Howto: Gateway u 30 minuta

November 7, 2009 | Linux, Network

Untangle i Smoothwall o kojima sam pisao nekad davno su radili svoj posao. I radili su ga odlicno. No oba su bila previse bloated i radili su i ono sto meni nije trebalo ili sto mi je i smetalo. Pogotovo moram napomenuti da su oba nakon odredjenog vremena jednostavno stala da rade ono sto bi trebali, te i iako nije bilo nikakvog hardverskog kvara jedino rjesenje je bila reinstalacija. Kada se radi o gateway-u koji opsluzuje 30+ klijent racunara to je jednostavno nedopustivo.
Okrenuo sam se dobroj staroj kombinaciji Debian+iptables kako bi ovaj put napravio nesto bas onako kako meni odgovara. Istina ovom kombinacijom gubim neke features koji su Untangle i Smoothwall imali built in( kao sto su antivirus,antispyware i sl.) ali to i onako radim na samim klijent racunarima.Nakon netinstall instalacija Debian Lenny-a ostalo je samo podesiti iptables firewall sa par linija:

iptables -X
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state –state NEW -i ! eth1 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -m state –state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
iptables -A FORWARD -i eth1 -o eth1 -j REJECT
echo 1 > /proc/sys/net/ipv4/ip_forward

Kasnije se mozemo igrati sa blokiranjem specificnih portova, a ono sto sam ja blokirao je defultni shoutcast port 8000:

iptables -A OUTPUT -p tcp –dport 8000 -j DROP

Sve navedeno sacuvamo sa npr. iptables-save /etc/firewall , te ukoliko zelimo da se sve ovo starta pri boot-u, gore navedeu skriptu stavimo u /etc/network/if-up.d/

Ukoliko je i ovo previse feature poor, kao meni, mozemo dodati i dnsmasq kao lokalni DNS server. Meni je ovo prije svega potrebno za blokiranje fejsbuka i ostalih gluposti koje trose vrijeme i bandwith. Ovaj put necu pisati kako navedeno uraditi, dovoljno je nakon instalacije (apt-get install dnsmasq) pogledati /etc/dnsmasq.conf i sve ce biti kristalno jasno . Naravno na klijent racunarima je onda potrebno podesiti default gateway i DNS servere tako da ti parametri gledaju na LAN interface novog gateway-a.