Помогите с донастройкой

ALeX_mel · 2005-03-25 16:09:21

Стоит Clark Connect 2 и stargazer-2.014.7.6-RC2

Проблемы возникли:

1.Клиент авторизируеться но даже если закончились деньги на счету или трафик всё-равно продолжает обитать в инете...

2.При проверке подсчёта увидел что при скачивании 8 мб вылазит еще откуда-то 1 мб левой!!

3.Немогу зайти на любое фтп!!

Подскажите куда и где копать!

Всю документацию перечитал и на основе неё делал! www.stargazer.dp.ua

Slava · 2005-03-25 18:14:32

1. смотри дыру в фаерволе, правиле рпзрешающем доступ в инет и поставь политику в цепочке forward в DROP

2. а посмотри подоробно входящий и сходящий трафик хотя 1 Мб на запросы что то многовато разве что частые переконнекты

3. открой порт 21.

ALeX_mel · 2005-03-25 18:24:52

1. смотри дыру в фаерволе, правиле рпзрешающем доступ в инет и поставь политику в цепочке forward в DROP
2. а посмотри подоробно входящий и сходящий трафик хотя 1 Мб на запросы что то многовато разве что частые переконнекты

3. открой порт 21.

Пасибо с фтп и с трафиком я сделал!

осталось токо чтоб пользователей не пускало когда заканчиваеться предоплаченый трафик или деньги!

Den_LocalNet · 2005-03-25 18:45:12

это называется экономия в 50 грн

ALeX_mel · 2005-03-25 18:49:27

это называется экономия в 50 грн

А посоветовать нечё не можешь, надо ж когда-то учиться самому...

Меня интересует чтоб условия как в примере на stargazer.dp.ua

но чего-то нехватает!

пользователь может пользоваться инетом хоть даже денег нет на счету и мб закончились!!!

кстати заметь это твой конфиг фаервола, и ты мне его настраивал :loop:

Відредаговано 2005-03-25 22:39:46 Den_LocalNet

Roman · 2005-03-25 22:19:35

это называется экономия в 50 грн

А посоветовать нечё не можешь, надо ж когда-то учиться самому...

Меня интересует чтоб условия как в примере на stargazer.dp.ua

но чего-то нехватает!

пользователь может пользоваться инетом хоть даже денег нет на счету и мб закончились!!!

кстати заметь это твой конфиг фаервола, и ты мне его настраивал :loop:

Я так думаю что даже если он тебе и его ставил то это не значит что он точ в точ повторяет его собственный конфиг

Den_LocalNet · 2005-03-25 22:38:32

я тебе его ставил под твои задачи. так?

а если не покурил iptables tutorial то нечего тут......

а вообще лол.... ты бы хоть написал что у тебя есть... показал свои скрипты.... показал логи и конфы.... а то телепатов нету...

XoRe · 2005-03-25 23:06:46

2ALeX_mel: советую почитать здешний форум.

Твои вопросы уже задавали другие люди и им дали на них ответы.

+ советую почитать доки по iptables на http://opennet.ru/

ALeX_mel · 2005-03-26 10:20:12

я тебе его ставил под твои задачи. так?
а если не покурил iptables tutorial то нечего тут......

а вообще лол.... ты бы хоть написал что у тебя есть... показал свои скрипты.... показал логи и конфы.... а то телепатов нету...

фаераол:

#!/bin/sh

PATH=/sbin:/bin:/usr/bin

# Binaries

IPTABLES="/sbin/iptables"

SYSCTL="/sbin/sysctl"

MODPROBE="/sbin/modprobe"

# Set to blank for no debug. Default to on for now.

DEBUG="1"

# Shorthand

ALLIP="0.0.0.0/0"

IPFILE="/etc/rc.d/ua-ix.ip"

$IPTABLES -t nat -F

$IPTABLES -t mangle -F

$IPTABLES -t filter -F

$IPTABLES -F

#########################################################################

#

# G A T E W A Y F I R E W A L L

#

#########################################################################

# Enable IP Forwarding, not really required for standalone mode

$SYSCTL -w net.ipv4.ip_forward=1 >/dev/null

# Enable TCP SYN Cookie protection:

$SYSCTL -w net.ipv4.tcp_syncookies=1 >/dev/null

# Enabling dynamic TCP/IP address hacking.

$SYSCTL -w net.ipv4.ip_dynaddr=1 >/dev/null

# IPsec 2.x now handles this...

# $SYSCTL -w net.ipv4.conf.all.rp_filter=0 >/dev/null

# $SYSCTL -w net.ipv4.conf.eth0.rp_filter=0 >/dev/null 2>/dev/null

# $SYSCTL -w net.ipv4.conf.ppp0.rp_filter=0 >/dev/null 2>/dev/null

# Log spoofed, source-routed, and redirect packets

$SYSCTL -w net.ipv4.conf.all.log_martians=0 >/dev/null

# Disable ICMP Re-directs

$SYSCTL -w net.ipv4.conf.all.accept_redirects=0 >/dev/null

$SYSCTL -w net.ipv4.conf.all.send_redirects=0 >/dev/null

# Ensure that source-routed packets are dropped

$SYSCTL -w net.ipv4.conf.all.accept_source_route=0 >/dev/null

# Disable ICMP broadcast echo protection

$SYSCTL -w net.ipv4.icmp_echo_ignore_broadcasts=1 >/dev/null

# Enable bad error message protection

$SYSCTL -w net.ipv4.icmp_ignore_bogus_error_responses=1 >/dev/null

###############################################################################

#############

#

# SetPolicyToDrop

#

###############################################################################

#############

$IPTABLES -P INPUT ACCEPT

$IPTABLES -P OUTPUT ACCEPT

$IPTABLES -P FORWARD DROP

###############################################################################

#############

#

# LoadKernelModules

#

###############################################################################

#############

$MODPROBE ipt_LOG # Add LOG target.

$MODPROBE ipt_REJECT # Add REJECT target.

$MODPROBE ipt_MASQUERADE # Add MASQUERADE target.

$MODPROBE ipt_owner # Allows you to match for the owner.

$MODPROBE ip_conntrack_ftp # Connection tracking for FTP.

$MODPROBE ip_conntrack_irc # Connection tracking for IRC.

$MODPROBE ip_nat_ftp # Active FTP

$MODPROBE ip_nat_irc # IRC stuff

# PPTP and dependencies don't always auto-load...

# Office Edition only.

$MODPROBE ppp_generic > /dev/null 2>&1

$MODPROBE ppp_mppe > /dev/null 2>&1

$MODPROBE ip_conntrack_proto_gre > /dev/null 2>&1

$MODPROBE ip_conntrack_pptp > /dev/null 2>&1

$MODPROBE ip_nat_proto_gre > /dev/null 2>&1

###############################################################################

#############

#

# RunCommonRules

#

###############################################################################

#############

# Allow everything on the loopback

#---------------------------------

$IPTABLES -A INPUT -i lo -j ACCEPT

$IPTABLES -A OUTPUT -o lo -j ACCEPT

#DNS

$IPTABLES -A INPUT -i eth1 -p tcp --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i eth1 -p udp --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i eth1 -p tcp --sport 53 -j ACCEPT

$IPTABLES -A INPUT -i eth1 -p udp --sport 53 -j ACCEPT

$IPTABLES -A OUTPUT -o eth1 -p tcp --dport 53 -j ACCEPT

$IPTABLES -A OUTPUT -o eth1 -p udp --dport 53 -j ACCEPT

$IPTABLES -A OUTPUT -o eth1 -p tcp --sport 53 -j ACCEPT

$IPTABLES -A OUTPUT -o eth1 -p udp --sport 53 -j ACCEPT

#SSH

$IPTABLES -A INPUT -i eth1 -p tcp --dport 22 -j ACCEPT

$IPTABLES -A OUTPUT -o eth1 -p tcp --sport 22 -j ACCEPT

#FTP

$IPTABLES -A INPUT -i eth1 -p tcp --dport 20 -j ACCEPT

$IPTABLES -A OUTPUT -o eth1 -p tcp --sport 20 -j ACCEPT

$IPTABLES -A INPUT -i eth1 -p tcp --dport 21 -j ACCEPT

$IPTABLES -A OUTPUT -o eth1 -p tcp --sport 21 -j ACCEPT

#Gateway

$IPTABLES -I INPUT 1 -i eth0 -j ACCEPT

$IPTABLES -I OUTPUT 1 -o eth0 -j ACCEPT

# Block IPs that should never show up on our external interface

#--------------------------------------------------------------

$IPTABLES -A INPUT -i eth0 -s 192.168.x.x/24 -j REJECT

# Allow some ICMP (ping)

#-----------------------

# 0 Needed to ping hosts outside the network.

# 3 Needed by all networks.

# 11 Needed by the traceroute program.

$IPTABLES -A INPUT -p icmp -j ACCEPT

# Allow DHCP client to respond

#-----------------------------

$IPTABLES -A INPUT -i eth0 -p udp --dport bootpc --sport bootps -j ACCEPT

$IPTABLES -A INPUT -i eth0 -p tcp --dport bootpc --sport bootps -j ACCEPT

$IPTABLES -A OUTPUT -o eth0 -p tcp --sport bootpc --dport bootps -j ACCEPT

$IPTABLES -A OUTPUT -o eth0 -p udp --sport bootpc --dport bootps -j ACCEPT

###############################################################################

#############

#

# RunIncomingAllowed

#

###############################################################################

#############

# Standard ports and port ranges

#-------------------------------

$IPTABLES -A INPUT -i eth0 -p tcp --dport 21 -j ACCEPT

$IPTABLES -A INPUT -i eth0 -p tcp --dport 22 -j ACCEPT

$IPTABLES -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT

$IPTABLES -A INPUT -i eth0 -p tcp --dport 81 -j ACCEPT

$IPTABLES -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT

$IPTABLES -A INPUT -i eth0 -p tcp --dport 1875 -j ACCEPT

$IPTABLES -A INPUT -i eth0 -p tcp --dport 3128 -j ACCEPT

$IPTABLES -A INPUT -i eth0 -p tcp --dport 6666 -j ACCEPT

$IPTABLES -A INPUT -i eth0 -p tcp --dport 10000 -j ACCEPT

$IPTABLES -A OUTPUT -o eth0 -p tcp --sport 21 -j ACCEPT

$IPTABLES -A OUTPUT -o eth0 -p tcp --sport 22 -j ACCEPT

$IPTABLES -A OUTPUT -o eth0 -p tcp --sport 80 -j ACCEPT

$IPTABLES -A OUTPUT -o eth0 -p tcp --sport 81 -j ACCEPT

$IPTABLES -A OUTPUT -o eth0 -p tcp --sport 443 -j ACCEPT

$IPTABLES -A OUTPUT -o eth0 -p tcp --sport 1875 -j ACCEPT

$IPTABLES -A OUTPUT -o eth0 -p tcp --sport 3128 -j ACCEPT

$IPTABLES -A OUTPUT -o eth0 -p tcp --sport 6666 -j ACCEPT

$IPTABLES -A OUTPUT -o eth0 -p tcp --sport 10000 -j ACCEPT

###############################################################################

#############

#

# RunIncomingAllowedDefaults

#

###############################################################################

#############

# Allow high ports

#-----------------

$IPTABLES -A OUTPUT -o eth0 -p tcp --sport 1024:65535 -j ACCEPT

$IPTABLES -A OUTPUT -o eth0 -p udp --sport 1024:65535 -j ACCEPT

$IPTABLES -A INPUT -i eth0 -p udp --dport 1024:65535 -j ACCEPT

$IPTABLES -A INPUT -i eth0 -p tcp --dport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT

###############################################################################

#############

#

# RunIncomingDeniedDefaults

#

###############################################################################

#############

# $IPTABLES -A INPUT -i eth0 -s $ALLIP -d $ALLIP -j DROP

# $IPTABLES -A OUTPUT -o eth0 -s $ALLIP -d $ALLIP -j DROP

###############################################################################

#############

#

# PortForwardRules

#

###############################################################################

#############

###############################################################################

#############

#

# RunOutgoingDeniedDefaults

#

###############################################################################

#############

$IPTABLES -A FORWARD -j DROP -o eth0 -p tcp --dport 111 # RPC stuff

$IPTABLES -A FORWARD -j DROP -o eth0 -p udp --dport 111 # RPC stuff

$IPTABLES -A FORWARD -j DROP -o eth0 -p tcp --dport 137:139 # Samba

$IPTABLES -A FORWARD -j DROP -o eth0 -p udp --dport 137:139 # Samba

$IPTABLES -A FORWARD -j DROP -o eth0 -p tcp --dport 635 # Mountd

$IPTABLES -A FORWARD -j DROP -o eth0 -p udp --dport 635 # Mountd

# Enable masquerading

#--------------------

$IPTABLES -A POSTROUTING -t nat -j MASQUERADE -o eth0

###############################################################################

#############

#

# RedirectToSquid

#

###############################################################################

#############

$IPTABLES -t nat -A PREROUTING -i eth1 -d ! 192.168.x.x/24 -p tcp --dport 80 -j REDIRECT --to-port 3128

###############################################################################

#############

#

# ACCEPTing FORWARD

#

###############################################################################

#############

$IPTABLES -I FORWARD 1 -s 192.168.x.x -j ACCEPT