Tervehdys,
Mikä on paras tapa jakaa Linuxilla Internet yhteys
kotiverkkoon? IPtables, IPchains vai IPfwadm mikä
näistä?
Osaisko joku neuvoa kuinka homma hoidetaan
turvallisesti ja kuinka saan sisäverkossa olevan
SF servun näkymään Internettiin?
Netistä löytyy tietoa mutta en osaa niitä käyttää
aloittelijana :(
T:
aloittelija
Mikä on paras tapa jakaa Linuxilla Internet yhteys
kotiverkkoon? IPtables, IPchains vai IPfwadm mikä
näistä?
Osaisko joku neuvoa kuinka homma hoidetaan
turvallisesti ja kuinka saan sisäverkossa olevan
SF servun näkymään Internettiin?
Netistä löytyy tietoa mutta en osaa niitä käyttää
aloittelijana :(
T:
aloittelija
Vastaukset 3
Vanhimmat
Iptables on niistä uusin ja kehittynein, siihen
liittyy paljon muutakin kuin vain palomuuraus,
kuten TOS, QoS yms., mutta en ole sen käyttöön
hirveän perehtynyt, joten antaapi olla.
Ipchains:lla ja ipmaqadm:nlla homma kyllä toimii
ihan ok.
Otetaan ensteksi pari oletusta esimerkkien
helpottamiseksi.
Olkoon kotiverkkosi vaikka 10.10.10.0 maskilla
255.255.255.0 elikkä 10.10.10.0/24, linux
palomuuri/reitittimesi vaikka 10.10.10.1, linukan
julkinen osoite 195.180.100.1 ja SF servosi vaikka
10.10.10.2.
Kun en tiedä missä portissa tuo SF-palvelusi
luuraa niin käytän esimerkissä porttia 222.
Ensinnäkin Linuxisi pitää laittaa reitittämään,
joten tarkistapa, että reititys on päällä (sysctl
-a | grep net.ipv4.ip_forward ) arvon pitää olla
1, jos sinulla ei ole sysctl-ohjelmaa koita cat
/proc/sys/net/ipv4/ip_forward. Reitityksen saa
päälle joko echo 1 > /proc/net/ipv4/ip_forward
tahi sysctl -w net.ipv4.ip_forward=1.
No niin ja sitten asiaan:
Sulje linukasta kaikki tarpeettomat palvelut,
erityisesti kaikki RPC-palvelut, sekä XDM, lisäksi
kannattaa sulkea telnet, lpd, ja muutenkin ne mitä
ei tarvita ja jättää ssh ja ehkä webbiservo,
postipalvelin ja ftp.
Maskaus päälle:
ipchains -A forward -b -s 10.10.10.0/24 -d
0.0.0.0/0 -j MASQ
Ylläolevalla maskaat kaikki sisäverkkosi osoitteet
linukkasi julkiseksi osoitteeksi.
Kieltoja sisäverkkoa koskien ei sen kummemmin
tarvita, jos käytät privaatteja osoite-avaruuksia,
joita ei reititetä verkossa (erittäin
suositeltavaa).
Sitten serverin jakaminen, port-forwardingilla:
ipmasqadm portfw -a -P tcp -L 195.180.100.1 222 -R
10.10.10.2 222
Mikäli portteja tarvii enempi niin analogia pelaa
samalla tavalla.
Toivottavasti saat homman toimimaan:)
Onkos missään suomenkielistä versiota noiden
paveluiden sulkemisesta ja siitä että mitä
kannattaa sulkea etc?
itselläni on adsl kotona ja 486 reitittämässä
paria konetta verkkoon. 486 toimii samalla
shell/tiedosto vekottimena siinä välissä.
tiedä moisesta, ehkä Best Linuxissa (Suomennetty
RedHat), mutta tuo on suht helppo tehdä itsekin.
Jos linukkasi on vanhasta distrosta, niin
luultavasti se käyttää inetd:tä palveluiden
starttaamiseen ja sen conffi on /etc/inetd.conf,
josta vaan kommentoit pois palvelut, joita et
halua käyttää, eli pistät rivin eteen
numerosymbolin # ja hommeli on siltä osin selvä.
Uudemmissa distroissa käytetään xinetd:tä ja sen
konffihakemisto on yleensä /etc/xinetd/, josta
voit poistaa tarpeettomat tiedostot, joiden niminä
on ko. palvelun nimi. Kannattaa kuitenkin ensin
kopioida tuo /etc/xinetd hakemisto vaikka
/etc/xinetd- hakemistoksi, jotta halutessasi voit
sitten ottaa palveluita käyttöön ilman sen
kummempia editointeja.
Muita, kuin internet superserverin (inetd, xinetd)
käynnistämiä ovat sitten esim nfsd, smbd, sendmail
ja httpd ja ne löytyvät käyttämäsi runlevelin
rc-hakemistosta, esim runlevel 3:n hakemisto on
RH:ssa /etc/rc.d/rc3.d ja sieltä vain
käynnistyslinkit pois (Sxxhttpd, Sxxsmb jne.).
SuSe:ssa vastaava hakemisto löytyy paikasta
/sbin/init.d/rc3.d.
Käyttämäsi runlevelin saat selville komennolla
runlevel, tahi katsomalla tidoston /etc/inittab
alusta riviä, jossa lukee initdefault
(id:3:initdefault:).
Tämä palveluiden sulkeminen koskee siis vain tuota
linukkaasi.
Ipchainsilla voit myös sulkea noiden palveluiden
käyttämiä portteja.
Esim. webbiservo menee kiinni ulospäin näin.
ipchains -A input -p tcp -d 195.180.100.1 80 -j
DENY ja samalla tavalla voi pistää kiinni muitakin
portteja.
Toivottavasti tuosta on apua.