Debian сервер для раздачи и контроля интернета

[Sergey069]

В общем то задача не архисложная, хочу раздать интернет по локалке (в пределах 20-50пк), но:

1. Ограничивать ширину канала
2. Ограничивать время подключения по времени
3. И иметь возможность пользоваться любым ПО, учитывая что все остальные будут на Win7 в основном, кто WinXP

Пока нашел Squid и вроде как с помощью iproute2 это можно сделать, но что лучше выбрать? Большой сеть никогда не будет, а Squid вроде как актуален при большой сети...
Хочется на самом деле что попроще, без GUI и всяких наворотов, я был бы доволен просто описанием правил в конфиге для каждого ip/MAC, было бы самое лучшее решение как по мне, ну и если по логину паролю получится давать доступ так же вообще было бы здорово.
Если будет статистика и web интерфейс - было бы вообще отлично....

Вот, поэтому в основном вопрос про то куда копать, что выбрать?

[Sergey069]

И что еще - прокси серверы не дают похоже нормально работать ПО, а всех кто сидит хочется максимально "разгрузить" от того чтобы что то где-то прописывать в ПО, что работа через прокси, вот этого нужно избежать...

[pelmen]

прозрачный прокси

[Sergey069]

А что выбрать за основу из ПО? Таки запросы у меня вроде не большие (как мне кажется), ну и хотелось бы конечно как я выше писал... без GUI и просто управлять все через config и авторизацию сделать, поудобнее, опять же чтобы никуда не бегать и ничего никому не настраивать по 100 раз (( Все про Squid описывают, только я на счет авторизации не очень пойму, создам я пулы но как мне по ip/mac/login это ограничить? И как они будут подключаться потом?

Т.е. я видел как делают, например, определяют mac при первом подключении и привязывают к нему, но как Squid настроить в таком случае? Или может есть более удобны способы...?
И что интересно - не нашел как ограничить например по времени... т.е. на месяц или еще как то?

[Sergey069]

Вот например, http://www.opennet.ru/base/net/debian_tran..._proxy.txt.html
Все понятно, и довольно просто... А дальше? Т.е. как контроль осуществлять за всем что в сети творится?

[Sergey069]

Нашел, пока что читать только нашел Биллинговые системы
Фуф, извиняюсь за то что так голопом прибежал, но теперь уже намного яснее стало, что мне нужно...

1. Прозрачный прокси
2. Нужна аунтефикация пользователя в LAN т.е. мне нужно назначать конкретным ПК ограничения по ширине канала, который они могут использовать, хорошо бы по логину/паролю, чтобы можно было раздать их и не иметь с этим проблем. А после первого подключения запомнить MAC и проверять по логину и паролю и MAC
3. Нужно ограничивать этих самых подключившихся пользователей по ширине канала ( по времени не обязательно т.к. я думаю напишу просто скрипт по cron, там уже разберусь со временем и кого отключить кого нет и web интерфейс сделаю простой с тем чтобы отключать или включать пользователей если нужно)
4. И нужно чтобы не было никакой клиентской части, чтобы можно было ограничится средствами WIn, т.е. аунтефикация проходила таким образом..

Выходит я настраиваю прозрачный прокси сервер и iptables как минимум чтобы раздать интернет, потом нужно сделать какую то возможность аунтефикации, после чего к этим пользователям привязывать ограничения и их же вижу в web интерфейсе своем, т.е. интерфейс нужен чтобы видеть список пользователей, отмечать отключать или включать им доступ, например добавлять/убирать правило через exec в php или что-то в таком духе, если нужно кого то отключить, например ...? Вроде бы так, возможно ли такое сделать? И что самое главное как????

[Ленивая Бестолочь]

в прозрачном прокси не может быть авторизации по логину и паролю (средствами прокси).
однако вы можете заводить пулы в сквиде по айпишникам и сетям и рулить скоростью.
аутентификация при прозрачном прокси полностью отсутствует. он на то и прозрачный, что пользователь вообще не знает о его существовании.

[DaemonTux]

Если вам нужна авторизация по логин/пароль то лучше смотреть в сторону какого нибудь билинга (например abils) + l2tp/pptp так как squid предназначен для http/ftp. А скажем торент им ограничить не получиться. Либо можно чтобы не авторизованного клиента в браузере перебрасывало на страницу с авторизацией.

Либо если логин/пароль не нужен то можно использовать iptables/iproute2 для авторизации по ip/mac и для шейпинга. Но мак и ip всегда можно подменить.

Ели нужен учет трафика то лучше смотреть в сторону билинга.

[Olden Gremlin]

1. Ограничивать ширину канала

tc. как вариант, для более понятного усвоения пройденного материала - tcng.

2. Ограничивать время подключения по времени

Ну тут либо с биллингом заморачиваться, в котором можно задать те или иные ограничения или же по cron'у фильтры формировать.
Варианты решений зависят только от извращённости фантазии

3. И иметь возможность пользоваться любым ПО, учитывая что все остальные будут на Win7 в основном, кто WinXP

Что значит "любым ПО"?
Если необходим контроль только над http/https/ftp трафиком то смотрим в сторону squid и, соответственно, через iptables запрещаем всё, что не относится к "полезному" трафику.
Если необходим контроль над пропускной способностью всего трафика от пользователя (включая всяческие торренты) то смотрим в сторону tc (более развёрнутые правила можно в tcng формировать). Ну и опять-таки никто не избавляет от необходимости соответствующим образом настроить iptables.

[Sergey069]

tc. как вариант, для более понятного усвоения пройденного материала - tcng.

или же по cron'у фильтры формировать.

Ой я лучше по Cron, куда тут биллинг на одну локалку... Тут просто ночью - больше и днем - меньше, может еще пара правил но каждый час что-то менять не придется явно

Что значит "любым ПО"?

Ну это значит что все Win агенты (аськи, мейл агент, контакты и что еще обычно бывает), торренты, игры т.е. то что простой пользователь который хочет развлекаться может себе понаставить
И делать это именно прозрачно и ограничить их всех по скорости от одного пользователя

Ну и опять-таки никто не избавляет от необходимости соответствующим образом настроить iptables.

А что значит соответствующим образом? Посмотрел в примере по ссылке, только я не понял это добавить к просто раздаче интернета или есть еще какие-то правила?

Либо если логин/пароль не нужен то можно использовать iptables/iproute2 для авторизации по ip/mac и для шейпинга. Но мак и ip всегда можно подменить.
Ели нужен учет трафика то лучше смотреть в сторону билинга. iptables/iproute2

Т.е. если с авторизацией по MAC все таки успокоится, то пожалуй это вполне достаточно? Я просто не вижу способа привязать ограничения к конкретному PC...

так как squid предназначен для http/ftp. А скажем торент им ограничить не получиться

Вот значит нет squid уже никак не подходит...

[Olden Gremlin]

А что значит соответствующим образом?

• Если вариант с маркированием трафика то настроить маркировку, плюс фильтры.
• Если же через ifb0 то просто позаботиться о фильтрах.
• Ну, а если squid то подумать о том нужен ли он "прозрачным" и настроить соответствующий редирект.

Любой из вариантов приемлем для своих целей.
Но если хочется и в игрушки, и в торренты, и прочие плюшки то я бы выбрал или первый или второй вариант, от них бы и начал пляску с бубном.

[Sergey069]

А как же то что squid не ограничит торренты? Т.е. я выходит ограничу в squid чатично и мне потом искать способ ограничить торренты?
Хм, может тогда правда iptables+iproute2? Интерфейс мне не нужен, или даже я напишу свой web - мне так проще будет и пусть скрипт по cron правила генерирует.... Т.е. это было бы вообще здорово, я бы сделал там добавление MAC с описанием скорости/времени для них

Еще мне нужно несколько подсетей внешних сделать исключением, но я думаю это не будет проблемой, по крайней мере в iptables, но вот тут я не очень пойму какую роль будет выполнять iptables а какую iproute2?
Находил даже для iptables правила для ограничения скорости, но проверять не проверял правда, через LIMIT как-то делали

[Sergey069]

Вот с этим объясните пожайлуста, т.е.:

1. На iptables можно сделать NAT
2. Я могу фильтровать по MAC
3. Я могу генерировать правила по CRON и изменять их кода нужно
4. Могу сделать себе web интерфейс, откуда генерировать список MAC/скорость/время например)
5. Вроде как могу порезать канал по 100кбит каждому например (вот тут что-то не популярно это дело, хотя используют похоже)
6. Вполне могу исключить 10-20 подсетей и порезать до них по 1Мбит (т.е. подсеть или ее часть совсем рядом), вместо 100кбит


ps. А и еще FlyLink нужен, вот что не хватает для счастья. Попоравьте в чем не прав и где могут быть грабли? Может быть потом усдасться на все это готовое прикрутить какую-никакую авторизацию...
Т.е. меня ток волнует смогу ли я все поставленные задачи так решить?

[Olden Gremlin]

А как же то что squid не ограничит торренты? Т.е. я выходит ограничу в squid чатично и мне потом искать способ ограничить торренты?

Squid это всего-лишь http/ftp прокси-сервер и он не умеет заваривать кофе.

Хм, может тогда правда iptables+iproute2? Интерфейс мне не нужен, или даже я напишу свой web - мне так проще будет и пусть скрипт по cron правила генерирует.... Т.е. это было бы вообще здорово, я бы сделал там добавление MAC с описанием скорости/времени для них

Привязывать ip к mac? Если это небольшая, подконтрольная офисная сеть то, по большому счёту это может быть лишним. С другой стороны, да, через iptables можно фильтровать mac-адреса.

Spoiler

Но если по-хорошему то имхо лучше иметь управляемый свич/свичи/ второго уровня с поддержкой dhcp option 82 и к конкретным портам привязать конкретные ip, а тех кто не получил адрес по dhcp отсылать в сад, но это лирика, лирика...

С другой стороны никто не мешает нам вести arp-таблицу со статически заданными адресами. И в каком-нибудь ipset'е вести "дозволенный список", а остальных отсылать в сад. Всё-таки не барское это дело мешать второй и третий уровень в одном флаконе.

Еще мне нужно несколько подсетей внешних сделать исключением, но я думаю это не будет проблемой, по крайней мере в iptables,

И опять-же, список "доверенных" сетей вести в отдельном ipset-е и уже его скармливать "исключительным" правилам iptables-а. В общем случае стоит иметь ввиду, что чем больше всяких списков адресов (два-три не в счёт!) тем медленнее отрабатывает iptables. Если, например, хочется ограничить себя от автономных сетей "китайских братьев" то без использования ipset-а любое решение на уровне фильтров iptables-а становится феерично тормозным. Но это уже другая песня.

но вот тут я не очень пойму какую роль будет выполнять iptables а какую iproute2?

Shell

man ip man tc man iptables

В общем случае:

• ip - таблицы маршрутов и перенаправления;
• tc - шейпер (организация очередей, qos и т.д.);
• iptables - фильры, snat/dnat, маркировка трафика.

Находил даже для iptables правила для ограничения скорости, но проверять не проверял правда, через LIMIT как-то делали

В iptables это не совсем ограничение скорости, это скорее организация правил по тем или иным правилам, которые зависят от времени. Например:

Код: Выделить всё

-A limit_service -p tcp --syn --dport 22 -m connlimit --connlimit-above 10 -j REJECT

если вдруг образуется более десяти запросов к ssh то все лишние идут курить в сад.
А тут вот немного сложнее:

Код: Выделить всё

-A INPUT -p tcp --dport 22 -m recent --name ssh --update --seconds 3600 --hitcount 5 -j REJECT
-A INPUT -p tcp --dport 22 -m recent --name ssh --set -j ACCEPT

Если за последний час с хоста пришло 5 или более пакетов на ssh-сервер, то отправить курить в сад, при этом не забыть добавить последнее время попытки подключения и обновить счётчик. Если же в сад никого не отправили, то просто обновим время и счётчик, при этом дав подключиться в ssh-порту.
Есть у iptables-а и другие, не менее забавные, игры со временем. Но к ограничению скорости они имеют весьма условное отношение, если конечно не задаться целью чистить зубы через анус

[Olden Gremlin]

Вот с этим объясните пожайлуста, т.е.:

1. На iptables можно сделать NAT

Да.

2. Я могу фильтровать по MAC

Да.

3. Я могу генерировать правила по CRON и изменять их кода нужно

Да.

4. Могу сделать себе web интерфейс, откуда генерировать список MAC/скорость/время например)

Да.

5. Вроде как могу порезать канал по 100кбит каждому например (вот тут что-то не популярно это дело, хотя используют похоже)

Да, можно. Можно и по 32 килобита (привет V.34bis!).

6. Вполне могу исключить 10-20 подсетей и порезать до них по 1Мбит (т.е. подсеть или ее часть совсем рядом), вместо 100кбит

Да, вполне.

ps. А и еще FlyLink нужен, вот что не хватает для счастья. Попоравьте в чем не прав и где могут быть грабли? Может быть потом усдасться на все это готовое прикрутить какую-никакую авторизацию...

или, например, isg, но зачем?
Для настоящих параноиков в мелких офисных сетях свичи второго уровня с поддержкой dhcp option 82 это наше всё!

[Sergey069]

Ну как бы я не выбираю, есть комп железный, который я должен привести в такое состояние т.е. никто меня не спрашивал как и что, уже поздно т.к. все куплено и только ждет когда его настроят...

Да, можно. Можно и по 32 килобита (привет V.34bis!).

А это же вроде как через анус? А можно пример, как такое сделать, для IP/MAC например порезать скорость на 128кбит?
Пока выходит для меня самый момент "узкий" т.е. сам не знаю, как точно делать непонятно, а вы говорите через анус оно зубы... а потом говорите можно ...

Нашел пока так http://www.opennet.ru/openforum/vsluhforumID10/2128.html#1
Т.е. выходит это и есть проблема? Пакеты по количеству можно, а объем трафика в секунду никак...


Ок, тогда iptables + tc + ip...

[Olden Gremlin]

Да, можно. Можно и по 32 килобита (привет V.34bis!).

А это же вроде как через анус?
Пока выходит для меня самый момент "узкий" т.е. сам не знаю, как точно делать непонятно, а вы говорите через анус оно зубы... а потом говорите можно ...

Секундочку, каков квест таков и реквест. Был вопрос: "можно?". Был ответ: "Да". Я же не говорил, что правильно, а что не очень?

А можно пример, как такое сделать, для IP/MAC например порезать скорость на 128кбит?

Привяжем mac к ip в arp-таблице:

arp

~$ sudo ip n r 10.100.1.253 dev vlan8 lladdr 00:e0:81:32:13:b6

Составим правило для tcng:

tcng

#define IFACE_TOHOST vlan8 #define IP_NET24 10.100.1.0 #define IP_GW 10.100.1.219 #define IP_USER_0 10.100.1.253 #define RATEINTERFACE 100000 #define RATEPROVIDER 10000 #define RATE_USER_0 128 #define R2Q 7 $RATE_LOCAL_NETW = RATEINTERFACE - RATEPROVIDER; $RATE_USER_OTHER = RATEPROVIDER - RATE_USER_0; dev IFACE_TOHOST { egress { class ( <$local> ) if ip_src == IP_GW && ip_dst/24 == IP_NET24; class ( <$police_user_0> ) if (ip_dst == IP_USER_0); class ( <$police_other> ) if (ip_dst/24 == IP_NET24); drop if 1 ; htb ( rate RATEINTERFACE kbps, r2q R2Q ) { class ( rate $RATE_LOCAL_NETW kbps ) { $local = class ( rate $RATE_LOCAL_NETW kbps ) { sfq(); } } class ( rate RATEPROVIDER kbps ) { $police_user_0 = class ( rate RATE_USER_0 kbps) { sfq; } $police_other = class ( rate $RATE_USER_OTHER kbps, ceil RATEPROVIDER kbps) { sfq; } } } } }

Условия следующие: интерфейс у нас 100 мегабитный, у провайдера покупаем 10 мегабит, пользователю_0 отдаём 128 килобит, остальные делят остаток полосы, при этом если пользователь_0 ничего не качает то им отдаётся и его кусочек Локальный трафик от шлюза к пользователям равен 90 мегабит.

"Компилируем" эти правила и получаем набор инструкция для tc:

tc

~$ tcng -r vlan8.tcng tc qdisc del dev vlan8 root tc qdisc del dev vlan8 ingress # =============================== Device vlan8 ================================ tc qdisc add dev vlan8 handle 1:0 root dsmark indices 4 default_index 0 tc qdisc add dev vlan8 handle 2:0 parent 1:0 htb r2q 7 tc class add dev vlan8 parent 2:0 classid 2:1 htb rate 11250000bps tc class add dev vlan8 parent 2:1 classid 2:2 htb rate 11250000bps tc qdisc add dev vlan8 handle 3:0 parent 2:2 sfq tc class add dev vlan8 parent 2:0 classid 2:3 htb rate 1250000bps tc class add dev vlan8 parent 2:3 classid 2:4 htb rate 16000bps tc qdisc add dev vlan8 handle 4:0 parent 2:4 sfq tc class add dev vlan8 parent 2:3 classid 2:5 htb rate 1234000bps ceil 1250000bps tc qdisc add dev vlan8 handle 5:0 parent 2:5 sfq tc filter add dev vlan8 parent 2:0 protocol all prio 1 tcindex mask 0x3 shift 0 tc filter add dev vlan8 parent 2:0 protocol all prio 1 handle 3 tcindex classid 2:5 tc filter add dev vlan8 parent 2:0 protocol all prio 1 handle 2 tcindex classid 2:4 tc filter add dev vlan8 parent 2:0 protocol all prio 1 handle 1 tcindex classid 2:2 tc filter add dev vlan8 parent 1:0 protocol all prio 1 u32 match u32 0xa6401db 0xffffffff at 12 match u32 0xa640100 0xffffff00 at 16 classid 1:1 tc filter add dev vlan8 parent 1:0 protocol all prio 1 u32 match u32 0xa6401fd 0xffffffff at 16 classid 1:2 tc filter add dev vlan8 parent 1:0 protocol all prio 1 u32 match u32 0xa640100 0xffffff00 at 16 classid 1:3 tc filter add dev vlan8 parent 1:0 protocol all prio 1 u32 match u32 0x0 0x0 at 0 classid 1:0 police index 1 rate 1bps burst 1 action drop/drop

Их можно куда-нибудь сохранить чтобы затем, при поднятии интерфейса вызывать

Это был исходящий на клиента трафик, т.е. трафик от провайдера к клиенту.
Трафик от клиента в Сеть для начала маркируем:

iptables

iptables -t mangle -A PREROUTING -s 10.100.1.253 -j MARK --set-xmark 1001 iptables -t mangle -A PREROUTING -s 10.100.1.253 -j RETURN

Затем составляем правила для интерфейса который смотрит на провайдера. Это не сложно. Почитать об этом можно в вопросах и ответах к этому разделу форума. Пусть это будет домашним заданием. Ok?

Т.е. выходит это и есть проблема? Пакеты по количеству можно, а объем трафика в секунду никак...
Ок, тогда iptables + tc + ip...

И вот, когда с шейпером будет всё закончено, можно iptables-ом формировать фильтры куда пущать пользователя, а кудом не пущать. Вот, как-то так.

ps: Кстати, маркировать можно не только пользовательский трафик, но, например, трафик из Интернета, с каких-либо сетей и затем рисовать на него tc-правила: извращённость правил ограничена лишь полётом воспалённой фантазии и ничем более

Составим правило для tcng:

tcng

#define IFACE_TOHOST vlan8 ... class ( <$police_other> ) if (ip_dst/24 == IP_NET24); ... }

Кстати, если это правило поменять на:

tcng

#define IFACE_TOHOST vlan8 ... drop if (ip_dst/24 == IP_NET24); ... }

То мы тем самым заблокируем любой трафик от провайдера к пользователям сети 10.100.1/24, кроме описанного выше user_0.

[Sergey069]

Секундочку, каков квест таков и реквест. Был вопрос: "можно?". Был ответ: "Да". Я же не говорил, что правильно, а что не очень? wink.gif

Да нет я ничего не говорю, справедливо что скажешь, просто я чайник о чем честно сознаюсь и проблема для меня новая вот в чем проблема... Ок пойду делать домашнее задание, по крайней мере я теперь точно знаю из чего мне это собрать, а это уже поднимает немного настроение, все завязываю с глупыми вопросами, пойду разбираться как пользоваться tcng и настрою локалку с NAT и DHCP, потом буду пробовать порезать по примеру из ссылки, там то в общем все хорошо должно быть....

ps. Просто мне какое то время казалось что iptables всесилен, а правила его описывают все

[Sergey069]

Ну вот почти работает То есть работает то оно да, настроил DHCP выдавать ip по маку и всем остальным (зачем незнаю) выдавать ip которому нельзя в интернет, разве что в локалке пусть сидят что ли...
Хм, теперь только задумался как мне все это поднимать т.е. у меня есть таблица маков, хочется чтобы при запуске поднималось все это, т.е. DHCP правила формировались, tncg правила и затем скормить их tc, ну и привязка ip/mac, iptables правила думаю просто в отдельный скрипт вместе и nat первым...

Вот только нет ли какого формата, метода описывать это? Т.е. иначе мне нужно парсить тот же DHCP постоянно, для tcng правила генерировать, брр на bash не знаю насколько это будет заморочено... Может есть что-то? Или можно начинать уже генераторы писать? Но все таки как-то оно криво выглядит, или может можно хотя бы свой скрипт запустить до старта DHCP, а то совсем не красиво как-то

[Sergey069]

Ну вроде даже кустарными методами неплохо получается, одно только остается с чем непонятно, если я tc порезал канал, то выходит для подсетей мне в нем нужно резать канал т.е. посети вида 88.55.90.0/24 например
Т.е. в iptables что я смогу, когда tc все режет кроме локального траффика, т.е. между шлюзом и клиентами я поставил 50Мбит фиксированно, а как подсети исключать в количестве 20 штук и скажем каждому клиенту для них выделить по 500кбит, вместо простых 100кбит?