Решено: Помогите настроить шлюз на debian.

[fergios]

Помогите настроить шлюз
Шлюз debian 192.168.2.3 (eth3, в сеть), и интерфейс 10.0.2.15 (eth2, в интернет).
Клиент windows xp. 192.168.2.4
Шлюз и клиент в одной локальной сети.
В debian добавил в файл:

/etc/sysctl.conf параметр ipv4.forwarding=1

В iptables :

iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth3 -j MASQUERADE
iptables -A FORWARD -s 192.168.2.0/24 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -d 192.168.2.0/24 -p tcp --sport 80 -j ACCEPT
iptables -A FORWARD -s 192.168.2.0/24 -p tcp --dport 53 -j ACCEPT
iptables -A FORWARD -d 192.168.2.0/24 -p tcp --sport 53 -j ACCEPT

Шлюз и клиент пингуют друг друга, т.е. видят.

На клиенте прописаны
dns 8.8.8.8,8.8.4.4
Маска 255.255.255.0
ip 192.168.2.4
шлюз 192.168.2.3

Добавлено:
шлюз не отвечает на arp-запросы.

[DaemonTux]

Шлюз и клиент пингуют друг друга, т.е. видят.

шлюз не отвечает на arp-запросы.

Вы уж определитесь

sysctl -p делали?

[MrClon]

Есть тупой вариант: использовать fwbuilder.

[panas]

вот здесь можно почитать про настройку iiptables, так же там куча примеров..

[Rootlexx]

" F. A. Q. — читать перед открытием новой темы обязательно! ". Оцените количество материала.

[Ленивая Бестолочь]

iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth3 -j MASQUERADE

должно быть eth2

[fergios]

iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth3 -j MASQUERADE

должно быть eth2

+
вместо
iptables -A FORWARD -s 192.168.2.0/24 -p tcp --dport 53 -j ACCEPT
iptables -A FORWARD -d 192.168.2.0/24 -p tcp --sport 53 -j ACCEPT
должно быть
iptables -A FORWARD -s 192.168.2.0/24 -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -d 192.168.2.0/24 -p udp --sport 53 -j ACCEPT

и все работает.

[alex_suse]

Чего за маниакальное желания открывать дорогу пакетам, идущим с n-го порта, в данном случае с 53. Conntrack для кого сделан? Это файрволл или дыра? Ладно бы о conntrack говорилось бы где-то там в конце, так нет практически в самом начале.

[fergios]

Чего за маниакальное желания открывать дорогу пакетам, идущим с n-го порта, в данном случае с 53. Conntrack для кого сделан? Это файрволл или дыра? Ладно бы о conntrack говорилось бы где-то там в конце, так нет практически в самом начале.

мммм...можн подробнее?
нужно было указать не с 53 порта, а с unprivilegies (33768-61000) портов ?

[alex_suse]

Можно.
Conntrack занимается отслеживанием пакетов, и навешивает на них определенный статус. Основных два. NEW это пакет, который не ждали, он может быть и запросом к нашему сервису, допустим к web, а может быть, чем угодно. Второй это ESTABLISHED это тот пакет, который ждали. Т.е. мы отправили на DNS сервер запрос, то если в определенный промежуток времени от него придет ответ, то это ожидаемый пакет.
Вот такая строка пропускает такие пакеты, причем именно этой одной строкой мы избавляем себя от прописывания бесконечных обратных --sport.
$IPTABLES -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
Конечно тут тоже дырочка имеется, но она гораздо меньше, чем открывать порт. Вот пришлют нам такое
-s ip злоумышлиника -d наш адрес --sport 53 --dport 22, вполне себе законно с точки зрения таких правил, только оно нам надо?

[fergios]

ales-suse, спасибо,
вопрос: в /etc/sysctl.conf параметр net.ipv4.syncookies=1 не тоже самое делает (после команды sysctl -p)?

[alex_suse]

Нет. Чего он там делает точно не скажу, но судя по названию чего-то с SYN пакетами творит. Никаких syn пакетов в udp и icmp нет. Скорее всего блокирует множественные SYN пакеты, но это можно и через conntrack сделать, но это уже другая тема.

[neol]

SYN cookies

[fergios]

верно подмечено, цепочка FORWARD идет отдельно от цепочек INPUT и OUTPUT,
соответственно все правила в INPUT и OUTPUT недействуют на цепочку FORWARD.

alex_suse, +100