NAT & Firewall in Linux & FreeBSD

zag · Сообщение **zag** » 07.07.2005 21:06

Часто возникают вопросы по подключению локальной сети к интернет. Я попытаюсь помочь новичкам решить эту элементарную, с точки зрения профессионалов- сисадминов, задачу.
====================================================================
Немного теории.
Итак, для обмена пакетами в сети - локальной или глобальной, каждому хосту (компьютеру, принтеру и т.п.) должен быть назначен ip-адрес, который идентифицирует данный хост в сети.
В связи с острой нехваткой IP- адресов, документом RFC1918 для частного использования были выделены определенные области адресного пространства.
Это одна сеть класса А (10.0.0.0 - 10.255.255.255.255), 16 сетей класса В (172.16.0.0 - 172.31.255.255), 256 сетей класса С (192.168.0.0 - 192.168.255.255).
Эти адреса никогда не выделяются глобально и в сети интернет просто игнорируются. Чтобы узлы, использующие частные адреса, могли получать доступ к сети Интернет, на пограничном маршрутизаторе организуется система NAT (Network Address Translation - трансляция сетевых адресов). Эта система перехватывает пакеты от локальных компьютеров и заменяет в них адрес отправителя реальным адресом. Ситема хранит таблицу преобразований между внутренними и внешними адресами, чтобы обратные пакеты могли поступить правильному адресату. Таким образом можно "свернуть" локальную сеть в частными ("серыми") адресами в один реальный IP адрес.

===================================================================

А теперь рассмотрим средства, которые есть в Linux и FreeBSD и методы реализации "сворачивания" частной сети в реальный адрес.
---------------------------
I.Как это сделать в Linux.
У вас есть локальная сеть, единственный выход в интернет (например, dial-up по ppp, хотя это не существенно) и шлюзовой компьютер с реальным выделенным IP-адресом (например, 1.2.3.4). На интерфейсе локальной сети этот компьютер имеет адрес 192.168.1.1. В локальной сети находится компьютер myhost с адресом 192.168.1.100, с которого вы хотите пользоваться интернет-браузером. Как это реализовать?

Вариант 1 (прозрачное проксирование): на компьютере firewall устанавливается proxy-сервер, все пакеты из локальной сети, адресованные на внешние http-серверы заворачиваются в этот proxy-сервер, который посылает запросы вовне со своего реального адреса 1.2.3.4, а полученные ответы пересылает обратно в локальную сеть. При этом браузер на машине myhost конфигурируется как для прямого соединения с интернетом, потому такое проксирование и называется прозрачным. С точки зрения удаленного http-сервера соединение устанавливается с вашего шлюза. С точки зрения браузера соединение устанавливается с удаленным сервером.

Вариант 2 (маскарадинг): у всех пакетов из локальной сети, адресованных вовне, адрес отправителя меняется на 1.2.3.4, а у приходящих в ответ пакетов адрес получателя заменяется на 192.168.1.100 и они пересылаются на машину myhost. С точки зрения удаленного сервера соединение устанавливается с вашим шлюзом. С точки зрения браузера соединение устанавливается с удаленным сервером.

Можно, конечно, поставить прокси-сервер. Но это требует времени и некоторых усилий по настройке самого сервера, и клиентских программ. Вдобавок, он обеспечивает работу только ограниченного набора протоколов. Маскарадинг позволяет избежать этих трудностей.

Первым делом надо включить форвардинг пакетов. При помощи команды cat /proc/sys/net/ipv4/ip_forward проверим, поддерживает ли ваше ядро форвардинг пакетов между интерфесами. Если вы получили "1", то все нормально, если "0", то надо скомандовать echo 1 > /proc/sys/net/ipv4/ip_forward и снова проверить при помощи предыдущей команды. Если все равно получаем "0", то вам нужно пересобрать ядро с поддержкой маршрутизации.
Итак, чтобы форвардинг пакетов начал работать, надо записать '1' в файл /proc/sys/net/ipv4/ip_forward:
echo 1 > /proc/sys/net/ipv4/ip_forward
Соответственно, если туда записать 0, то он работать перестанет. Эту строку рекомендуется вписать в какой-нибудь скрипт, автоматически запускаемый при загрузке системы. В SlackWare, например, достаточно сделать исполняемым файл /etc/rc.d/rc.ip_forward.

Теперь скомандуем, например:
#iptables -L INPUT
Это команда вывода списка правил в заданной цепочке, в данном примере предполагается вывод правил из цепочки INPUT. Если имя цепочки не указывается, то выводится список правил для всех цепочек.
Если в выводе встретится фраза наподобие "Perhabs iptables or your kernel needs to upgraded", это означает, что ваше ядро собрано без поддержки NAT и пакетного фильтра. Вам необходимо пересобрать ядро.

Дальше создаем файл, который будет содержать команды конфигурирования NAT и фильтра. Например, в SlackWare можно создать файл /etc/rc.d/rc.firewall и сделать его исполняемым. Сюда мы будем записывать наши правила для фильтрации пакетов. Подробное описание iptables имеется здесь http://www.opennet.ru/docs/RUS/iptables .

Я коснусь только вопросов трансляции сетевых адресов, которая может осуществляться методами SNAT или MASQUERADE.
SNAT (Source Network Address Translation) используется для изменения исходных адресов пакетов. С помощью этого действия можно скрыть структуру локальной сети, а заодно и разделить единственный внешний IP адрес между компьютерами локальной сети для выхода в Интернет. В этом случае брандмауэр, с помощью SNAT, автоматически производит прямое и обратное преобразование адресов, тем самым давая возможность выполнять подключение к серверам в Интернете с компьютеров в локальной сети.
Пример:
$IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to-source $INET_IP
Ключ --to-source используется для указания адреса, присваемового пакету. Все просто, вы указываете IP адрес, который будет подставлен в заголовок пакета в качестве исходящего. $INET_IFACE - ваш интерфейс, подключенный к провайдеру, INET_IP - адрес, выданный провайдером.

Маскировка (MASQUERADE) применяется в тех же целях, что и SNAT, но в отличие от последней, MASQUERADE дает более сильную нагрузку на систему. Происходит это потому, что каждый раз, когда требуется выполнение этого действия - производится запрос IP адреса для указанного в действии сетевого интерфейса, в то время как для SNAT IP адрес указывается непосредственно. Однако, благодаря такому отличию, MASQUERADE может работать в случаях с динамическим IP адресом, т.е. когда вы подключаетесь к Интернет, скажем через PPP, SLIP или DHCP.
Пример:
$IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j MASQUERADE
где $INET_IFACE - ваш интерфейс, подключенный к провайдеру.

Ссылки http://www.opennet.ru/base/net/iptables_howto.txt.html
http://www.opennet.ru/docs/RUS/iptables/index.html

=========================================================================
II.Как это сделать в FreeBSD.

В FreeBSD встроено три программных межсетевых экрана. Это IPFILTER (известный также как IPF), IPFIREWALL (известный также как IPFW) и PF (OpenBSD PacketFilter). В IPFIREWALL встроена поддержка ограничителя трафика DUMMYNET для контроля использования пропускной способности. В IPFILTER поддержка ограничителя трафика не встроена, но в тех же целях может использоваться ALTQ. IPF, IPFW и PF для контроля исходящих и входящих пакетов используют наборы правил, хотя и разными способами с разным синтаксисом правил.

> Q.: Что лучше использовать, natd или ipnat ?

A.: Политика трансляции для natd задается в IPFW, что дает большую гибкость в настройках и позволяет, например, выполнять несимметричную фильтрацию,
когда исходящие пакеты уходят через один интерфейс, а входящие приходят через другой.

Кроме того, natd поддерживает transparent proxy для протоколов FTP, IRC,ICMP, PPTP, RTSP, PNA, NetBios over TCP/IP и Cisco Skinny Station protocol,
а ipnat - только FTP, H.323, ipsec, NetBios over TCP/IP, raudio и rcmd.

Однако natd работает в userland и на каждый пакет выполняется 2 переключения контекста, что дает overhead, заметный на слабом железе (i486, i586).

В отличие от natd, ipnat потребляет значительно меньше процессорных ресурсов, ipnat можно настроить на GENERIC-ядре, подгрузив модуль ipl, а для
natd придется перекомпилировать ядро с опцией IPDIVERT и ipnat работает с любым пакетным фильтром, а для natd обязательно нужен ipfw.

Так что если у Вас слабое железо, Вы не хотите перекомпилировать ядро или не хотите использовать ipfw и функциональность ipnat Вас устраивает -
используйте ipnat.

> Q.: Что лучше использовать, IPFW, IPFilter или PF?

А.: Hеобходимо использовать IPFW если:
- нужно разделять или ограничивать полосу пропускания;
- нужно использовать divert-сокеты (для natd или tcpmssd)
- нужны правила с указанием uid/gid пакетов.
- нужна оптимизация сложного дерева правил (сложнее, чем head/group в ipf).
В противном случае - на Ваш выбор.
Пакетные фильтры можно использовать совместно в разных комбинациях. Hапример, можно использовать для фильтрации пакетов IPFilter, а для
управления полосой пропускания - DUMMYNET из IPFW.

--------------------------------------------------------
а)ipnat+ipf

1.Включение IPF
IPF включен в базовую систему FreeBSD в качестве отдельного загружаемого модуля. Система динамически загрузит модуль IPF, если в rc.conf указана переменная