Internet megosztás Ubuntu Server alatt

A most következő leírásban bemutatom, hogyan osszuk meg hálózatunkon az internetet Ubuntu 8.10 Server segítségével.
Ebbe bele tartozik a DHCP és DNS szerver, tűzfal (köztük a portforward), valamint a proxy telepítése, beállítása (bár proxyt csak nagyobb hálózatokon érdemes használni).
Telepítsük az Ubuntu 8.10 Server kiadását. Jelen esetben a szerverben két hálókártya lesz, egyik az internet a másik pedig a hálózat felé.
A telepített rendszerre természetesen majd telepíthetünk további szolgáltatásokat is, pl. web szervert, ftp szervert, vagy torrent szervert (ezekről majd egy későbbi leírásban lesz szó).

Először is telepítsük az Ubuntu 8.10 Server verzióját, és állítsuk be megfelelően a hálókártyákat.
Jelen esetben én két hálókártyás szerverrel fogok dolgozni, ahol az eth0 az internet felé néz (ahonnét DHCP-n kapja az IP címet) és az eth1 néz a belső hálózat felé (192.168.1.1/24 cím tartomány).

ADSL beállítása

Ha ADSL internetünk van, akkor előbb azt kell beállítani.

sudo pppoeconf

DHCP szerver

Először telepítsük a DHCP szervert, hogy a belső hálózaton lévő klienseink automatikusan kapjanak IP címet.

sudo apt-get install dhcp3-server

Ha feltelepült a dhcp3-server csomag, akkor nyissuk meg szerkesztésre a konfigurációs fájlját

sudo nano /etc/dhcp3/dhcpd.conf

Töröljük ki a fájl tartalmát, majd másoljuk be a következőt:

ddns-update-style none;
option domain-name "otthon.local";
option domain-name-servers 192.168.1.1;
option routers 192.168.1.1;
default-lease-time 42300;
max-lease-time 84600;
authoritative;
log-facility local7;
subnet 192.168.1.0 netmask 255.255.255.0 {
        range 192.168.1.5 192.168.1.100;
}

Nézzük, mit is jelentenek a sorok:

• option domain-name „otthon.local” otthoni hálózatunk neve (munkacsoportja), tetszőleges lehet, ékezetek nélkül
• option domain-name-servers értékként a DNS szerverek IP címeit adjuk meg. Most a szerver címét adtam meg, de többet is fel lehet sorolni, vesszővel elválasztva. Ha nem telepítünk DNS szervert a szerverre, akkor használjuk szolgáltatónk DNS szervereit, vagy ezt a két IP címet: 208.67.222.222, 208.67.220.220
• option routers átjáró IP címe (router, vagy jelen esetben a szerver IP címe)
• default-lease-time az IP cím bérletének ideje másodpercben (eddig használja a kliens az adott IP címet anélkül, hogy újból kérne egyet)
• max-lease-time maximum ennyi ideig nem kérhet a kliens IP címet
• subnet 192.168.1.0 netmask 255.255.255.0 itt adjuk meg a hálózatunk IP trtományát. A subnethez írjuk be a szerver IP címét, majd az utolsó rész írjuk át nullása. a netmask a hálózat méretét határozza meg, a 255.255.255.0 azt jelenti, hogy a hálózatunkban 255 IP címet lehet felhasználni (192.168.1.0-tól 192.168.1.255-ig)
• range ezen két IP cím közötti IP címeket osztja ki a szerver a klienseknek

CTRL+X billentyűkombinációt lenyomva léphetünk ki, majd egy Y (vagy ha magyar, akkor I) betüt lenyomva és egy entert ütve menthetjük a beállításokat.
Ha szeretnénk klienseinknek mindig ugyanazt az IP címet kiosztani, akkor ahhoz fel kell vennünk a dhcpd.conf fájlba a kliens hálózati kártyájának MAC címét, és a kíván IP címet, a subnet részen belül.

host kliensneve {
                hardware ethernet 00:50:8b:de:2d:f8;
                fixed-address 192.168.1.16;
        }

A host-nél adjuk meg a kliens nevét (ékezettelenül), a hardware ethernet sor tartalmazza a MAC címet, míg a fixed-address a kívánt IP címet (arra ügyeljünk, hogy ez a cím benne legyen kiosztható tartományban).
Ha felveszünk fix IP címmel klienseket, akkor a konfigurációs fájl így fog kinézni:

ddns-update-style none;
option domain-name "otthon.local";
option domain-name-servers 192.168.1.1;
option routers 192.168.1.1;
default-lease-time 42300;
max-lease-time 84600;
authoritative;
log-facility local7;
subnet 192.168.1.0 netmask 255.255.255.0 {
        range 192.168.1.5 192.168.1.100;
            host kliensneve {
                hardware ethernet 00:50:8b:de:2d:f8;
                fixed-address 192.168.1.16;
           }
}

Állítsuk be, hogy melyik hálózati kártyákon (interfészen) szolgáltasson a DHCP szerver.

sudo nano /etc/default/dhcp3-server

Majd itt az Interfaces sornál a két időzőjel közé írjuk be a hálózati kártya nevét (eth1 legtöbbször) ami a helyi hálózatunkra mutat
Majd indítsuk el a DHCP szerver:

sudo /etc/init.d/dhcp3-server start

DNS továbbító

Most a dnsmasq nevű programot fogjuk telepíteni. Ez a program nem egy igazi DNS szerver, hanem inkább egy DNS cachelő alkalmazás. Kis hálózatok esetén nem szükséges telepíteni, azonban sok gép esetén már érdemes.
Telepítése:

sudo apt-get install dnsmasq

Majd ha kész a telepítés, akkor nyissuk meg szerkesztésre a konfigurációs fájlját:

sudo nano /etc/dnsmasq.conf

Töröljük ki a gyárilag meglévő tartalmat, majd a következőket másoljuk be:

resolv-file=/etc/resolv.conf
interface=eth1

az interface sorban azt a hálózati kártyát kell megadni, ami a belső hálózat felé néz.
indítsuk újra a dnsmasq szolgáltatást

sudo /etc/init.d/dnsmasq restart

NAT és tűzfal beállítása

sudo nano /etc/sysctl.conf

Majd a 28. sorban a net.ipv4.ip_forward=1 elől töröljük a # jelet.
Majd nyissuk meg szerkesztésre az /etc/rc.local fájlt. Ide fogjuk a tűzfal szabályokat beírni

sudo nano /etc/rc.local

a következő két sort másoljuk be az exit sor elé (ha ADSL-t használunk, akkor az eth0 értékeket írjuk át ppp0 (három P betű és egy nulla) értékre!)

# Láncok törlése, ürítése, és alapértelmezett szabály beállítása.
iptables -F # Összes default láncot ürít.
iptables -X # Összess user általá létrehozott láncot töröl.
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
# Policy-k legyenek mindig DROP-olva
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
# LOGDROP részt kivettem, mert nincs használva
# NAT beállítása (Ellenőrzés: `sudo iptables -L -t nat -vn`)
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
# INPUT lánc
# Loopback-ről midnent beengedünk.
iptables -A INPUT -i lo -j ACCEPT
# Mar kiépített kapcsolatokhoz tartozó csomagok beengedése. (Állapotkövetés)
iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
# Másodpercenként 1×5 vagyis 5db ping képés beengedése. (Azért, mert a limit-burst alapértelmezett értéke=5)
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
# Ping válaszok beengedése
iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT
# Minden mást törlünk, de levileg a default policy is eldobná.
iptables -A INPUT -p icmp -j DROP
# FORWARD lánc
# Kifelé a userek mehetnek, visszafelé csak a kiépített kapcsolatokhoz tartozó csomagokat engedjük be a belső háló (lan0) felé.
iptables -A FORWARD -i eth0 -o lan0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i lan0 -o eth0 -j ACCEPT

A beállítások érvényesüléséhez indítsuk újra a számítógépet:

sudo reboot

Portforwardhoz a következő parancsot illesszük az /etc/rc.local fájlba a többi parancs után

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.1.15
iptables -A FORWARD -p tcp -d 192.168.1.15 --destination-port 80 -j ACCEPT

A fenti szabállyal a 192.168.1.15 IP című gépre forwaldoltam be a 80-as portot és a TCP protokollt.
Ha több portot szeretnénk egyszerre beforvaldolni, akkor megadhatunk egy tartományt is, ebben az esetben így írjuk: 80:100 Ekkor a 80-tól 100-ig lévő összes portot beforwaldoltuk a kliens felé. Ha nem csak a tcp protokollt szeretnénk engedélyezni, akkor a -p kapcsolónál írhatjuk át all értékre.