Debian ermöglicht einen Universal Gateway, der mit NAT, Mail, DHCP, DNS Cache,
HTTP Proxy Cache, CVS, NFS und Samba Diensten für das eigene LAN System umgehen
kann. Man vergleiche Netfilter, wo viele
Netzwerkkonfigurationen aufgeführt sind.
Das LAN nutzt IP Adressen eines der folgenden privaten Netzwerkbereiche, um IP Adresskollisionen mit dem Internet zu vermeiden.
Klasse A: 10.0.0.0 mit Maske 255.0.0.0
Klasse B: 172.16.0.0 - 172.31.0.0 mit Maske 255.255.0.0
Klasse C: 192.168.0.0 - 192.168.255.0 mit Maske 255.255.255.0
Debian verwendet /etc/network/interfaces für die IP Konfiguration.
Wenn zum Beispiel eth0 eine Verbindung zum Internet mit einer
durch DHCP bereitgestellten IP Adresse ist und eth1 das LAN
anbindet, so sieht /etc/network/interfaces (bei Woody oder neuer)
wie folgt aus:
auto lo
iface lo inet loopback
auto eth0
iface eth0 inet dhcp
auto eth1
iface eth1 inet static
address 192.168.1.1
network 192.168.1.0
netmask 255.255.255.0
broadcast 192.168.1.255
Führen Sie das folgende Kommando aus, um die neue Netzwerkkonfiguration in
/etc/network/interfaces zu aktivieren:
# /etc/init.d/networking restart
Zur Erinnerung: Die /etc/network/interfaces Datei in Woody und
nachfolgenden Ausgaben ist mit Potato nicht kompatibel. (Die selbe Situation
kann zwischen Woody und Sarge entstehen.)
Wird eine PCMCIA NIC (Netzwerkkarte) genutzt, muss das Netzwerk in Potato durch
/etc/pcmcia/network.opts spezifiziert werden. Im Woody System
wurde dieses Problem gelöst.
Im Zweifel sollten die Ausgaben folgender Kommandos geprüft werden:
# ifconfig
# cat /proc/pci
# cat /proc/interrupts
# dmesg | more
Viele neue ADSL Dienstleister nutzen PPPoE für IP Verbindungen. Das Woody
Installationsprogramm hat kein Menü für PPPoE, enthält aber alle benötigten
Pakete, d.h. pppoe und pppoeconf. Starten Sie
pppoeconf in der Konsole für ein einfaches Einrichten während der
Installation. Manchmal gibt es bei DSL (PPPoE) MTU bezogene Probleme.
Vergleichen Sie das LDP DSL-HOWTO.
Haben Sie Probleme mit einigen Webseiten, schauen Sie in Eigenartige Probleme beim Zugriff auf einige Webseiten, Abschnitt 3.7.5.
Dieser Abschnitt muss noch übersetzt werden. Eventuell ist
/usr/share/doc/ppp/README.Debian.gz hilfreich ...
Typische Programme:
# apt-get install nfs samba dhcpd dhcp-client bind squid procmail
# apt-get install fetchmail ssh cvs
Überprüfen Sie die folgenden Dateien:
/etc/init.d/dhcpd (so bearbeiten, dass nur LAN bedient wird)
/etc/host.allow (ALL: 192.168.0.0/16 127.0.0.0/8) für NFS
/etc/exports (nötig für NFS)
/etc/bind/db.192.168.1 (hinzufügen)
/etc/bind/db.lan (hinzufügen)
/etc/bind/named.conf (bearbeiten)
/etc/resolv.conf (bearbeiten)
/etc/hosts
/etc/dhcpd.conf (bearbeiten für LAN = eth1)
/etc/dhclient.conf (bearbeiten zum Erzwingen von lokalen DNS)
/etc/samba/smb.conf
/etc/exim/exim.conf
/etc/mailname
/etc/aliases
/etc/squid.conf (hinzufügen aller IPs der LAN Rechner)
bind erzeugt einen lokalen Cache DNS Server und ändert DNS zu
localhost. Überprüfen Sie /etc/resolv.conf:
nameserver 127.0.0.1
search lan.aokiconsulting.com
Das netfilter/iptables Projekt ist ein Firewall System für Linux 2.4 und neuer.
In Netfilter werden viele
Netzwerkkonfigurationen erklärt.
Netfilter bearbeitet Pakete unter Verwendung von fünf eingebauten Ketten: PREROUTING, INPUT, FORWARD, OUTPUT und POSTROUTING.
routing
Entscheidung
IN ------> PRE ---> ------> FORWARD -----> ----> POST -----> OUT
Interface ROUTING \ Filter / ROUTING Interface
DNAT | Verfolgung ^ SNAT
REDIRECT | | MASQUERADE
v |
INPUT OUTPUT
| Filter ^ Filter,DNAT
v |
\--> lokaler Prozess --/
Userspace Programme
Pakete werden von jeder eingebauten Kette unter Verwendung der folgenden Tabellen verarbeitet.
Firewall Regeln haben verschiedene Ziele:
--to-source ipaddr[-ipaddr][:Port-Port]
--to-ports Port[-Port]
--to-destination ipaddr[-ipaddr][:Port-Port]
--to-ports Port[-Port]
Die grundlegenden Kommandos von iptables sind:
iptables -N Kette # erzeuge eine Kette
iptables -A Kette \ # füge Regel zur Kette hinzu
-t Tabelle \ # verwende Tabelle (filter, nat, mangle)
-p Protokoll \ # tcp, udp, icmp oder all
-s Quelladresse[/Maske] \
--sport Port[:Port] \ # Quellport, falls -p tcp oder udp ist
-d Zieladresse[/Maske] \
--dport Port[:Port] \ # Zielport, falls -p tcp oder udp ist
-j Ziel \ # was tun, wenn es passt
-i in-interface-name \ # für INPUT, FORWARD, PREROUTING
-o out-interface-name # für FORWARD, OUTPUT, POSTROUTING
Maschinen im LAN können auf Internet Ressourcen mittels eines Gateway zugreifen, welcher IP-Masquerading (NAT) durchführt, indem eine einzelne extern zugängliche IP Adresse geteilt wird.
# apt-get install ipmasq
Wenden Sie die Beispielregeln an, um den ipmasq Schutz zu
verstärken. Vergleichen Sie
/usr/share/doc/ipmasq/examples/stronger/README. Stellen Sie beim
Debian kernel-image-2.4 sicher, dass die richtigen Module geladen werden. Die
nötigen Konfigurationen sind in Netzwerk-Funktionalität, Abschnitt
7.2.3 zu finden.
Für Debian kernel-image-2.2, müssen Sie Z92timeouts.rul in
/etc/masq/rules wie folgt editieren, um eine längere Verbindung zu
entfernten Seiten sicherzustellen (gut für große E-Mails, etc.):
# tcp, tcp-fin, udp
# 2 h, 10 sek, 160 sek - Standard
# 1 d, 10 min, 10 min - größeres Beispiel
$IPCHAINS -M -S 86400 600 600
Wird auf das Netzwerk mittels einer PCMCIA Netzwerkkarte zugegriffen, so muss
ipmasq von /etc/pcmcia/network.opts gestartet werden.
Lesen Sie dazu /usr/share/doc/ipmasq/ipmasq.txt.gz.
Angenommen, Sie haben ein Notebook, welches konfiguriert ist, andere LAN Umgebungen zu nutzen und Sie möchten Ihren Mail User Agent auf dem Notebook ohne Rekonfiguration nutzen.
Das Hinzufügen der folgenden Regeln mittels des iptables Kommandos
zum Gateway leitet die SMTP Verbindung zum Gateway um.
# iptables -t nat -A PREROUTING -s 192.168.1.0/24 -j REDIRECT \
-p tcp --dport smtp --to-port 25 # smtp=25, INPUT ist offen
Für gründlichere Umleitungsregeln sollte das ipmasq Paket
installiert und M30redirect.def/etc/ipmasq/rules/ Verzeichnis hinzugefügt werden.
[FIXME] Policy routing (von Phil Brutsche pbrutsch@tux.creighton.edu):
Vergleichen Sie das Iproute Manual
für Details. Traffic Control (tc) mag auch interessant sein.
Umgebung:
eth0: 192.168.1.2/24; Gateway 192.168.1.1
eth1: 10.0.0.2/24; Gateway 10.0.0.1
Kein Masquerading auf dieser Maschine.
Spezielle Werte:
[FIXME] Ich habe dies niemals durchgeführt. Wie kann eine dialup Verbindung als Backup zu einer schnellen Verbindung mit automatischer Einwahl genutzt werden? Bitte senden Sie einen Patch :)
Wird in Kürze eingefügt...
Wird in Kürze eingefügt...
Debian-Referenz
CVS, Mon 3. Apr 2005, 22:57:58 UTCosamu@debian.orgtux-master@web.de