Здравствуйте! в этой теме хочу описать как я организовал свой первый сервер и получить советы и рекомендации, потому что не уверен на 100% в правильности и  эффективности своих действий. Оговорюсь, что делал все первый раз, и от глубоко знания линукса я далек, только инет и нервы! В общем:
1) установил на отдельный ПК Ubuntu server 10.10, сетевая карта eth0(смотрит на модем) - 192,168,1,2, карта eth1(локалка соответственно) - 192,168,0,1.
2) включил преобразование сетевых адресов через SNAT.
3) сохранил правила iptables в файл и прописал в автозагрузку
4) установил squid и настроил основные параметры: порт, кэш-дир, кэш-мем, моей локалке разрешено все,  остальным запрет.
5) завернул весь трафик на squid через DNAT
6) установил и настроил dnsmask (из настроек- указал интерфейс eth1 и диапазон адресов для раздачи)
7) установил и настроил webmin
8) установил Dansguardian, но пока трафик на него не завернул, только прокси в браузере т.к. только экспериментирую со списками.
9) ну и на свою машину установил  PuTTY

Организовывать сервер пришлось из за нужд в фильтрации инета, я искренне старался понимать что я делаю,и каждый мною проделанный пункт это довольно много прочитанных интернет статей и потраченное времени, да бывает и такое-))

Теперь для чего я собственно тут все это излил:
1) на сколько правильны мои действия и что вы можете посоветовать, хотя как мне кажется, для моих нужд- раздачи и фильтрации инета этого достаточно...
2) некоторые сайты через squid открываются не полностью а как макетом что ли, наверное известная проблема, куда копать?
3) все компы в локалке имеют адреса 192.168.0.1 и выше, но к одному из компов01 через вторую сетевуху подключен еще компьютер2, для совместного использования документов, в них в настройках сет. карт можно прописывать 192,168,2,1 и 192,168,2,2 т.е. нужно же использовать другу подсеть?
4) как через прокси открыть порт для определенной программы? без сервера, в связке модем + свитч все настраивал в модеме, но как сделать тут?
5) в одном из постов прочитал что нужно делать следующие:

 # ptables -A FORWARD -s 192.168.0.0/24 -j ACCEPT
(этой командой вы разрешили прохождение пакетов между сетевыми интерфейсами из локальной сети 192.168.0.0/24)
iptables -A FORWARD -d 192.168.0.0/24 -j ACCEPT
(этой командой вы разрешили прохождение пакетов между сетевыми интерфейсами в локальную сеть 192.168.0.0/24)

но ограничился только преобразованием адресов через SNAT.

Буду очень признателен  за любой совет и помощь!!!

• Мой первый сервер - ),Grey, 09:43 , 03-Июн-11
  • Мой первый сервер - ),petkas, 10:54 , 03-Июн-11
    • Мой первый сервер - ),reader, 11:05 , 03-Июн-11
• Мой первый сервер - ),reader, 11:04 , 03-Июн-11
  • Мой первый сервер - ),petkas, 11:13 , 03-Июн-11
    • Мой первый сервер - ),reader, 11:32 , 03-Июн-11
      • Мой первый сервер - ),petkas, 11:42 , 03-Июн-11
        • Мой первый сервер - ),Andrey Mitrofanov, 11:50 , 03-Июн-11
          • Мой первый сервер - ),petkas, 11:54 , 03-Июн-11
            • Мой первый сервер - ),reader, 12:01 , 03-Июн-11
              • Мой первый сервер - ),petkas, 12:06 , 03-Июн-11
                • Мой первый сервер - ),reader, 12:16 , 03-Июн-11
                  • Мой первый сервер - ),petkas, 12:20 , 03-Июн-11
                    • Мой первый сервер - ),petkas, 07:33 , 07-Июн-11
                      • Мой первый сервер - ),reader, 12:20 , 07-Июн-11
                        • Мой первый сервер - ),petkas, 12:32 , 07-Июн-11
                          • Мой первый сервер - ),dile, 12:50 , 07-Июн-11
                            • Мой первый сервер - ),petkas, 12:59 , 07-Июн-11
                              • Мой первый сервер - ),dile, 13:12 , 07-Июн-11
                                • Мой первый сервер - ),petkas, 13:45 , 07-Июн-11

> 3) все компы в локалке имеют адреса 192.168.0.1 и выше, но к
> одному из компов01 через вторую сетевуху подключен еще компьютер2, для совместного
> использования документов, в них в настройках сет. карт можно прописывать 192,168,2,1
> и 192,168,2,2 т.е. нужно же использовать другу подсеть?

- компьютер2 лучше включить в свич (общий сегмент изернет) и дать ему адрес из сети 192.168.0.0/24 (видимо все компы у вас в этой подсети)
- если так делать не хочется по каким-то причинам, то "одному из компов01" должен быть роутером (включить службу маршрутизации) на сервере прописать маршрут вида: route add -net 192.168.2.0 192.168.0.x -netmask 255.255.255.0
где 192.168.0.x - ip "одному из компов01", стоящий на сетевой, которая смотрит в сеть 192.168.0.0/24,
192.168.2.0 - сеть, в которой находится компьютер2. т.е. "одному из компов01" на второй сетёвке адрес 192.168.2.1 а на компьютер2 адрес 192.168.2.2, можно с маской 255.255.255.0

тогда компьютер2 сможет видеть всю сеть и выходить в инет (если на сервере специально не будет запретов) и вся сеть сможет видеть компьютер2. если нужно это ограничивать, то ограничения лучше строить на фаерволе сервера.

> тогда компьютер2 сможет видеть всю сеть и выходить в инет (если на
> сервере специально не будет запретов) и вся сеть сможет видеть компьютер2.
> если нужно это ограничивать, то ограничения лучше строить на фаерволе сервера.

я наверное неправильно выразился, компьютер01 принадлежит локальной сети  192,168,0,1-192,168,0,255 и имеет выход в инет. Компьютер2 соединен с компьютером01 только для работы с ним, с его документами, и ему (компьютеру2) не нужно видеть всю сеть и инет, простое соединение комп-комп. Т.е. компьютер01 смотрит с адреса 192,168,0,3 (например) в локальную сеть и инет, но для связи с компьютером2 нужно указывать адрес из другого диапазона?

>> тогда компьютер2 сможет видеть всю сеть и выходить в инет (если на
>> сервере специально не будет запретов) и вся сеть сможет видеть компьютер2.
>> если нужно это ограничивать, то ограничения лучше строить на фаерволе сервера.
> я наверное неправильно выразился, компьютер01 принадлежит локальной сети  192,168,0,1-192,168,0,255
> и имеет выход в инет. Компьютер2 соединен с компьютером01 только для
> работы с ним, с его документами, и ему (компьютеру2) не нужно
> видеть всю сеть и инет, простое соединение комп-комп. Т.е. компьютер01 смотрит
> с адреса 192,168,0,3 (например) в локальную сеть и инет, но для
> связи с компьютером2 нужно указывать адрес из другого диапазона?

лучше да

>[оверквотинг удален]
> 8) установил Dansguardian, но пока трафик на него не завернул, только прокси
> в браузере т.к. только экспериментирую со списками.
> 9) ну и на свою машину установил  PuTTY
> Организовывать сервер пришлось из за нужд в фильтрации инета, я искренне старался
> понимать что я делаю,и каждый мною проделанный пункт это довольно много
> прочитанных интернет статей и потраченное времени, да бывает и такое-))
> Теперь для чего я собственно тут все это излил:
> 1) на сколько правильны мои действия и что вы можете посоветовать, хотя
> как мне кажется, для моих нужд- раздачи и фильтрации инета этого
> достаточно...

начинайте смотреть, а можно ли вашу схему обойти.

> 2) некоторые сайты через squid открываются не полностью а как макетом что
> ли, наверное известная проблема, куда копать?

это может быть и из-за фильтрации, выпустите одну машину без фильтрации смотрите что будет, так же попробуйте с прописанным прокси что будет.

> 3) все компы в локалке имеют адреса 192.168.0.1 и выше, но к
> одному из компов01 через вторую сетевуху подключен еще компьютер2, для совместного
> использования документов, в них в настройках сет. карт можно прописывать 192,168,2,1
> и 192,168,2,2 т.е. нужно же использовать другу подсеть?
> 4) как через прокси открыть порт для определенной программы? без сервера, в
> связке модем + свитч все настраивал в модеме, но как сделать
> тут?

смотрите в оригинальном конфиге про
acl SSL_ports port 443
acl Safe_ports port 80

но нужно учитывать с каким протоколом будит работать программа.

> 5) в одном из постов прочитал что нужно делать следующие:
>

 # ptables -A FORWARD -s 192.168.0.0/24 -j ACCEPT 
> (этой командой вы разрешили прохождение пакетов между сетевыми интерфейсами из локальной 
> сети 192.168.0.0/24) 
> iptables -A FORWARD -d 192.168.0.0/24 -j ACCEPT 
> (этой командой вы разрешили прохождение пакетов между сетевыми интерфейсами в локальную 
> сеть 192.168.0.0/24)

> но ограничился только преобразованием адресов через SNAT.

значит форвард у вас и так разрешён и в свете желания фильтровать тут нужно подумать об ограничениях.

> Буду очень признателен  за любой совет и помощь!!!

> начинайте смотреть, а можно ли вашу схему обойти.

обойти наверное нет, да и умельцев таких у меня тут нет..

> это может быть и из-за фильтрации, выпустите одну машину без фильтрации смотрите
> что будет, так же попробуйте с прописанным прокси что будет.

я ип робовал без фильтрации, просто через squid

> смотрите в оригинальном конфиге про
> acl SSL_ports port 443
> acl Safe_ports port 80
> но нужно учитывать с каким протоколом будит работать программа.

а можно подробнее? программа работает с TCP,

> значит форвард у вас и так разрешён и в свете желания фильтровать
> тут нужно подумать об ограничениях.

это подойдет:

# Включаем форвардинг пакетов
echo 1 > /proc/sys/net/ipv4/ip_forward
# Разрешаем трафик на loopback-интерфейсе
iptables -A INPUT -i lo -j ACCEPT
# Разрешаем доступ из внутренней сети наружу
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
# Включаем NAT
iptables -t nat -A POSTROUTING -o eth0 -s 10.0.0.0/24 -j MASQUERADE
# Разрешаем ответы из внешней сети
iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
# Запрещаем доступ снаружи во внутреннюю сеть
iptables -A FORWARD -i eth0 -o eth1 -j REJECT