faktisk en god del mer oversiktlig enn f.eks. iptables, og bare det kan være en grunn til å foretrekke PF fremfor iptables. Og OpenBSD er sikkert, bare 2 alvorlige sikkerhetshull har dukket opp i OpenBSD over en 10-årsperiode.

 

Edit: til en brannmurmaskin er nok OpenBSD bedre egnet enn FreeBSD fordi PF er vesentlig oppdatert i OpenBSD i forhold til den versjonen av PF man finner i FreeBSD.

Endret 28. august 2007 av stigfjel

[Langbein]

Men hvis man greier å fyre opp OpenBSD m/AuthPF bør man klare å aktivere WPA også

 

Noen kan selvsagt ha grunner til å ikke bruke WPA, f.eks. at man har gammelt utstyr som bare støtter det langt mindre sikre WEP. Men hvis man faktisk bruker WPA (som jeg gjør ) så er det meget sikkert. Når det gjelder krypteringa, så baserer AuthPF seg på SSH, hvor default cipher er AES-128-CBC. Om jeg ikke husker feil, så bruker i hvertfall WPA2 også AES - altså krypteringa være like sikker. (Andre faktorer spiller såklart også inn, som lengden på passphrase osv.)

 

Uansett, hvis valget står mellom å sette opp AuthPF eller WPA, velger jeg såklart WPA siden det sikrer hele WLAN'et, og ikke bare forbindelser mot ruteren

 

 

Ellers er jeg enig i at PF ser pent ut, og er godt dokumentert. Men det hele koker egentlig ned til hvor mye man skal konfigurere firewall/ruter. Til mitt enkle bruk er det uansett bare snakk om noen få lusne linjer med iptables-kommandoer.

Endret 28. august 2007 av Langbein

[stigfjel]

Ja, men SSH kan settes opp med en sterkere chipher. Jeg har selv en OpenBSD-boks som fungerer som brannmur, og for mitt nettverk ser jeg ikke behovet for en AuthPF-løsning. Men jeg har prøvd det, og det fungerer bra. Man trenger heller ikke mange linjene i et oppsett med PF for å få en fullt fungerende brannmur, men i og med at PF er godt dokumentert og at syntaksen er ganske så oversiktlig så blir det lettere og mer oversiktlig å finmaske et regelsett med PF enn med iptables. Og med ALTQ kan man faktisk forholdsvis enkelt sette opp et regelsett som gjør at man får maks utbytte av f.eks. en ADSL-linje. I den offisielle dokumentasjonen av PF er det faktisk et eksempel som går ut på akkurat dette. Av det jeg har hørt før er ikke prioritering av pakker en del av iptables, men man må inn med et eget system, hvis jeg ikke husker feil.

 

Edit: Med AuthPF kan man også sikre inngående forbindelser utenfra. Brannmuren kan f.eks. ha alle porter stengt som standard, men hvis man logger seg på brannmuren utenfra, kan man da få åpnet de porter man vil ha som normalt vil være stengt. AuthPF fungerer begge veier, ikke bare innenfra. Det eneste som begrenser bruken av AuthPF er hva man putter inn i regelsettet.

 

Edit edit: når det gjelder trådløs-sikring så ser jeg på muligheten til å bruke VPN som autentisering med OpenBSD-boksen som VPN-server, men dette er et prosjekt jeg kun skal jobbe med når jeg har tid til det, og tid vil jeg få lite av. Det er imidlertid kjempekult hvis jeg får det til.

Endret 28. august 2007 av stigfjel

[Langbein]

Edit edit: når det gjelder trådløs-sikring så ser jeg på muligheten til å bruke VPN som autentisering med OpenBSD-boksen som VPN-server, men dette er et prosjekt jeg kun skal jobbe med når jeg har tid til det, og tid vil jeg få lite av. Det er imidlertid kjempekult hvis jeg får det til.

9381218[/snapback]

Jeg trodde alle hatet VPN, pga mer knot med konfigurering? Neida, det har sine bruksområder. Du skisserte forsåvidt et klassisk bruksområde for VPN, bare at du erstattet det med innkommende AuthPF isteden. Selv har jeg brukt OpenVPN en del til den type bruk.

 

Men til sikring av WLAN er nok WPA desidert greiest. Flere universitet og høyskoler har også gått vekk fra VPN og over til WPA isteden. Dvs. at tidligere var selve WLAN'et ukryptert, men man måtte logge på med VPN for å kunne bruke internett. Men i dag er det blitt vanlig å droppe VPN, og heller bruke WPA. Da bruker man selvsagt ikke WPA-PSK som er vanlig for hjemmebrukere (én shared key som brukes i ruter og alle datamaskiner), men heller WPA-EAP som er langt mer fleksibelt i større brukermiljøer. Da logger folk på med individuelle brukernavn og passord isteden, slik at man enkelt kan gi nye personer adgang, eller ekskludere studenter som har sluttet.

Endret 28. august 2007 av Langbein

[stigfjel]

NTNU benytter fortsatt VPN som autentisering over trådløst nettverk, men det er en proprietær løsning fra Cisco, med en/flere VPN-konsentrator(er) til et par hundre tusen pr stk.

Endret 28. august 2007 av stigfjel

[pulse]

https://www.diskusjon.no/index.php?showtopic=813131

 

det er opprettet en egen tråd for slik prat

 

linuxguiden (som nevt over) og lunix1.no er gode steder å søke hjelp

9380214[/snapback]

For prat om OS/distrovalg som denne posten har blitt om til, ja. Og jeg regner med det er gode guider for det jeg trenger hjelp til og. Problemet er at jeg vet ikke hva jeg skal søke på engang.. Har prøvd og lese litt om iptables, squid, dns, og dhcpd og andre sider om det å sette opp en linux router, men har hittil ikke engang funnet ett hint om hvor jeg burde gå vidre

 

Edit1: Om dette er mulig i mØnØwall eller andre rene "router" OS/distroer, så er jeg villig til og byttte vekk ubuntu

Endret 29. august 2007 av pulse

[pulse]

Edit1: Om dette er mulig i mØnØwall eller andre rene "router" OS/distroer, så er jeg villig til og byttte vekk ubuntu

9383207[/snapback]

Svarer meg selv jeg (tilfelle noen andre skulle trenge det samme):

 

Dette er -ikke- mulig (Så vidt jeg har klart og finne ut). Den beste måten og gjøre dette på å og lage cloaked forwarding av domenet til IP:port (for å redirecte web forespørsler) også sette opp ftp/ssh/sql etc på andre enn standard porter. På denne måten fungerer iallefall web forespørsler flott