Структура такая 192.168.0.0 {ПК1,ПК2,ПКN} = (eth1/192.168.0.1 шлюз eth0/192.168.1.100) = (роутер eth0/192.168.1.1) = интернет
у шлюза есть еще wlan0, там только wifi-устройство для управления MythTV, которая крутится на шлюзе на 6543 и 6544.
Не могу настроить шлюз:
*nat
:PREROUTING ACCEPT [8:3810]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [62:4084]
:POSTROUTING ACCEPT [62:4084]
-A PREROUTING -s 192.168.0.0/24 ! -d 192.168.0.0/24 -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128
-A PREROUTING -s 192.168.2.0/24 ! -d 192.168.2.0/24 -i wlan0 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128
-A POSTROUTING -s 192.168.0.0/24 ! -d 192.168.0.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.2.0/24 ! -d 192.168.2.0/24 -o eth0 -j MASQUERADE
COMMIT
*mangle
:PREROUTING ACCEPT [334:54870]
:INPUT ACCEPT [334:54870]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [226:23305]
:POSTROUTING ACCEPT [230:23671]
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [226:23305]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
# снаружи пускаем: 1) HTTP, FTP
-A INPUT -s 192.168.1.0/24 -i eth0 -p tcp -m conntrack --ctstate NEW -m multiport --dports 80,46778,46779 -j ACCEPT
# 2) Torrents
-A INPUT -s 192.168.1.0/24 -i eth0 -p tcp -m conntrack --ctstate NEW -m multiport --dports 46881:46888 -j ACCEPT
-A INPUT -s 192.168.1.0/24 -i eth0 -p udp -m conntrack --ctstate NEW -m udp --dport 46880 -j ACCEPT
# изнутри 6543/tcp,6544/tcp,22/tcp,80/tcp и DNS 53/udp,DHCP 67/udp,NTP 123/udp:
-A INPUT -s 192.168.0.0/24 -i eth1 -p tcp -m conntrack --ctstate NEW -m multiport --dports 22,53,80,6543,6544 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -i eth1 -p udp -m conntrack --ctstate NEW -m multiport --dports 53,67,123 -j ACCEPT
-A INPUT -s 192.168.2.0/24 -i wlan0 -p tcp -m conntrack --ctstate NEW -m multiport --dports 22,53,80,6543,6544 -j ACCEPT
-A INPUT -s 192.168.2.0/24 -i wlan0 -p udp -m conntrack --ctstate NEW -m multiport --dports 53,67,123 -j ACCEPT
# блочим брутфорс
-A INPUT -s 192.168.1.0/24 -d 192.168.1.100/32 -p tcp --dport 80 -m connlimit --connlimit-above 7 -j REJECT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p icmp -j ACCEPT
-A FORWARD -s 192.168.0.0/24 ! -d 192.168.0.0/24 -i eth1 -o eth0 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
на клиенте ПК1:
auto eth0
iface eth0 inet static
address 192.168.0.4
netmask 255.255.255.0
gateway 192.168.1.1
dns-nameservers 8.8.8.8забыл совсем: ПК, которые ломятся в интернет по 80-му порту, заворачиваются на squid 3128
