IP-Masq og Internet deling på 1-2-3

[sunnhetsmannen]

Noen som har noen tips?

Skal sette opp en server med IP-Masqurading og Internet deling. Har litt linux erfaring, men har ikke så særlig lyst å sitte mange dager... :wink:

[SSM]

Quote:

Noen som har noen tips? Skal sette opp en server med IP-Masqurading og Internet deling. Har litt linux erfaring, men har ikke så særlig lyst å sitte mange dager...

 

Jeg anbefaler å bruke linux-2.4 serien og dermed iptables (normalt sett :smile:

 

Pass på å installere siste versjon av iptables og gjerne også kernel før du begynner med selve FW tabellene.

 

 

Mvh,

 

 

Tommy Jensen

Sysadmin EvilSpurvNetworks

Maintainer JBLinux 2.x

[email protected]

[Instigator]

Les dette:

http://www.linuxdoc.org/HOWTO/IP-Masquerad...OWTO/index.html

 

Sjekk først at begge nettkorta fungerer.

 

 

 

 

 

 

[ Denne Melding var redigert av: Instigator på 2002-01-14 14:44 ]

[PanzerTryne]

Gjør som jeg..

 

Kjør routing/nat og brannmur gjennom en egen dedikert maskin. Alt blir bare vondt, trist og vanskelig om du skal kjøre alt på en maskin :smile:

 

http://www.samag.com/documents/s=1155/sam0...0101i/0101i.htm

 

Se

http://www.zelow.no/floppyfw/floppyfw-ax.html

for detaljer.

[sunnhetsmannen]

Takker for den....

:wink:

 

Kan du kjøre nat med denne distroen altså....Men det er vel ikke særlig lurt å bruke en 386 til dette når det er snakk om 70 maskiner...

[PanzerTryne]

Ok jeg skal vedgå at en 386 kan bli en bottelneck for ett nettverk på 70 stykker. Man er jo ikke ute etter å få brannmuren sin til å virke som bottleneck i sitt nettverk, man betaler jo tross alt i dyre dommer for linjehastigheten på utsida av den!

 

Hvis du går på

http://wombat.san-francisco.ca.us/perl/floppyfw.cgi

vil du få en ide om hvor skalerbar floppyfw er.

 

Jeg tror begrensningene ved en 386 ikke er selve prosessoren men hvor mye ram en slik prosessor har støtte for. (Hovedkortene til disse prosessorene støtter ikke mer enn 8/16-megs).

 

Selv bruker jeg en pentium 90 med 32 megabytes ram. Ingen harddisk bare en floppy. Grunnen til at jeg ikke bruker en 386 er at jeg ikke vil ha reservedeler til en hvis den skulle gå i stykker.

 

Hvis du ser øverst på lista vil du se en fyr med 70 noder i nettverket, adsl-linje alt gjennom en 486/33 mhz.

 

For en vanlig Windows-bruker kan det høres litt merkelig ut at man kan route all nettverkstrafikk gjennom en 386, men dette skal i prinsippet gå.

floppyfw er er linux-kjerne med støtte for tcp/ip. Selve firewall-funksjonaliteten er i all enkelthet å sortere pakker etter gitte kriterier. Dette krever ikke all verden.

 

Men for all del, hvis du har beregninger på at en 386 vil bli en bottelneck, ikke bruk den! Sløs med ressursene, bruk en 486! :smile:

[sunnhetsmannen]

hehe :smile:

 

Jo, en del gode poeng der ja. Den minst maskinen jeg har er en Pentium 166 K-5 med 96MB EDO og 16 MB SD-RAM. Kall meg gjerne storkar... :wink: Tror du den vil holde eller skal jeg drage fram Duron maskina...?

[PanzerTryne]

Jeg tror en pentium vil klare biffen. Hvis du satser på 1.0.X serien vil du benytte ipchains. Dette er enklere å sette opp og krever mindre ressurser. Denne bruker 2.2-kjernen. 1.0-serien regnes som stabil.

 

Hvis du bruker 1.9.x serien bruker du iptables. Dette er litt mer komplisert. Har sett at en del folk i nyhetsgruppa har slitt med høy cpu-load. 1.9 serien er fremdeles beta.

[Instigator]

Jeg bruker ip-tables. Min 166Ppro fungerer helt utmerket til det. Bare så det er sagt; begynn med å laste ned et firewall/nat script og lær deg hvordan det fungerer ut i fra det. Det er ikke så veldig lurt å bare sette opp litt regler i ip-tables i hytt og pine, og sette den på nett. Husk at linuxbox'er er utrolig populært å hacke...

 

http://www.linuxdoc.org/HOWTO/IP-Masquerade-HOWTO/

[PanzerTryne]

Ser ikke noe motforestilling i det du skriver mot å bruke floppyfw(?)

 

Jeg er ikke alt for gira på å hoste tjenester på samme maskiner som man har brannmuren på.

 

Jeg tror ikke det er mange som får brannmuren sin hacket hvis de ikke går ut fra konseptet. Jeg tror det er mer populært å gå etter de tjenestene bak brannmuren slik som web, mail, ftp osv.

 

Tester ut iptables nå på en 486/66. Har ikke fått til å sjekke cpu-loaden. De gutta på nyhetgruppa som slett med høy cpu-load med ip-tables hadde mange klienter bak brannmuren. Jeg regner med at iptables kan generer ganske mer cpu-tid enn ipchains da iptables-script kan settes opp til å kontrollere pakkene på mange flere parameter. Hvis du da har mange klienter kan det ta av(!) å kontrollere en fastlinje på 10 Mbit.

 

Jeg har ikke oppdaget det helt store med iptables når det gjelder enkle brannmurer uten ftp-støtte. Tror iptables kunne vært veldig intersant å bruke hvis du segmenter opp flere nett bak brannmuren din og på den måten var intersert i å route kommunikasjon mellom disse routerne.