Fórum Root.cz
Hlavní témata => Sítě => Téma založeno: TaPavel 17. 11. 2015, 19:35:58
-
Dobrý den, mám dotaz, potřebuji nakopnout "správným" směrem - ve zkratce: v jedné organizaci jsou do jedné sítě připojené počítač v kancelářích, informační kiosky a hlavně wifi pro leckoho. To vše přes jedno připojení do internetu - a to je ten problém. Potřeboval bych radu jak nakonfigutovat firewall (obyčejný počítač s Linuxem se dvěma síťovkama), který bude před hlavním routerem a bude dle zadaných pravidel omezovat přístup pro různé skupiny ("vnitřních" 192.168.1.0/24) IP adres. Bude to pouze firewall, router včetně NATování dělá HW zařízení dále. Potřebuji "nakopnout" správným směrem ... Děkuji moc. Pavel.
-
daj do gugla: "sprava pocitacovych siti <tvoje_mesto>"
-
Chci si to udělat sám ...
-
tak potom to zmen na "linux firewall how to"
-
To, co hledate, je asi DMZ.
-
Firewall nastavit umím, ale na jedné síťovce. Jde mi o ideu jak to nastavit pro 2x NIC, nechci hotové řešení.
-
Vyskusaj podla tohoto:
http://deja-vix.sk/sysadmin/firewall.html
Pouzivam 10+ rokov prave tak ako to chces.
-
Díky moc.
-
iptables, nastuduj a makej :-)
-
DMZ + vlany
-
chtel jsem odkazat na http://m0n0.ch/wall/index.php (http://m0n0.ch/wall/index.php) ale tohle nezni moc optimisticky : 02/15/2015 - End of the m0n0wall project
After 12 years, the m0n0wall project has officially ended. No development will be done anymore, and there will be no further releases.
nicmene je tam odkaz na nasledovniky :
http://m0n0.ch/wall/freeze_announcement.php (http://m0n0.ch/wall/freeze_announcement.php)
-
Jestli chces tak napis kontakt a neco vymyslime.
-
chtel jsem odkazat na http://m0n0.ch/wall/index.php (http://m0n0.ch/wall/index.php) ale tohle nezni moc optimisticky : 02/15/2015 - End of the m0n0wall project
After 12 years, the m0n0wall project has officially ended. No development will be done anymore, and there will be no further releases.
Naklikej si to v pfSense, OPNSense nebo cemkoliv podobnem.
-
Ahoj,
Mějme bridge, právě na tom bridge chci omezovat provoz.
Například zahazovat některé ICMP, nepouštět skrz broadcasty z některých zařízení a obecně omezit to, co projde na druhou stranu na základě zdrojové IP adresy nebo MAC.
Je na to nějaké pěkné How-To? Jak jednoduchý to chci? Aby to pochopil i LISTR?
Osobně si firewall nastavit zvládnu, ale na bridge (Forward) jsem to filtrování nenastavoval.
-
Pekne sis to popsal. Presne tak to udelej. Chapes to uplne dobre, nepotrebujes zadne how-to ;)
-
Doporučuji použít Shorewall - nástavba nad IPtables: http://shorewall.net/
Pravidla se v něm definují mnohem lidštější řečí, než když se tvoří přímo.
Shorewall také kontroluje, zda v pravidlech není chyba a pokud ano, změny neuplatní, namísto toho napíše do logu co je špatně.
Zjednodušený princip:
- definuješ zóny
- definuješ základní politiku
- definuješ vlastní pravidla
/etc/init.d/shorewall restart
a máš hotovo.
Před deseti lety jsem o Shorewallu napsal něco pro Linux Express, z velké části by to pořád mělo platit (až na to urpmi, v té době byla Mandriva ještě v kurzu :-) ):
http://www.linuxexpres.cz/praxe/shorewall-1-dil-1
http://www.linuxexpres.cz/praxe/shorewall-2-dil
-
Dobrý den, děkuji všem za odpovědi. Ještě jsem zapomněl, že bude nutné z venkovní sítě (pro mě 192.168.1.něco) propouštět pakety na příslušné porty (22, 80, 443) na další IP ve vnitřní síti, předpokládám, že něco jako forward ... ? pfSense toto také umí? Sháním nějaké železo, bude pfSense podporovat současný hardware (Skylake)? Shorewall používám, ale jen pro jednu síťovku, nejsou mi jasná pravidla a definice těch dvou síťovek ...
Můj email je: hphp@seznam.cz
-
Dobrý den, děkuji všem za odpovědi. Ještě jsem zapomněl, že bude nutné z venkovní sítě (pro mě 192.168.1.něco) propouštět pakety na příslušné porty (22, 80, 443) na další IP ve vnitřní síti, předpokládám, že něco jako forward ... ? pfSense toto také umí? Sháním nějaké železo, bude pfSense podporovat současný hardware (Skylake)? Shorewall používám, ale jen pro jednu síťovku, nejsou mi jasná pravidla a definice těch dvou síťovek ...
Můj email je: hphp@seznam.cz
1) Vytvoříte bridge: https://wiki.debian.org/BridgeNetworkConnections
2) pravidla pak aplikujete na zónu, svázanou se zařízením br0, tzn. stejně, jako by tam byl jen jeden ethernet.
-
Dobrý den, díky za radu. A lze přes to nastavit pravidla i pro forward příslušných portů (80,443) ?
-
Dobrý den, díky za radu. A lze přes to nastavit pravidla i pro forward příslušných portů (80,443) ?
Je to transparentní bridge, takže data skrz něj protékají tam a zpět (pokud je nezpracují nějaká pravidla firewallu).
Forwarding nastavíte na routeru.
-
Dobrý den, děkuji za cenné rady, vše funguje. Děkuji moc všem zúčastněným, moc mi pomohl uživatel TKL, shorewall byla má cesta.
-
Dobrý den, děkuji za cenné rady, vše funguje. Děkuji moc všem zúčastněným, moc mi pomohl uživatel TKL, shorewall byla má cesta.
Super, není vůbec zač, rád jsem pomohl.