Маскарадинг в моей сети

Как организовать раздачу интернета через шлюз под управлением Debian GNU/Linux? Очень просто. 😉

Разрешим пересылку пакетов:

gateway:~# echo 1 > /proc/sys/net/ipv4/ip_forward

Создадим файл ipmasq.sh в котором будут прописаны правила для iptables:

#!/bin/sh

# “внешний” интерфейс, “смотрящий” в интернет

EXTIF=”eth1″

# внутренний интерфейс в локальную сеть

INTIF=”eth0″

/sbin/iptables -P INPUT ACCEPT

/sbin/iptables -F INPUT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -F OUTPUT
/sbin/iptables -P FORWARD DROP
/sbin/iptables -F FORWARD
/sbin/iptables -t nat -F

# разрешаем прохождение пакетов извне в локальную сеть только для установленных соединений

/sbin/iptables -A FORWARD -i $EXTIF -o $INTIF -m state –state ESTABLISHED,RELATED -j ACCEPT

/sbin/iptables -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT

/sbin/iptables -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE

Теперь, если запустить этот файл, интернет будет доступен всем машинам в локальной сети. 🙂

Как я уже упоминал ранее, у меня был разрешён доступ по связкам mac-ip, чтобы пользователи не меняли свои ip адреса и не пользовались “чужим интернетом”. Реализовать это тоже довольно просто. Строку

/sbin/iptables -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT

Нужно заменить, например, на следующий набор правил:

/sbin/iptables -A FORWARD -s 192.168.0.1 -d 0.0.0.0/0 -m mac –mac-source 00:15:e9:xx:xx:xx -j ACCEPT

/sbin/iptables -A FORWARD -s 192.168.0.2 -d 0.0.0.0/0 -m mac –mac-source 00:15:f2:xx:xx:xx -j ACCEPT

/sbin/iptables -A FORWARD -s 192.168.0.3 -d 0.0.0.0/0 -m mac –mac-source 00:13:8f:xx:xx:xx -j ACCEPT

/sbin/iptables -A FORWARD -s 192.168.0.4 -d 0.0.0.0/0 -m mac –mac-source 00:15:60:xx:xx:xx -j ACCEPT

Таким образом машинам с ip адресами 192.168.0.1 — 192.168.0.4 будет разрешён доступ в интернет. Компьютерам с другими ip адресами в интернет выйти не получится.

2 Comments

  1. а можно по подробнее где этот файл скрипта разместить в Debian что бы при запуске компа стартовало

  2. @p0wer_man , скрипт можно разместить в каталоге /etc/init.d/

    У меня сделано так. Скрипт находится в файле /etc/init.d/mynat.sh
    Чтобы он запускался, в папке /etc/rc2.d/ нужно сделать символическую ссылку на скрипт. В моём случае это /etc/rc2.d/S92mynat

    Таким образом всё будет работать автоматически.

    И прошу простить за столь долгий ответ, раньше ответить не было возможности.

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *