PC as a Router

[poscaman]

Είναι ένα project το οποιο πριν λιγο καιρο φανταζε εξωτικο,αλλα πλεον πιστευω οτι μπορω να τα καταφερω.Χρειαζομαι ομως φυσικα και την βοηθεια σας σε καποια πραγματα που δεν γνωριζω.Ας ξεκινησω με τα πιο βασικα

 

 

• Debian vs *BSD.Σηκώνει πολύυυυ συζητηση.Με Debian ειμαι πολύ εξοικειωμενος,το δουλεύω αρκετά και έχω δοκιμάσει και κάποια πραγματάκια σε αυτό.Από την άλλη διάφοροι (βλεπε apoikos,αλλα και αλλα παιδια που γνωριζω και δουλευουν σαν network admins) ριχνουν το γαντι στο FreeBSD (?).Με το *BSD δεν εχω ασχοληθει ποτέ εκτος απο το οτι εχω διαβάσει την ιστορία του!
  
• Hardware.Εχω μπόλικο,αλλά...καινούριο.Είναι υπερβολή για τέτοιο project να χρησιμοποιηθει [email protected],256 Ram,20 HDD η όχι;Πριν απαντησετε ομως διαβαστε παρακατω
  

 

• Τι θελω;Να διαχειριζεται το δικτυο μου (!)
  

Συγκεκριμενα:

 

1. Squib.Έχουμε μικρά παιδιά στο σπίτι.Βαρέθηκα τα τρύπια parental controls
   
   
2. FireWall.κανένα σχόλιο
   
   
3. Διαμοιρασμός και QoS στην dsl γραμμη.Κατεβάζουν τα πιτσιρικια στο Ares,σουρνεται το δικτυο
   
   
4. Wireless Access Point.Οι γονεις μπαίνουν με τα φορητά ασύρματα
   
   
5. File Sharing.Όχι στο ίδιο pc,αλλα σε ένα άλλο του δικτύου
   
   
6. Print Server (?)Περιμένω δικτυακό εκτυπωτη (κι ακομα περιμενω!)οποτε μαλλον δεν θα χρειαστει
   
   
7. DNS caching.Αυτο σηκωνει πολυ συζητηση.Εψαξα για bind,μου ειπαν οτι δεν υπαρχει λογος για τοσο μικρο δικτυο.dnsmasq??Η θα ειναι αχρηστο? (6-8 pcs ειναι το δικτυο)
   
   
8. sky is the limit...
   
   

• Τι δεν ξέρω:
  

1. Χρειαζομαι σιγουρα 2 καρτες δικτυου.με την μια συνδεομαι εξωτερικα (μεσω adsl ρουτερ),με την αλλη συνδεομαι στο lan.Οι καρτες πρεπει να ειναι gigabit?
   
   
2. Εφοσον θα υπαρχει file sharing,η καρτα για το εσωτερικο δικτυο του pc-router δεν πρεπει να πεφτει σε ενα gigabit switch?και οι αλλες δικτυακες συσκευες πανω στο switch?
   
   
3. Πολλες ρυθμισεις,αλλα δεν ειναι της παρουσης
   
   

 

Ευχαριστω πολυ για τον χρονο σας

Δημητρης

[apoikos]

• Debian vs *BSD.Σηκώνει πολύυυυ συζητηση.Με Debian ειμαι πολύ εξοικειωμενος,το δουλεύω αρκετά και έχω δοκιμάσει και κάποια πραγματάκια σε αυτό.Από την άλλη διάφοροι (βλεπε apoikos,αλλα και αλλα παιδια που γνωριζω και δουλευουν σαν network admins) ριχνουν το γαντι στο FreeBSD (?).Με το *BSD δεν εχω ασχοληθει ποτέ εκτος απο το οτι εχω διαβάσει την ιστορία του!
  

Χρησιμοποίησε αυτό που ξέρεις καλύτερα ;-). Αργότερα, αφού θα έχεις σχηματίσει άποψη του πως λειτουργεί το Linux σε ένα δίκτυο, δοκίμασε και ένα BSD για να δεις διαφορές.

 

• Hardware.Εχω μπόλικο,αλλά...καινούριο.Είναι υπερβολή για τέτοιο project να χρησιμοποιηθει [email protected],256 Ram,20 HDD η όχι;Πριν απαντησετε ομως διαβαστε παρακατω
  

Τόση CPU δε χρειάζεσαι, αλλά απ' τη στιγμή που την έχεις, δεν είναι υπερβολή ;-)

 

 

• Τι θελω;Να διαχειριζεται το δικτυο μου (!)
  

Συγκεκριμενα:

 

1. Squib.Έχουμε μικρά παιδιά στο σπίτι.Βαρέθηκα τα τρύπια parental
   controls
   

squid + dansguardian

 

1. Χρειαζομαι σιγουρα 2 καρτες δικτυου.με την μια συνδεομαι εξωτερικα (μεσω adsl ρουτερ),με την αλλη συνδεομαι στο lan.Οι καρτες πρεπει να ειναι gigabit?
   
2. Εφοσον θα υπαρχει file sharing,η καρτα για το εσωτερικο δικτυο του pc-router δεν πρεπει να πεφτει σε ενα gigabit switch?και οι αλλες δικτυακες συσκευες πανω στο switch?
   
3. Πολλες ρυθμισεις,αλλα δεν ειναι της παρουσης
   

1. Δε χρειάζεσαι κατ' ανάγκη δύο κάρτες δικτύου. Αν και είναι λίγο off-spec, μπορείς να βάλεις το modem σου σε bridged mode και να σηκώσεις κατευθείαν την PPPoE σύνδεση στο PC και να κυκλοφορείς ταυτόχρονα το subnet του δικτύου σου μέσα από την ίδια κάρτα (αυτό είναι το off-spec μέρος). Μάλιστα το PPPoE απ' το PC επιβάλλεται, αν θες να έχεις αποτελεσματικό QoS, διαφορετικά η ουρά (queue) θα σχηματίζεται στο DSL router.

 

2. Γενικά όλα θα τα ρίξεις πάνω σε ένα switch. Αν μπορείς να είναι και gigabit, έχει καλώς, αν και ακόμα θεωρώ ότι το 100άρι είναι μια χαρά για οικιακό δίκτυο.

 

3. Εδώ είμαστε για ό,τι χρειαστείς.

[poscaman]

• Εντάξει,αφου ο δάσκαλος έδωσε την άδεια θα προχωρήσω με debian.Άλλωστε είναι γνωστες οι αγάπες του!
  
• Το hardware το κλεισαμε.Τελικα θα βαλω 2 NIC.1 @ 100MBit για την συνδεση ρουτερ-ρουτεροπισιου και μια @ 1 gigabit για το εσωτερικο δικτυο.apoikos αυτο που προτεινεις ειναι too much για την αφεντια μου.Ασε που καρτες εχω ενα τσουβάλι
  

Στηνω το μηχανηματακι και debian και επανερχομαι με περισσοτερες αποριες.

 

Ευχαριστω

 

 

-----Προστέθηκε 9/10/2008 στις 02 : 51 : 26-----

 

 

Στηθηκε λοιπον debian etch,standard system μονο,

τα υπολοιπα θα στηθουν χειροκινητα.

 

και ξεκιναμε:

 

 

• cat /etc/apt/sources.list
  

>
deb http://security.debian.org/ etch/updates main contrib
deb-src http://security.debian.org/ etch/updates main contrib
deb http://ftp.us.debian.org/debian/ stable main contrib non-free

• apt-get install
  

>ssh vim smartmontools iptraf vnstat saidar build-essential linux-headers-`uname -r` nmap 

• apt-get remove
  

>telnet

αυτα που γραφω πιο πανω εχουν παραμετροποιηθει και ειναι ετοιμα.αργοτερα θα ασχοληθω με πιο σημαντικα πραγματα.

 

Ηθελα να ρωτησω ομως το εξης.Το smartmontools μπορει να με ειδοποιει με mail.Πρεπει να στηθει ενας mail server τοπικος,πως ακριβως γινεται;(μαυρα μεσανυχτα!)

 

ευχαριστω

[firewalker]

Δεν νομίζω να χρειάζεται να στήσεις mail server. Κάποιο πρόγραμμα μπορεί να συνδέετε για παράδειγμα στον gmail λογαριασμό σου και στέλνει. Λογικά θα υπάρχουν και mail clients κονσόλας που θα μπορούν με ένα one-liner να στείλουν mail. Οπότε θα μπορείς εύκολα να το καλείς από κάποιο script. Και να μην υπάρχει το φτιάχνουμε!

[apoikos]

Γενικά υπάρχει η σιωπηρή παραδοχή ότι σε κάθε POSIX περιβάλλον υπάρχει ένα /usr/bin/sendmail, το οποίο παίρνει στην standard input του ένα κείμενο και το στέλνει με συγκεκριμένα arguments ως κανονικό e-mail. Το /usr/bin/sendmail συνήθως είναι κάποιος πλήρης MTA, υπάρχουν όμως και πιο «χαζά» sendmails όπως το ssmtp.

 

Τώρα, το smartd καλεί το mail(1) (MUA), που με τη σειρά του στέλνει με τη sendmail του συστήματος. Η απλούστερη λύση για να φεύγουν τα e-mails, είναι να εγκαταστήσεις το ssmtp και να του ρυθμίσεις ποιόν απομακρυσμένο SMTP server να χρησιμοποιεί για να στέλνει e-mail. A, και να πεις στον smartd σε ποια διεύθυνση να στέλνει ;-)

[firewalker]

Αν έχεις και λεφτά για πέταμα αγόρασε ένα pci adsl modem και ρίξε την adsl πάνω στο κουτί...

[poscaman]

την adsl θα την χειριζεται το κουτι.αυτο το εχω ηδη στησει και παιζει μια χαρα.καποια πραγματα που ΔΕΝ καταλαβαινω

 

το ρουτερ (της forthnet) ειχε απο μονο του dhcp server καθως και την ΙΡ 192.168.1.1

τωρα ομως εχω 2 καρτες στο πισι.η πρωτη (eth0) συνδεεται με το ρουτερ και πανω της υπαρχει η PPPoE συνδεση.αυτη η καρτα ομως πρεπει να παρει ποια ip?της εδωσα την 192.168.1.1 και στην δευτερη την 192.168.1.100.

 

επισης πανω στην δευτερη σηκωθηκε και ο dhcp server .σωστα μεχρις εδω;;

 

ευχαριστω

[firewalker]

Λογικά η eth0 πρέπει να πάρει ip από το dhcp του adsl router. Από εκεί και πέρα το νέο δίκτυο το ορίζεις εσύ με τον dhcp server που θα τρέχεις. Έτσι και αλλιώς την μεταφορά των πακέτων την αναλαμβάνει το netfilter. Δεν νομίζω ότι οι δύο ip χρειάζεται να έχουν κάποια σχέση.

 

apoiko, κάνω λάθος;

[apoikos]

Λογικά η eth0 πρέπει να πάρει ip από το dhcp του adsl router. Από εκεί και πέρα το νέο δίκτυο το ορίζεις εσύ με τον dhcp server που θα τρέχεις. Έτσι και αλλιώς την μεταφορά των πακέτων την αναλαμβάνει το netfilter. Δεν νομίζω ότι οι δύο ip χρειάζεται να έχουν κάποια σχέση.

 

apoiko, κάνω λάθος;

Ναι, κάνεις λάθος ;-) Διάβασε παρακάτω

 

την adsl θα την χειριζεται το κουτι.αυτο το εχω ηδη στησει και παιζει μια χαρα.καποια πραγματα που ΔΕΝ καταλαβαινω

 

το ρουτερ (της forthnet) ειχε απο μονο του dhcp server καθως και την ΙΡ 192.168.1.1

τωρα ομως εχω 2 καρτες στο πισι.η πρωτη (eth0) συνδεεται με το ρουτερ και πανω της υπαρχει η PPPoE συνδεση.αυτη η καρτα ομως πρεπει να παρει ποια ip?της εδωσα την 192.168.1.1 και στην δευτερη την 192.168.1.100.

Η κάρτα που βλέπει το ADSL modem δε χρειάζεται IP. Δεν περνάνε IP πακέτα από αυτό το interface, παρά μόνο τα ethernet frames του PPPoE. Το μόνο που χρειάζεται είναι να είναι UP. Ωστόσο, καλό είναι να της βάλεις μια IP για να μπορείς να βλέπεις το web interface του modem σου.

 

Από 'κει και πέρα, το setup σου είναι λάθος γιατί έχεις βάλει τις δύο κάρτες στο ίδιο subnet. Κάθε κάρτα πρέπει να βρίσκεται σε διαφορετικό subnet, εκτός αν ξέρεις πολύ καλά τι κάνεις. Επομένως, αν το modem σου έχει την IP 192.168.1.κάτι, άσε την .1.100 στο εξωτερικό interface και βάλε μια άλλη στο εσωτερικό, π.χ. 10.0.1.1.

 

επισης πανω στην δευτερη σηκωθηκε και ο dhcp server .σωστα μεχρις εδω;;

 

ευχαριστω

Ναι, τον dhcp θα τον σηκώσεις στο interface που βλέπει το δίκτυό σου.

[firewalker]

Ο κανόνας για το iptables θα είναι... Πάμε στο παράδειγμα 5.2;

 

http://www.insomnia.gr/forum/showthread.php?t=170844

[poscaman]

ευχαριστω πολυ.

 

παμε λοιπον

/etc/network/interfaces

>
auto lo
iface lo inet loopback

allow-hotplug eth0
iface eth0 inet static
address 192.168.1.100
netmask 255.255.255.0
gateway 192.168.1.1
auto eth0

allow-hotplug eth1
iface eth1 inet static
address 172.16.0.1
netmask 255.255.255.0
gateway 172.16.0.1
auto eth1

το subnet 10.10..... χρησιμοποιειται για openvpn

 

η eth0 πηρε ip για να μπορω να βλεπω το web interface οπως ειπε και ο αποικος

 

 

-----Προστέθηκε 10/10/2008 στις 12 : 04 : 51-----

 

 

Προβλήματα-Απορίες.

 

1. Ο DHCP ειναι up & running ομως με το πιο πανω configuration στο /etc/network/interfaces δεν εχω ιντερνετ στο ρουτεροπισι.Κατηργησα την static και εχω,ομως εχω χασει τελειως το web interface του ρουτερ
   
2. Διαβαζω εδώ-τοδευτερο μερος (Hardware firewall) εχω ομως 2 αποριες.

   >iptables -N net2lan
   iptables -A FORWARD -o eth0 -j net2lan

   Αυτο στην δική μου περιπτωση πρεπει να αντικατασταθει με eth1? (τα χω μπλεξει λιγο με τις καρτες,eth0 ειναι η εξωτερικη,eth1 ειναι η εσωτερικη).Κι επίσης αυτο

   >iptables -A net2lan DROP

   μου λέει οτι δεν γινεται (bad argument 'DROP')
   

3. Επίσης αυτο

   >iptables -p icmp --icmp-type ! echo-request -j ACCEPT

   μου απανταει με iptables v1.3.6: no command specified γιατι;;
   edit:αυτο λυθηκε με την προσθηκη -A INPUT.ελπιζω να μην εγινε καμμια βλακεια
   

ευχαριστω

 

 

-----Προστέθηκε 10/10/2008 στις 01 : 47 : 39-----

 

 

κι ενα προχειρο σχεδιακι για το τι θελω να καταφερω στο τελος.οπου dsl provider=router σε bridged mode

 

[firewalker]

Το παρακάτω το έχει ψάξει κανείς;

 

http://www.openlinuxrouter.com/

[poscaman]

currently no stable releases.-

[nske]

Αυτο στην δική μου περιπτωση πρεπει να αντικατασταθει με eth1? (τα χω μπλεξει λιγο με τις καρτες,eth0 ειναι η εξωτερικη,eth1 ειναι η εσωτερικη).

Φαντάσου ότι δίνοντας -A FORWARD -o eth0, ο κανόνας θα πιάσει 1-1 όλα τα IP πακέτα που προέρχονται από άλλους hosts του δικτύου και πρόκειται να φύγουν από την eth0 και θα τα περάσει από τον έλεγχο που έχεις ορίσει (-m), αν ο έλεγχος έχει θετικό αποτέλεσμα θα οδηγηθούν στον target (-j). Αν δεν έχεις ορίσει έλεγχο, όπως τώρα, θα οδηγηθούν όλα στο target (στην προκειμένη το Target είναι το Ne2Lan, ένα δικό σου chain που έχεις δημιουργήσει για να ομαδοποιήσεις άλλους ελέγχους/κανόνες -αλλιώς δεν έχει νόημα να φτιάξεις δικό σου chain-).

 

Όμως, όπως είπε ο Apoikos: αφού θα κάνεις PPPoE σύνδεση, το traffic προς το internet δεν θα περάσει γυμνό σε IP πακέτα από το eth0 -έτσι θα περάσει μόνο αυτό για την επικοινωνία με το administration interface του router, όταν το επισκέπτεσαι-).

 

Όταν κάνεις την PPP(oE) σύνδεση, ο PPPd θα δημιουργήσει ένα νέο interface: το ppp0. Αυτό θα κουβαλάει την δημόσια IP address, από εκεί θα περνάνε τα πακέτα προς/από το internet απελευθερομένα από τους PPPoE και PPP headers, άρα αυτό θα ορίσεις στους κανόνες που αφορούν την επικοινωνία με το Internet.

 

Κι επίσης αυτο

>iptables -A net2lan DROP

 

μου λέει οτι δεν γινεται (bad argument 'DROP')

το DROP είναι ένας builtin προορισμός ο οποίος απορρίπτει σιωπηλά τα πακέτα. Οι προορισμοί ορίζονται στην iptables με το argument -j. Οπότε:

 

>iptables -A net2lan -j DROP

 

ΥΣ. κατ' εξαίρεση, ο προορισμός του default policy μιας αλυσίδας (-P) δεν ορίζεται με (-j) αφού δεν υπάρχουν άλλα arguments από τα οποία να πρέπει να διαχωριστεί.

[poscaman]

ερωτησουλα ξεμπλεξιματος..

 

υπαρχει καποιο config που να περασω εκει τα iptables,γιατι γραφε σβηνε εχω σιχαθει την ζωη μου.Ασε που μου παιρνει μπολικη ωρα να καταλαβω τι εχω φτιαξει και ποια εντολη το φτιαξε.Κατι σαν το στυλ των ipchains....

 

ειλικρινα δικο σας,με τον μισα εγκεφαλικα κυτταρα κατεστραμενα,(!!)

Δημητρης