Forums:
hola a todos , para comentarles que recientemente hemos instalado centos 5.4 con la finalidad de bloquear páginas y poner seguridad en la red . El problema que tenemos es que no podemos compartir internet desde el servidor centos , la configuración que hicimos es configurar un proxy no transparente , iptables pero no comparte internet hacia nuestra red lan . Ayuda
Adjunto config iptables
echo -n Aplicando Reglas de Firewall...
## FLUSH de reglas
iptables -F
iptables -X
iptables -Z
iptables -t nat -F
## Establecemos politica por defecto
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
## Empezamos a filtrar
## Nota: eth0 es el interfaz conectado al router y eth1 a la LAN
# El localhost se deja (por ejemplo conexiones locales a mysql)
iptables -A INPUT -i lo -j ACCEPT
# Al firewall tenemos acceso desde la red local
iptables -A INPUT -s 192.168.0.0/16 -i eth1 -j ACCEPT
# Ahora hacemos enmascaramiento de la red local
# y activamos el BIT DE FORWARDING (imprescindible!!!!!)
iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -o eth0 -j MASQUERADE
# Con esto permitimos hacer forward de paquetes en el firewall, o sea
# que otras máquinas puedan salir a traves del firewall.
echo 1 > /proc/sys/net/ipv4/ip_forward
## Y ahora cerramos los accesos indeseados del exterior:
# Nota: 0.0.0.0/0 significa: cualquier red
# Cerramos el rango de puerto bien conocido
iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 1:1024 -j DROP
iptables -A INPUT -s 0.0.0.0/0 -p udp --dport 1:1024 -j DROP
# Cerramos un puerto de gestión: webmin
iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 10000 -j DROP
echo " OK . Verifique que lo que se aplica con: iptables -L -n"
# Fin del script
Pues no me has contestado a
Pues no me has contestado a mi pregunta, si te funciona con el escenario que planteo en el POST anterior y lo único que cambia es la conexión NO directa entre el servidor y la estación de trabajo, sino a través del switch, y así no te funciona, se plantea un problema de conectividad que lo está generando el switch, es posible que tengas configuradas vlans o cualquier otra configuración en el switch que impida la comunicación entre las estaciones de trabajo y el servidor pasando por el switch, nuevamente, analiza la conectividad usando el modelo OSI, empezando por la capa física ...
bye
;)
No me funciona el escenario
Hola como estas espero que se encuentre bien, el escenario que planteas no me funciona , lo que funciona es cuando conecto directamente el servidor colocando un cable de la eth0 al switch dentro de la red lan , después acudo a una pc cualquiera que esta en la misma red lan y coloco el ip del servidor 192.168.0.3 y el puerto 3128 intento entrar a internet me funciona , entro a una página que lo asigne en sitios denegados me funciona .
Mis interfaces son
eth0 192.168.0.3
Mascara de sub red 255.255.255.0
Puerta de enlace 192.168.0.60
Dns 200.48.225.130 200.48.225.146
eth1 192.168.0.4
Mascara de sub red 255.255.255.0
Puerta de enlace 192.168.0.60
Dns 200.48.225.130 200.48.225.146
Tienes un pequeño error de
Tienes un pequeño error de concepto...
Tienes dos interfaces de red con IPS de la misma red, es por eso que los paquetes no van a saber por cual interfaz irse, deberías tener la interfaz conectada a tu red interna con una IP de un segmento de red (sub-red máscaras distintas) o redes distintas ...
bye
;)
Un ejemplo
Hola buenas tardes , gracias por responder asi aprenderé , un ejemplo podria ser :
eth0 192.168.1.10
2555.255.255.0
192.168.1.1.
200.48.225.130
200.48.225.146
eth1 192.168.0.20
2555.255.255.0
192.168.1.1
200.48.225.130
200.48.225.146
Me podrás enviar un ejemplo , y también quisiera saber si tiene que ver algo iptables .
En tu ejemplo 192.168.1.1 es
En tu ejemplo 192.168.1.1 es el default gateway (supongo) y o tienes en ambas tarjetas, debería estar declarado solamente en la eth0 que es la que tiene una dirección Ip de esa red.
Los DNS no dependen de la tarjeta así que solo van en el /etc/resolv.conf ...
bye
;)
Ya voy solucionando
Hola buenos espero que se encuentre bien , para comentarte que el escenario que me planteaste me está funcionando , el problema era en los ips de cada interfaz como me decias. A la tarjeta eth0 lo asigne dhcp y a la tarjeta eth1 192.168.0.100 , cuando hago la prueba con una estación conectada con el cable a la eth1 si tengo internet me bloquea páginas , etc... Quisiera saber cual de los ips de las tarjetas voy a asignar a cada estación de la eth0 o eth1 , en la estación estoy probando con la ip de la eth1.
Problemas .
Tengo problemas de envío y recepción de correos en microsoft outlook a que se debe.
Tendré que asignar la puerta de enlace y los dns a cada estación .
Gracias.
Al colocar eth0 con dhcp
Al colocar eth0 con dhcp supongo y te asigna una dirección IP el módem o router que te brinda el servicio de Internet y supongo que es una dirección IP pública o al menos de otra red distinta a la 192.168.0.0/24 que es con la red que deberían trabajar todas tus máquinas de la red interna.
Deberías tener configurado en tu servidor proxy un servicio de DNS de caché para que en las estaciones de trabajo el servidor DNS que configures sea tu proxy 192.168.0.100, eso minimiza el tráfico generado por peticiones dns y mejora el performance de tu red ya que muchas de las peticiones son cacheadas y respondidas más rápidamente.
Además el default gateway de las estaciones de trabajo debería ser también tu proxy y deberías configurar un proxy también para los otros servicios que vas a usar como POP3 o IMAP o en su defecto natear o enmascarar las conexiones hacia dichos servicios, en este momento no te funcionan ya que solamente tienes configurado un proxy para http/s y ftp como es squid.
bye
;)
Hola buenos días , al colocar
Hola buenos días , al colocar eth0 con dhcp me asigna una dirección ip diferente a la 192.168.0.0/24 , tengo configurado un proxy no transparente que funciona perfecto solo el problema esta en los correos de microsoft outlook , en mi estación de trabajo solo coloco en el navegador ip de la tarjeta eth1 192.168.0.100 3128 el ip de la estación de trabajo es 192.168.0.18 255.255.255.0 solo con eso tengo salida a internet no le asigno puerta de enlace ni los DNS será el problema aquí? o es posible solucionar configurando iptables.
Como te decía, debes asignar
Como te decía, debes asignar 192.168.0.100 como default gateway en tu estación de trabajo y configurar DNS también, como te comentaba lo mejor es instalar un DNS caché como dnsmasq o caching-nameserver (bind) en tu proxy 192.168.0.100 y configurarlo como servidor DNS en tus estaciones de trabajo, con eso y tus configuraciones de iptables deberían tener acceso tus estaciones de trabajo.
Aunque si no me equivoco tienes configurado MASCARADE por lo que tus usuarios podrían no usar el proxy y saltarse cualquier restricción que hayas configurado en squid ...
bye
;)
hola como estas , ya lo
hola como estas , ya lo asigne a 192.168.0.100 como default gateway a mi estación de trabajo y tambien los DNS , el envío y recepción de los correos POP SMTP ya me funciona en un 90% con iptables , agrege unas reglas para los correos y también modifique este archivo sysctl.conf net.ipv4.ip_forward = 1. A veces me muestra el error en los correos de recepción en microsoft outlook , en Mozilla Thunderbird me funciona perfecto ¿Porque a veces ese error en microsoft outlook será porque mi conexión a internet es lenta ?
Anteriormente adjunte mi configuración de iptables donde decías que no hay seguridad en esa configuración , quisiera que me ayudes a modificar mi configuración en iptables . Y quisiera una regla que lo adjuntes que me bloque el puerto 3389 .
Quisiera saber si se puede borrar el contenido de la configuración que viene por defecto en iptables para poner en orden las reglas .
Mi iptables.
# Load additional iptables modules (nat helpers)
# Default: -none-
# Space separated list of nat helpers (e.g. 'ip_nat_ftp ip_nat_irc'), which
# are loaded after the firewall rules are applied. Options for the helpers are
# stored in /etc/modprobe.conf.
IPTABLES_MODULES="ip_conntrack_netbios_ns ip_conntrack_ftp"
########### Firewall de una LAN con salida a internet
#### /etc/init.d/fw4.sh
#!/bin/sh
echo -n Aplicando Reglas de Firewall...
## FLUSH de reglas
iptables -F
iptables -X
iptables -Z
iptables -t nat -F
## Establecemos politica por defecto
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
## Empezamos a filtrar
## Nota: eth0 es el interfaz conectado al router y eth1 a la LAN
# El localhost se deja (por ejemplo conexiones locales a mysql)
iptables -A INPUT -i lo -j ACCEPT
# Al firewall tenemos acceso desde la red local
iptables -A INPUT -s 192.168.0.0/16 -i eth1 -j ACCEPT
# Ahora hacemos enmascaramiento de la red local
# y activamos el BIT DE FORWARDING (imprescindible!!!!!)
iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -o eth0 -j MASQUERADE
# Con esto permitimos hacer forward de paquetes en el firewall, o sea
# que otras máquinas puedan salir a traves del firewall.
echo 1 > /proc/sys/net/ipv4/ip_forward
## Y ahora cerramos los accesos indeseados del exterior:
# Nota: 0.0.0.0/0 significa: cualquier red
# Cerramos el rango de puerto bien conocido
iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 1:1024 -j DROP
iptables -A INPUT -s 0.0.0.0/0 -p udp --dport 1:1024 -j DROP
iptables -A INPUT -i eth1 -p tcp --dport 22 -j ACCEPT #permite solo el ingreso desde la LAN a SSH
iptables -A INPUT -i eth1 -p tcp --dport 25 -j ACCEPT #permite solo el ingreso desde la LAN a SMTP
iptables -A INPUT -i eth1 -p tcp --dport 110 -j ACCEPT #permite solo el ingreso desde la LAN a POP3
# Cerramos un puerto de gestion webmin
iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 10000 -j DROP
echo " OK . Verifique que lo que se aplica con: iptables -L -n"
# Fin del script
# Unload modules on restart and stop
# Value: yes|no, default: yes
# This option has to be 'yes' to get to a sane state for a firewall
# restart or stop. Only set to 'no' if there are problems unloading netfilter
# modules.
IPTABLES_MODULES_UNLOAD="yes"
# Save current firewall rules on stop.
# Value: yes|no, default: no
# Saves all firewall rules to /etc/sysconfig/iptables if firewall gets stopped
# (e.g. on system shutdown).
IPTABLES_SAVE_ON_STOP="no"
# Save current firewall rules on restart.
# Value: yes|no, default: no
# Saves all firewall rules to /etc/sysconfig/iptables if firewall gets
# restarted.
IPTABLES_SAVE_ON_RESTART="no"
# Save (and restore) rule and chain counter.
# Value: yes|no, default: no
# Save counters for rules and chains to /etc/sysconfig/iptables if
# 'service iptables save' is called or on stop or restart if SAVE_ON_STOP or
# SAVE_ON_RESTART is enabled.
IPTABLES_SAVE_COUNTER="no"
# Numeric status output
# Value: yes|no, default: yes
# Print IP addresses and port numbers in numeric format in the status output.
IPTABLES_STATUS_NUMERIC="yes"
# Verbose status output
# Value: yes|no, default: yes
# Print info about the number of packets and bytes plus the "input-" and
# "outputdevice" in the status output.
IPTABLES_STATUS_VERBOSE="no"
# Status output with numbered lines
# Value: yes|no, default: yes
# Print a counter/number for every rule in the status output.
IPTABLES_STATUS_LINENUMBERS="yes"
Páginas