Шлюз из локалки в Инет
Linux RH 7.3,ядро 2.4.18-3,iptables 1.2.5, стоит скрипт в /etc/rc.d
Интересная вещь - вся локалка выходит в Инет, SNAT работает а с самого Linux"а ни пинг никуда не идет. В скрипте стоит разрешение на lo, и на INPUT и на OUTPUT. В чем могут быть грабли?  
  

• Помогите решить проблему,Mikhail, 18:06 , 03-Июн-03
  • Помогите решить проблему,stager, 18:52 , 03-Июн-03
    • Помогите решить проблему,Mikhail, 09:50 , 04-Июн-03
      • Помогите решить проблему,stager, 19:09 , 04-Июн-03
        • Помогите решить проблему,Mikhail, 10:13 , 05-Июн-03

iptables tutorial - здесь, на сайте, отлично написано. Ничего интересного, как правила задать, так и будет работать.

>iptables tutorial - здесь, на сайте, отлично написано. Ничего интересного, как правила
>задать, так и будет работать.
На ping, traceroute с Линукса на любой адрес или имя  
... sendmsg: Operation not permitted
и в инет не пускает его.
  Вот сам скрипт. Он стандартный. До него сам сервак все пингует и работает в Инете.
!/bin/sh
# rc.firewall-2.4-stronger
FWVER=0.74s-4

IPTABLES=/sbin/iptables
#IPTABLES=/usr/local/sbin/iptables
LSMOD=/sbin/lsmod
DEPMOD=/sbin/depmod
INSMOD=/sbin/insmod
GREP=/bin/grep
AWK=/bin/awk
SED=/bin/sed
IFCONFIG=/sbin/ifconfig
EXTIF="eth0"
INTIF="eth1"
echo "  External Interface:  $EXTIF"
echo "  Internal Interface:  $INTIF"
echo "  ---"
EXTIP="X.X.X.X"
# Assign the internal TCP/IP network and IP address
lo_ip="127.0.0.1"
lo_if="lo"
INTNET="192.168.1.0/26"
INTIP="192.168.1.0/26"
MYIP="192.168.1.123"
# Setting a few other local variables
UNIVERSE="0.0.0.0"
OTHER=$INTIP
echo "  - Verifying that all kernel modules are ok"
$DEPMOD -a

if [ -z "` $LSMOD | $GREP ip_tables | $AWK {'print $1'} `" ]; then
   $INSMOD ip_tables
fi
if [ -z "` $LSMOD | $GREP ip_conntrack | $AWK {'print $1'} `" ]; then
   $INSMOD ip_conntrack
fi
if [ -z "` $LSMOD | $GREP ip_conntrack_ftp | $AWK {'print $1'} `" ]; then
   $INSMOD ip_conntrack_ftp
fi
if [ -z "` $LSMOD | $GREP ip_conntrack_irc | $AWK {'print $1'} `" ]; then
   $INSMOD ip_conntrack_irc
fi
echo -en "iptable_nat, "
if [ -z "` $LSMOD | $GREP iptable_nat | $AWK {'print $1'} `" ]; then
   $INSMOD iptable_nat
fi
echo -e "ip_nat_ftp"
if [ -z "` $LSMOD | $GREP ip_nat_ftp | $AWK {'print $1'} `" ]; then
   $INSMOD ip_nat_ftp
fi
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "  Clearing any existing rules and setting default policy to DROP.."
$IPTABLES -P INPUT DROP  
$IPTABLES -F INPUT
$IPTABLES -P OUTPUT DROP  
$IPTABLES -F OUTPUT
$IPTABLES -P FORWARD DROP  
$IPTABLES -F FORWARD
$IPTABLES -F -t nat
if [ -n "`$IPTABLES -L | $GREP drop-and-log-it`" ]; then
   $IPTABLES -F drop-and-log-it
fi
$IPTABLES -X
$IPTABLES -Z

$IPTABLES -N drop-and-log-it
$IPTABLES -A drop-and-log-it -j LOG --log-level info
$IPTABLES -A drop-and-log-it -j DROP

# loopback interfaces are valid.

$IPTABLES -A INPUT -p ALL -i lo -s $UNIVERSE  -d $UNIVERSE  -j ACCEPT

$IPTABLES -A INPUT -i $EXTIF -s $INTNET -d $UNIVERSE -j drop-and-log-it
# local interface, local machines, going anywhere is valid
$IPTABLES -A INPUT -i $INTIF -s $INTNET -d $UNIVERSE -j ACCEPT
$IPTABLES -A INPUT -i $EXTIF -p ICMP -s $UNIVERSE -d $EXTIP -j ACCEPT
#$IPTABLES -A INPUT -i $EXTIF -s $UNIVERSE -d $EXTIP -j ACCEPT
# Allow any related traffic coming back to the MASQ server in
$IPTABLES -A INPUT -i $EXTIF -s $UNIVERSE -d $EXTIP -m state --state \
ESTABLISHED,RELATED -j ACCEPT
##echo "             - Starting SQUID              "
# For Squid
##$IPTABLES -t nat -A PREROUTING -i $INTIF -p tcp --dport 80 -j REDIRECT --to-port 3128
$IPTABLES -A INPUT -s $UNIVERSE -d $UNIVERSE -j drop-and-log-it
echo -e "   - Loading OUTPUT rulesets"
# loopback interface is valid.
$IPTABLES -A OUTPUT -o lo -s $UNIVERSE -d $UNIVERSE -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $lo_ip -j ACCEPT
# local interfaces, any source going to local net is valid
$IPTABLES -A OUTPUT -o $INTIF -s $EXTIP -d $INTNET -j ACCEPT
# local interface, any source going to local net is valid
$IPTABLES -A OUTPUT -o $INTIF -s $INTIP -d $INTNET -j ACCEPT
# outgoing to local net on remote interface, stuffed routing, deny
$IPTABLES -A OUTPUT -o $EXTIF -s $UNIVERSE -d $INTNET -j drop-and-log-it
$IPTABLES -A OUTPUT -o $EXTIF -s $EXTIP -d $UNIVERSE -j ACCEPT

# Catch all rule, all other outgoing is denied and logged.
$IPTABLES -A OUTPUT -s $UNIVERSE -d $UNIVERSE -j drop-and-log-it

echo -e "   - Loading FORWARD rulesets"
echo "     - FWD: Allow all connections OUT and only existing/related IN"
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state ESTABLISHED,RELATED \
-j ACCEPT
$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT
$IPTABLES -A FORWARD -j drop-and-log-it

$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j SNAT --to $EXTIP
echo -e "\nDone.\n"

Помогите разобраться убогому, может, модули ядра какие лишние включены?

>.. sendmsg: Operation not permitted
- стандартный ответ при запрете iptables.
iptables -nvL <chain> - и изучать, где какие пакеты не проходят; очень помогает запущенный на соседней консоли tcpdump/iptraf/etc.
> -j drop-and-log-it
- удобно, но неинформативно. Можно отключить пока, а последними правилами каждой цепочки задать
... -j LOG --log-prefix <chain_in|out>
... -j DROP
- и почитать потом, что не проходит.
Можно условия  -s $UNIVERSE -d $UNIVERSE убрать...

>задать
>... -j LOG --log-prefix <chain_in|out>
>... -j DROP
>- и почитать потом, что не проходит.
>Можно условия  -s $UNIVERSE -d $UNIVERSE убрать...
Спасибо за совет. Так и сделал. Мои пакеты шли мимо цепочки, сейчас перестроил INPUT и OUTPUT. Ping на инет идет, на локалку нет, буду дальше разбираться. В инет все равно с Linuxа не выхожу.
  Вопрос такой: обязательно ли ставить на LINUX DNS для правильной работы сквида (нужен только кеш прокси). У меня только адрес, а DNS имени нет.
   Сейчас клиенты спокойно работают без него. Да в сети домен W2K с АД.
И почта. Все работает, но хочется лючше.
   Извините за ламерские вопросы, на пингвине я недавно.    

>обязательно ли ставить на LINUX DNS для правильной работы сквида
- нет, конечно ;-) Но жизнь облегчает значительно.
Конечно, если большой и надежный канал наружу... Но _IMHO _ стОит хотя бы основные сетевые службы настроить/продублировать, причем качественно, тогда в случае падения интерфейса/сервера/еще чего-нибудь провайдерского сервисы останутся работать.
>Извините за ламерские вопросы, на пингвине я недавно.
Пингвин тут непричем. Днс etc - основы сеткостроительства, которых в win просто не видно :-)