Первоначальная настройка сетевой трансляции
Подсистема трансляции сетевых адресов подменяет IP-адреса компьютеров локальной сети на IP-адрес внешнего сетевого интерфейса (SNAT) или наоборот (DNAT). Ниже приведен пример замены адресов для IP пакетов приходящих на внутренний интерфейс eth0 на адреса внешнего интерфейса eth1:
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
Это правило обеспечивает работу в интернет всех компьютеров локальной сети “от имени” IP-адреса сетевого интерфейса eth1.
Первоначальная настройка сетевой фильтрации
Настройка фильтрации начинается с установки политик запрещающих все соединения кроме разрешенных:
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
Далее, обычно идут следующие правила:
- разрешаются входящие соединения на маршрутизатор с внутренней сети
iptables -A INPUT -i eth1 --source 192.168.1.0/24 --match state --state NEW,ESTABLISHED -j ACCEPT
- разрешается соединение с компьютерами во внутренней сети
iptables -A OUTPUT -o eth1 --destination 192.168.1.0/24 --match state --state NEW,ESTABLISHED -j ACCEPT
- разрешается перенаправление пакетов из внутренней сети во внешнюю для установленных и новых соединений:
iptables -A FORWARD -i eth1 --source 192.168.1.0/24 --destination 0.0.0.0/0 --match state --state NEW,ESTABLISHED -j ACCEPT
- разрешается перенаправление пакетов из внешней сети во внутреннюю только для установленных соединений
iptables -A FORWARD -i eth0 --destination 192.168.1.0/24 --match state --state ESTABLISHED -j ACCEPT
Проверка настроек сетевой защиты
Для просмотра всех правил во всех цепочках используется команда:
iptables -L
Для вывода правил отдельной цепочки используется команда:
iptables -L INPUT
Для вывода параметров в числовом формате используется опция –n:
iptables –n -L
DNS, DHCP, BOOTP/PXE, TFTP
Кратко о назначении сервисов:
- DNS является основной компонентой системы распознавания имен и предназначен для распознавания имен и IP-адресов компьютеров.
- DHCP обеспечивает автоматическую настройку клиентской части компьютеров локальной сети.
- BOOTP/PXE обеспечивает загрузку или установку операционных систем по локальной сети.
- TFTP предназначен для пересылки файлов (обычно ядра ОС) при загрузке или установке операционной системы по локальной сети.
Перечисленные сервисы могут быть установлены из следующих пакетов программ:
| Сервис | Пакеты программ | |||
| dnsmasq | bind | dhcp | tftp-server | |
| DNS | + | + | - | - |
| DHCP | + | - | + | - |
| BOOTP/PXE | + | - | + | - |
| TFTP | + | - | - | + |
Из таблицы следует, что функционирование всех базовых сервисов можно обеспечить установкой одного пакета программ - dnsmasq.
Установка и первичная настройка
Проверить установлен или нет сервис можно командой:
rpm -q dnsmasq
Установить и запустить сервис можно с помощью следующих команд:
yum install dnsmasq
chkconfig dnsmasq on
/etc/init.d/dnsmasq start
Настройки можно изменять двумя путями, либо передать их через командную строку, либо установить их в файле dnsmasq.conf. Наименование настроек (в не сокращенном варианте) передаваемых через командную строку и указываемых в файле dnsmasq.conf совпадают. Как правило выбирают второй вариант, поскольку он наиболее наглядный и позволяет добавлять комментарии к каждой настройке с помощью символа #.
Файлы настроек
Основной файл настроек:
/etc/dnsmasq.conf
Часть настроек можно вынести в отдельные файлы с помощью следующих опции.
Опция:
conf-file=<файла настроек>
добавляет содержимое файла <файла настроек> к содержимому основного файла настроек. Опций conf-file может быть несколько. Если указать вместо имени файла -, то для ввода настроек будет использоваться стандартный поток ввода stdin.
Опция:
conf-dir=<каталог>,<расширение файла>
добавляет содержимое всех всех файлов, находящихся в каталоге <каталог>, кроме файлов с расширением <расширение файла>. Файлы заканчивающиеся символом ~, либо начинающиеся с ., либо начинающиеся и заканчивающиеся символом # пропускаются всегда.
После установки основной файл настроек содержит только одну незакомментированную опцию:
conf-dir=/etc/dnsmasq.d
Протоколирование
По умолчанию события протокола направляются в стандартную службу syslog в группы событий daemon и local0. Поэтому все события сервиса отражаются в основном протоколе системы /var/log/messages Для того, чтобы создать отдельный протокол для сервиса можно использовать опцию:
log-facility=<полный путь к файлу протокола>
Например:
log-facility=/var/log/dnsmasq.log
Для отладки можно включить протоколирование все DNS запросов:
log-queries
Для снижения нагрузки на файловую систему можно включить асинхронную запись:
log-async=25