Směrování a maškaráda - Historie editací

Milan.Kerslager: Milan.Kerslager přesunul stránku Routování a maškaráda na Směrování a maškaráda: český název

2016-03-19T18:41:47Z

Milan.Kerslager přesunul stránku Routování a maškaráda na Směrování a maškaráda: český název

Milan.Kerslager: Doplnění

2009-06-04T10:22:53Z

Doplnění

Milan.Kerslager: Stránka Maškaráda přemístěna na stránku Routování a maškaráda

2009-06-04T09:20:26Z

Stránka Maškaráda přemístěna na stránku Routování a maškaráda

Milan.Kerslager: Fix

2009-04-06T20:10:59Z

Fix

Milan.Kerslager: +kat

2009-04-06T19:55:09Z

+kat

Milan.Kerslager: /* Výpis nastavení */ typo

2008-09-03T06:24:07Z

‎Výpis nastavení: typo

Milan.Kerslager: /* Podpora pro FTP a spol. */ upřesnění, testování

2008-09-03T06:23:04Z

‎Podpora pro FTP a spol.: upřesnění, testování

Milan.Kerslager: Založení článku

2007-09-28T20:05:20Z

Založení článku

Nová stránka

Maškaráda zprostředkovává přístup do Internetu počítačům, které ve vnitřní síti používají privátní IP adresy (tj. neveřejné, obvykle 10.x.x.x, 192.168.x.x atp).

== Princip funkce ==

Maškaráda funguje tak, že při průchodu prvního datagramu z privátní sítě směrem do Internetu přepíše odesílající port a IP adresu (z privátního rozsahu) na veřejnou IP adresu, kterou router disponuje (zde rozhraní <CODE>eth0</CODE>). Zároveň zavede do maškarádovací tabulky <CODE>/proc/net/ip_conntrack</CODE> záznam, podle kterého bude proveden překlad zpět (při příchodu datagramu s odpovědí). Vzhledem k tomu, že tato tabulka vzniká dynamicky na popud z vnitřní stanice (stanice zahájí komunikaci s někým v Internetu), nelze z Internetu zahájit komunikaci směrem k vnitřní stanici (protože z Internetu můžete odeslat datagram jen na rozhraní <CODE>eth0</CODE> s veřejnou IP adresou). To může být v některých případech nepříjemné (např. různé peer-to-peer sítě, kde je pak potřeba použít portforwarding), ale může to být i výhoda (ochrana vnitřních stanic před nezvanými hosty z Internetu).

== Nastavení maškarády ==

Maškarádu pro počítače ve vnitřní síti zapnete příkazem (10.0.0.0/24 je vnitřní síť, <CODE>eth0</CODE> je venkovní síťové rozhraní):

iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE

Všechna nastavení iptables lze uložit. Při každém startu je můžeme obnovovat tak, že povolíme start služby iptables pomocí programu <CODE>ntsysv</CODE> nebo příkazem <CODE>chkconfig</CODE>, jak je uvedeno níže. Uložení aktuálních pravidel a povolení jejich obnovení při startu pak zajistíme těmito dvěma příkazy:

/etc/init.d/iptables save
chkconfig iptables on

== Výpis nastavení ==

Pravidla v iptables si můžete vypsat příkazem:

iptables -L -n -t nat # výpis nat tabulky (musí být vidět pravidlo
# uložené příkazem výše)
iptables -L -n # výpis klasické tabulky (zde může být prázdná)
iptables -L -n -t mangle # výpis mangle tabulky (zde také nepoužita)

Pokud byste chtěli iptables vypráznit, lze použít příkazy:

/etc/init.d/iptables stop # použití skriptu

iptables -F # ruční vyprázdnění
iptables -X
iptables -F -t nat
iptables -X -t nat
iptables -F -t mangle
iptables -X -t mangle
iptables -P INPUT ACCEPT # nastavení iplicitních politik
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

== Podpora pro FTP a spol. ==

Problémem při použití maškarády jsou složitější protokoly, mezi něž patří například FTP. FTP používá dvě spojení - jedno řídící a druhé datové. V případě, že stanice naváže z vnitřní sítě řídící spojení se serverem v Internetu, je vše v pořádku. Problém nastane ve chvíli, kdy klient požádá o soubor a server se pokusí navázat datové spojení se stanicí (v klasickém aktivním režimu). Maškarádující stroj totiž nemá ve své tabulce žádný záznam, který by umožnil toto spojení přesměrovat ke stanici.

Řešením je použít na maškarádujícím stroji speciální modul, který bude sledovat všechna řídící spojení a bude v případě potřeby zanášet do maškarádující tabulky takové záznamy, které navázání datového spojení ze serveru ke stanici umožní. Moduly můžete zavést ručně příkazy:

modprobe ip_conntrack_ftp
modprobe ip_nat_ftp

Pokud chcete zavedení těchto modulů automatizovat, využijte toho, že v okamžiku aktivace maškarády je automaticky zaváděn do jádra modul ip_conntrack. Pomocí záznamu do souboru zajistíme, že v okamžiku jeho zavedení budou následně zavedeny ještě naše další dva moduly pro podporu FTP. Vložte tedy do souboru <CODE>/etc/modprobe.conf</CODE> následující řádek:

install ip_conntrack /sbin/modprobe --ignore-install ip_conntrack && \
/sbin/modprobe ip_conntrack_ftp && /sbin/modprobe ip_nat_ftp || :

Pro jádra 2.4.x a starší použijeme v souboru <CODE>/etc/modules.conf</CODE>:

above ip_conntrack ip_conntrack_ftp ip_nat_ftp

Pokud bude vše dobře fungovat, půjde se z vnitřní stanice spojit s FTP serverem a zahájit FTP přenos (např. ve Windows Commanderu) i v aktivním režimu, kdy datové spojení navazuje server. Zavedené moduly lze vypsat příkazem <CODE>lsmod</CODE>.

Nemáte-li z nějakého důvodu možnost moduly použít, budete muset FTP přenosy nastavit do tzv. pasivního režimu, kdy je datové spojení navazováno od klienta směrem k serveru (lze nastavit v programu, který pro FTP přenosy používáte, WWW prohlížeč používá pasivní režim implicitně).

← Starší verze		Verze z 6. 4. 2009, 20:10
Řádka 71:		Řádka 71:
	Nemáte-li z nějakého důvodu možnost moduly použít (například v případě, že se k FTP serveru připojujete pomocí šifrovaného spojení, které modul nemůže sledovat), budete muset FTP přenosy nastavit do tzv. pasivního režimu, kdy je datové spojení navazováno od klienta směrem k serveru (lze nastavit v programu, který pro FTP přenosy používáte, WWW prohlížeč používá pasivní režim implicitně).		Nemáte-li z nějakého důvodu možnost moduly použít (například v případě, že se k FTP serveru připojujete pomocí šifrovaného spojení, které modul nemůže sledovat), budete muset FTP přenosy nastavit do tzv. pasivního režimu, kdy je datové spojení navazováno od klienta směrem k serveru (lze nastavit v programu, který pro FTP přenosy používáte, WWW prohlížeč používá pasivní režim implicitně).

−	~~[[Kategorie:Linux]]~~
	[[Kategorie:Síťové služby v Linuxu]]		[[Kategorie:Síťové služby v Linuxu]]

← Starší verze		Verze z 6. 4. 2009, 19:55
Řádka 70:		Řádka 70:

	Nemáte-li z nějakého důvodu možnost moduly použít (například v případě, že se k FTP serveru připojujete pomocí šifrovaného spojení, které modul nemůže sledovat), budete muset FTP přenosy nastavit do tzv. pasivního režimu, kdy je datové spojení navazováno od klienta směrem k serveru (lze nastavit v programu, který pro FTP přenosy používáte, WWW prohlížeč používá pasivní režim implicitně).		Nemáte-li z nějakého důvodu možnost moduly použít (například v případě, že se k FTP serveru připojujete pomocí šifrovaného spojení, které modul nemůže sledovat), budete muset FTP přenosy nastavit do tzv. pasivního režimu, kdy je datové spojení navazováno od klienta směrem k serveru (lze nastavit v programu, který pro FTP přenosy používáte, WWW prohlížeč používá pasivní režim implicitně).
		+
		+	[[Kategorie:Linux]]
		+	[[Kategorie:Síťové služby v Linuxu]]

← Starší verze	Verze z 19. 3. 2016, 18:41
(Žádný rozdíl)

@@ Řádka 1: / Řádka 1: @@
-Maškaráda zprostředkovává přístup do Internetu počítačům, které ve vnitřní síti používají privátní IP adresy (tj. neveřejné, obvykle 10.x.x.x, 192.168.x.x atp).
+'''Routování''' je činnost, kdy zařízení přeposílá IP datagramy mezi více síťovými rozhraními. Router je tedy počítač, který je připojen do více podsítí a jeho úkolem je zajistit dosažitelnost počítačů z jedné sítě do druhé. '''Maškaráda''' zprostředkovává přístup do Internetu počítačům, které ve vnitřní síti používají privátní IP adresy (tj. neveřejné, obvykle 10.x.x.x, 192.168.x.x atp) pomocí jedné veřejné IP adresy (případně více veřejných adres pomocí SNAT). Maškaráda nebude fungovat, pokud není povoleno routování (viz dále).
-== Princip funkce ==
+== Routování ==
-Maškaráda funguje tak, že při průchodu prvního datagramu z privátní sítě směrem do Internetu přepíše odesílající port a IP adresu (z privátního rozsahu) na veřejnou IP adresu, kterou router disponuje (zde rozhraní <CODE>eth0</CODE>). Zároveň zavede do maškarádovací tabulky <CODE>/proc/net/ip_conntrack</CODE> záznam, podle kterého bude proveden překlad zpět (při příchodu datagramu s odpovědí). Vzhledem k tomu, že tato tabulka vzniká dynamicky na popud z vnitřní stanice (stanice zahájí komunikaci s někým v Internetu), nelze z Internetu zahájit komunikaci směrem k vnitřní stanici (protože z Internetu můžete odeslat datagram jen na rozhraní <CODE>eth0</CODE> s veřejnou IP adresou). To může být v některých případech nepříjemné (např. různé peer-to-peer sítě, kde je pak potřeba použít portforwarding), ale může to být i výhoda (ochrana vnitřních stanic před nezvanými hosty z Internetu).
+ net.ipv4.ip_forward = 1
-== Nastavení maškarády ==
+Nastavení, které je uvedeno v souboru <CODE>/etc/sysctl.conf</CODE>, se aktivuje automaticky při startu počítače spuštěním příkazu <CODE>sysctl&nbsp;-p</CODE>, který však můžete spustit i ručně a aktuální nastavení tak aktivovat:
 Maškarádu pro počítače ve vnitřní síti zapnete příkazem (10.0.0.0/24 je vnitřní síť, <CODE>eth0</CODE> je venkovní síťové rozhraní):
-  iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE
+  iptables -t nat -A POSTROUTING -o eth0 -s 10.0.0.0/24 -j MASQUERADE
 Všechna nastavení iptables lze uložit. Při každém startu je můžeme obnovovat tak, že povolíme start služby iptables pomocí programu <CODE>ntsysv</CODE> nebo příkazem <CODE>chkconfig</CODE>, jak je uvedeno níže. Uložení aktuálních pravidel a povolení jejich obnovení při startu pak zajistíme těmito dvěma příkazy:
@@ Řádka 16: / Řádka 50: @@
   chkconfig iptables on
-== Výpis nastavení ==
+== Použití SNAT ==
 Pravidla v iptables si můžete vypsat příkazem:
@@ Řádka 28: / Řádka 70: @@
   /etc/init.d/iptables stop  # použití skriptu
-  iptables -F                # ruční vyprázdnění
+  iptables -F                  # ruční vyprázdnění hlavních tabulek
   iptables -X
-  iptables -F -t nat
+  iptables -F -t nat           # ruční vyprázdnění nat tabulek
   iptables -X -t nat
-  iptables -F -t mangle
+  iptables -F -t mangle        # ruční vyprázdnění mangle tabulek
   iptables -X -t mangle
   iptables -P INPUT   ACCEPT   # nastavení implicitních politik
@@ Řádka 39: / Řádka 81: @@
 == Podpora pro FTP a spol. ==
 Problémem při použití maškarády jsou složitější protokoly, mezi něž patří například FTP. FTP používá dvě spojení - jedno řídící a druhé datové. V případě, že stanice naváže z vnitřní sítě řídící spojení se serverem v Internetu, je vše v pořádku. Problém nastane ve chvíli, kdy klient požádá o soubor a server se pokusí navázat datové spojení se stanicí (v klasickém aktivním režimu). Maškarádující stroj totiž nemá ve své tabulce žádný záznam, který by umožnil toto spojení přesměrovat ke stanici. Řešením je použít na maškarádujícím stroji speciální modul, který bude sledovat všechna řídící spojení a bude v případě potřeby zanášet do maškarádující tabulky takové záznamy, které navázání datového spojení ze serveru ke stanici umožní.
@@ Řádka 45: / Řádka 86: @@
 === Jádro 2.6.x ===
 V jádrech 2.6.x jsou potřeba tři moduly: <code>ip_conntrack</code> (zavádí se automaticky při nastavení maškarády příkazem <code>iptables</code>), <code>ip_conntrack_ftp</code> a <code>ip_nat_ftp</code>. Zkontrolujeme přítomnost modulu <code>ip_conntrack</code> (příkaz <code>lsmod</code> vypisuje moduly zavedené v jádře a příkaz <code>grep</code> omezí výstup jen na řádek, který obsahuje jméno modulu):
@@ Řádka 61: / Řádka 101: @@
 === Jádro 2.4.x a starší ===
 Pro jádra 2.4.x a starší použijeme v souboru <CODE>/etc/modules.conf</CODE>:

← Starší verze	Verze z 4. 6. 2009, 09:20
(Žádný rozdíl)

@@ Řádka 20: / Řádka 20: @@
 Pravidla v iptables si můžete vypsat příkazem:
-  iptables -L -n -t nat     # výpis nat tabulky (musí být vidět pravidlo
+  iptables -L -n -t nat     # výpis nat tabulky (musí být vidět pravidlo uložené příkazem výše)
   iptables -L -n            # výpis klasické tabulky (zde může být prázdná)
   iptables -L -n -t mangle  # výpis mangle tabulky (zde také nepoužita)
-Pokud byste chtěli iptables vypráznit, lze použít příkazy:
+Pokud byste chtěli iptables vyprázdnit, lze použít příkazy:
   /etc/init.d/iptables stop  # použití skriptu
@@ Řádka 35: / Řádka 34: @@
   iptables -F -t mangle
   iptables -X -t mangle
-  iptables -P INPUT   ACCEPT   # nastavení iplicitních politik
+  iptables -P INPUT   ACCEPT   # nastavení implicitních politik
   iptables -P FORWARD ACCEPT
   iptables -P OUTPUT  ACCEPT

@@ Řádka 41: / Řádka 41: @@
 == Podpora pro FTP a spol. ==
-Problémem při použití maškarády jsou složitější protokoly, mezi něž patří například FTP. FTP používá dvě spojení - jedno řídící a druhé datové. V případě, že stanice naváže z vnitřní sítě řídící spojení se serverem v Internetu, je vše v pořádku. Problém nastane ve chvíli, kdy klient požádá o soubor a server se pokusí navázat datové spojení se stanicí (v klasickém aktivním režimu). Maškarádující stroj totiž nemá ve své tabulce žádný záznam, který by umožnil toto spojení přesměrovat ke stanici.
+Problémem při použití maškarády jsou složitější protokoly, mezi něž patří například FTP. FTP používá dvě spojení - jedno řídící a druhé datové. V případě, že stanice naváže z vnitřní sítě řídící spojení se serverem v Internetu, je vše v pořádku. Problém nastane ve chvíli, kdy klient požádá o soubor a server se pokusí navázat datové spojení se stanicí (v klasickém aktivním režimu). Maškarádující stroj totiž nemá ve své tabulce žádný záznam, který by umožnil toto spojení přesměrovat ke stanici. Řešením je použít na maškarádujícím stroji speciální modul, který bude sledovat všechna řídící spojení a bude v případě potřeby zanášet do maškarádující tabulky takové záznamy, které navázání datového spojení ze serveru ke stanici umožní.
-Řešením je použít na maškarádujícím stroji speciální modul, který bude sledovat všechna řídící spojení a bude v případě potřeby zanášet do maškarádující tabulky takové záznamy, které navázání datového spojení ze serveru ke stanici umožní. Moduly můžete zavést ručně příkazy:
+Verzi jádra zjistíte příkazem <code>uname -r</code>.
   modprobe ip_conntrack_ftp
   modprobe ip_nat_ftp
-Pokud chcete zavedení těchto modulů automatizovat, využijte toho, že v okamžiku aktivace maškarády je automaticky zaváděn do jádra modul ip_conntrack. Pomocí záznamu do souboru  zajistíme, že v okamžiku jeho zavedení budou následně zavedeny ještě naše další dva moduly pro podporu FTP. Vložte tedy do souboru <CODE>/etc/modprobe.conf</CODE> následující řádek:
+Pokud chcete zavedení těchto modulů automatizovat, využijte toho, že v okamžiku aktivace maškarády je automaticky zaváděn do jádra modul <code>ip_conntrack</code>. Pomocí záznamu do souboru zajistíme, že v okamžiku jeho zavedení budou následně zavedeny ještě další dva potřebné moduly pro podporu FTP. Vložte tedy do souboru <CODE>/etc/modprobe.conf</CODE> následující dvojřádek (záznam je rozdělený na dva řádky znakem zpětného lomítka):
   install ip_conntrack /sbin/modprobe --ignore-install ip_conntrack && \
     /sbin/modprobe ip_conntrack_ftp && /sbin/modprobe ip_nat_ftp || :
 Pro jádra 2.4.x a starší použijeme v souboru <CODE>/etc/modules.conf</CODE>:
@@ Řádka 57: / Řádka 67: @@
   above ip_conntrack ip_conntrack_ftp ip_nat_ftp
-Pokud bude vše dobře fungovat, půjde se z vnitřní stanice spojit s FTP serverem a zahájit FTP přenos (např. ve Windows Commanderu) i v aktivním režimu, kdy datové spojení navazuje server. Zavedené moduly lze vypsat příkazem <CODE>lsmod</CODE>.
+=== Testování funkčnosti ===
-Nemáte-li z nějakého důvodu možnost moduly použít, budete muset FTP přenosy nastavit do tzv. pasivního režimu, kdy je datové spojení navazováno od klienta směrem k serveru (lze nastavit v programu, který pro FTP přenosy používáte, WWW prohlížeč používá pasivní režim implicitně).
+Nemáte-li z nějakého důvodu možnost moduly použít (například v případě, že se k FTP serveru připojujete pomocí šifrovaného spojení, které modul nemůže sledovat), budete muset FTP přenosy nastavit do tzv. pasivního režimu, kdy je datové spojení navazováno od klienta směrem k serveru (lze nastavit v programu, který pro FTP přenosy používáte, WWW prohlížeč používá pasivní režim implicitně).