Сегодня мы поднимем маршрутизатор для локальной сети на основе freebsd 9.1 с использованием ядерного nat, штатного фаервола ipfw и isc-dhcp-server.
Обновление ядра и мира
Для этого нам потребуется потребуется пересобрать ядро из исходных кодов. Если вы забыли установить их с диска или хотите получить самые последние, то воспользуемся svn.
Для этого установим subversion, процедура длится порядка 10-15 минут. Сперва обновляем порты.
portsnap fetch update
cd /usr/ports/devel/subversion
make install clean
Так же у вас есть уникальная возможность обновить мир и собрать новую систему. Переехать на другую архитектуру, версию, ветку.
1) Выполняем первое обновление сорцов
rm -rf /usr/src
mkdir /usr/src
svn checkout svn://svn.freebsd.org/base/stable/10 /usr/src
#svnlite co svn://svn.freebsd.org/base/stable/10 /usr/src/Можете в браузере посмотреть, что там есть
http://svn.freebsd.org/base/stable/10/Последующие обновления делаются проще
svn update /usr/srcВместо checkout и update можно использовать сокращения co и up, соответственно.
А далее все по хэндбуку. Почитать в первоисточнике можно здесь.
2) Если процесс построения мира уже запускался ранее на этой системе, то в
/usr/obj могла
остаться копия предыдущей сборки. Удалите этот каталог
для ускорения процесса построения нового мира и возможного
сокращений работы по разрешению зависимостей.# chflags -R noschg /usr/obj/*3) Обновляем мир. Процедура крайне долгая, займет час, два и более!
# rm -rf /usr/obj
# cd /usr/src
# make cleandir
cd /usr/src
make -s -j4 buildworld
Для ускорения указываем ключ -j, он запускает процесс в несколько потоков, а ключ -s уменьшает количество выводимой информации.
3) Копируем свой конфиг из шаблона generic под именем mykernel.
cd /usr/src/sys/i386/confОткрываем и меняем ident с GENERIC на mykernel
cp GENERIC mykernel
Добавляем в него необходимые опции :
# управление шириной канала4) Теперь собираем ядро, процесс тоже длительный, может занимать до 40 минут, в зависимости от мощности вашего компьютера.
options DUMMYNET
# собственно фаэрвол
options IPFIREWALL
# правило по умолчанию allow ip from any to any
options IPFIREWALL_DEFAULT_TO_ACCEPT
# логирование пакетов, если в правиле написано `log`
options IPFIREWALL_VERBOSE
# ограничение повторяющихся логов
options IPFIREWALL_VERBOSE_LIMIT=50
# перенаправление пакетов. в freebsd 10 этой опции уже нет, она в модуле ipfw.ko
options IPFIREWALL_FORWARD
# ядерный nat и его библиотека
options IPFIREWALL_NAT
options LIBALIAS
cd /usr/src
make -j4 -s buildkernel KERNCONF=mykernel
5) И устанавливаем его
make installkernel KERNCONF=mykernel
Перезагружаемся
shutdown -r nowи смотрим, что новое ядро загрузилось нормально для проверки даем команду
uname -a
6) Ставим мир. При этом рекомендуется загрузиться в однопользовательском режиме, boot -s в
приглашении загрузчика. Или пункт 4 на начальном экране загрузки.
Затем смонтировать все файловые системы.
# mount -u /Если zfs, то так
# mount -a
# zfs mount -u /Следующим шагом является выполнение первоначального обновления файлов конфигурации в /etc для подготовки к новому миру.
# zfs mount -a
# zfs set readonly=off zpool/ROOT/default
# mergemaster -pДальше переходим в каталог с исходниками и устанавливаем.
# cd /usr/src7) Обновляем остальные файлы конфигурации.
# make installdworld
# mergemaster -iFУдаляем устаревшие файлы. Это важно, так как в противном случае они могут вызвать проблемы.
# make delete-oldТеперь нужна полная перезагрузка системы для того, чтобы загрузить новое ядро и мир с использованием новых конфигурационных файлов.
# reboot
DHCP-server
cd /usr/ports/net/isc-dhcp42-servermake config install clean
Отредактируем его файл настроек /usr/local/etc/dhcpd.conf
У меня выглядит так
# имя подключения сообщаемое клиентам
option domain-name "example.ru";
# передаем клиентам dns провайдера (есть смысл поставить у себя кэширующий dns)
option domain-name-servers 195.64.192.35, 195.64.222.2;
# Время аренды IP–адреса (в секундах)
max-lease-time 7200;
# разрешаем dhcp самостоятельно перезапускать процедуру получения IP-адресов
authoritative;
# логирование
log-facility local7;
# настраиваем подсеть
subnet 192.168.10.0 netmask 255.255.255.0{
range 192.168.10.10 192.168.10.20;
option routers 192.168.10.1;
}
# для одного компа назначаем фиксированный ip
host comp1{
hardware ethernet 50:E5:49:ED:D3:5B;
fixed-address 192.168.10.5;
}
Если нужно настроить dhcpd для двух и более сетевух, то делаем отдельно для каждой подсети:
subnet 192.168.10.0 netmask 255.255.255.0 {
range 192.168.10.10 192.168.10.20;
option routers 192.168.10.1;
}
subnet 192.168.15.0 netmask 255.255.255.0 {
range 192.168.15.10 192.168.15.20;
option routers 192.168.15.1;
}
И в /etc/rc.conf прописываем прослушиваемые интерфейсы следующим образом:
dhcpd_ifaces="rl0 vr0"Еще настраиваем логирование dhcp в отдельный лог /var/log/dhcpd.log в конец /etc/syslog.conf добавляем строчки
!dhcpd *.*
/var/log/dhcpd.log
Cоздаем /var/log/dhcpd.log
touch /var/log/dhcpd.logНастроим ротацию
vi /etc/newsyslog.confПерезапускаем syslog
/var/log/dhcpd.log 644 7 * @T00 JC
/etc/rc.d/syslogd restart
Теперь добавляем следующие строчки в /etc/rc.conf
где rl1 - внешний интерфейс, подключен к интернет, rl0 - внутрений, к локальной сети.
gateway_enable="YES"
firewall_enable="YES"
firewall_nat_enable="YES"
firewall_type="/etc/fw"
firewall_nat_interface="rl1"
dhcpd_enable="YES"
dhcpd_ifaces="rl0"
Для перезапуска dhcpd даем команду
# service isc-dhcpd restart
IPFW
Составляем правила для фаервола ipfw, которые сохраним в файле /etc/fw. Здесь есть один важный нюанс, который нужно учитывать. Не все пакеты пришедшие на внешний интерфейс предназначены для локальной сети и поэтому они не должны направляться в NAT. Исходя из этого в начале списка следует располагать запрещающие правила, чтобы убрать вредный трафик, затем разрешающие правила для различных сервисов, таких как ssh, ftp, http и др., которые должны быть доступны извне, а уже потом направлять трафик в NAT. После трансляции адресов должны идти разрешающие правила для локальной сети, потом правила разрешающие исходящие соединения и в конце запрет всего. Согласно этим рекомендациям получим следующий список:# запрещаем фрагментированные пакетыadd 1010 deny all from any to any frag
# разрешаем пинги (эхо-запрос, эхо-ответ, время жизни пакета истекло)
add 1020 allow icmp from any to any icmptypes 0,8,11
# разрешаем авторизатиру слушать порт
add 1030 allow tcp from bill.convex.ru to me 6326 in via rl1 setup
# разрешаем соединение по ssh
add 1040 allow tcp from any to any 22
# разрешаем фтп-серверу принимать соедиения по 20, 21 и в диапазоне 40000-50000
add 1050 allow tcp from any to me 20,21, 40000-50000 in via rl1
# web-сервер слушает 80 порт
add 1060 allow tcp from any to any 80 in via rl1
# направляем оставшийся трафик, проходящий через внешний интерфейс в NAT и делаем редирект портов для активного режима DC++
nat 1 config log if rl1 reset same_ports deny_in redirect_port tcp 192.168.10.5:35889 35889 redirect_port udp 192.168.10.5:35889 35889
add 1070 nat 1 ip from any to any via rl1
# разрешаем все соединения для локального интерфейса
add 1080 allow all from any to any via rl0
# разрешаем весь исходящий трафик через внешний интерфейс
add 1090 allow ip from any to any out xmit rl1
# запрещаем все и ведем лог /var/log/security
add 65534 deny log all from any to any
Теперь у нас работает ядерный nat, а ip раздаются по dhcp.
Чтобы перезагрузить правила без перезагрузки сервера выполняем команду:
/etc/rc.d/ipfw restart
Что бы разрешить пинг из внутренней сети нужно убрать правило 1020 и добавить второе правило для nat.
nat 2 config if rl1 reset same_portsВ правилах могут использоваться различные атрибуты, такие как in и out - движение пакета относительно к операционной системе, recv, xmit, via - а это действие интерфейса.
add 1075 nat 2 icmp from any to any icmptypes 0,8 via rl1
recv - интерфейс получил пакет;Возможны следующие комбинации:
xmit - интерфейс передал пакет;
via - прошел через интерфейс неважно в какую сторону.
out recv re0 - исходящий пакет, полученный re0 интерфейсомСледующая схема это наглядно поясняет
out xmit re0 - исходящий пакет, отправленный re0 интерфейсом
in recv re0 - входящий пакет, полученный с интерфейса re0
in xmit rl0 - входящий пакет, отправленный rl0 интерфейсом - неверное, ipfw выдаст ошибку.
Принцип действия достаточно простой. Пакет полученный от драйвера сетевой карты rl0 помечается, как "in recv rl0" и "in via rl0", далее обработчик проверяет пакет и если он транзитный, то меняет атрибут "in" на "out", но "recv rl0" и "via rl0" все равно сохраняются. А еще добавляются "via rl1" и "xmit rl1", через которые он выходит.
Отсюда следует, что все входящие не транзитные пакеты не имеют атрибута "out", а исходящие не имеют "in". Пользуйтесь этим при написании гибких правил для ipfw.
Для наблюдения за сетевыми подключениями в реальном времени удобно использовать:
systat -netstat n
