- Cấu hình mạng của mình thế này. VPN Server được đặt ở trên 1 server được truy cập qua ip tĩnh x.x.x.x
- Máy của mình ở nhà thì nằm sau 1 vài NATs có địa chỉ IP trong LAN là 192.168.2.2.
- Mạng LAN trong OpenVPN sẽ là 10.8.0.0/24

Hiện giờ mình đã cấu hình xong xuôi cho server và client. Trong server.conf mình cũng đã bật directive
Code:

push "wwwect-gateway"

Ngoài ra do client nằm sau NAT mình cũng đã config thêm cho server:
Code:

client-config-dir /usr/share/openvpn/easy-rsa/ccd
route 192.168.2.0 255.255.255.0

Tương ứng 1 file cho client trong thư mục ccd với nội dung:
Code:

iroute 192.168.2.0 255.255.255.0

Kết quá là client đã được cung cấp ip 10.8.0.6 và có thể ping được server. Tuy nhiên mình vẫn không thể vào được các web sites trong firefox. Sau khi bật lên wireshark xem thì mình thấy các packet SYN được gửi từ địa chỉ 10.8.0.6 đến IP các webserver nhưng ko nhận được trả lời SYN-ACK.

Bạn nào có kinh nghiệm cấu hình OpenVPN rồi có thể giúp mình đc ko?

Cám ơn  

Linux firewall & router for home server

Hi all
dạo này thấy nhiều anh em hỏi về vấn đề làm router và firewall trên linux thế nào.
Nhân tiện vừa cài demo trên 1 máy wmware post lên anh em tham khảo.
1, hệ điều hành centos 5.1
2, mạng
network card 0: 10.2.14.41/21
network card 1: 10.2.6.254/24
network card 2: 10.2.2.254/24
client 1 10.252.6.1/24
Mục đích: mạng on lớp 2 có thể kết nối đến lớp mạng 10.1.8.0/21 trên cơ sở nat source
Đây chỉ là cơ bản thôi. Từ đây anh em có thể phát triển thêm cho phù hợp với chính sách bảo mật và mạng của mình.
Xin lỗi vì khi làm mình copy ra file txt giờ copy ngược vào thôi :d

Các bước biến linux thành 1 firewall routercentos 5)

Thêm cái này vào .bash_profile
LANG=EN_US
LANGUAGE=EN_US

Kernel bao nhiêu nhỉ
[root@centos ~]# uname -r
2.6.18-53.el5

Dùng các lệnh này để cho foward trafic
Code:

[root@centos ~]#echo 1 >> /proc/sys/net/ipv4/ip_forward
[root@centos ~]#echo “option ip_conntrack ip_conntrack_disable_ve0=0″ >> /etc/modprobe.conf
[root@centos ~]#vi /etc/modprobe.conf
[root@centos ~]#vi /etc/sysctl.conf

Xem state table
Code:

[root@centos ~]#vi /proc/net/ip_conntrack

Muốn làm NAT được với nhiều địa chỉ thì phải add alias interface
Code:

[root@centos ~]# ip address add 10.1.14.42 dev eth0
[root@centos ~]# ip address add 10.1.7.254 dev eth1

Không biết khi reboot có bị mất không nhỉ
Code:

[root@centos ~]# ifconfig
eth0 Link encap:Ethernet HWaddr 00:0C:29:89:F5:B0
inet addr:10.1.14.41 Bcast:10.1.15.255 Mask:255.255.248.0
inet6 addr: fe80::20c:29ff:fe89:f5b0/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:71216 errors:0 dropped:0 overruns:0 frame:0
TX packets:6989 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:6441233 (6.1 MiB) TX bytes:1235453 (1.1 MiB)
Interrupt:169 Base address:0×2000
eth1 Link encap:Ethernet HWaddr 00:0C:29:89:F5:BA
inet addr:10.1.6.254 Bcast:10.1.6.255 Mask:255.255.255.0
inet6 addr: fe80::20c:29ff:fe89:f5ba/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:1170 errors:0 dropped:0 overruns:0 frame:0
TX packets:582 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:136229 (133.0 KiB) TX bytes:103174 (100.7 KiB)
Interrupt:177 Base address:0×2080
eth2 Link encap:Ethernet HWaddr 00:0C:29:89:F5:C4
inet addr:10.1.2.254 Bcast:10.1.2.255 Mask:255.255.255.0
inet6 addr: fe80::20c:29ff:fe89:f5c4/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:632 errors:0 dropped:0 overruns:0 frame:0
TX packets:97 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:89882 (87.7 KiB) TX bytes:17363 (16.9 KiB)
Interrupt:193 Base address:0×2400

Sao không hiện cái ip mới add đó nhỉ
ping thử cái coi nào
Code:

[root@centos ~]# ping 10.1.14.42
PING 10.1.14.42 (10.1.14.42) 56(84) bytes of data.
64 bytes from 10.1.14.42: icmp_seq=1 ttl=64 time=0.573 ms
64 bytes from 10.1.14.42: icmp_seq=2 ttl=64 time=0.297 ms

— 10.1.14.42 ping statistics —
2 packets transmitted, 2 received, 0% packet loss, time 1000ms
rtt min/avg/max/mdev = 0.297/0.435/0.573/0.138 ms

Vẫn được mà

Khởi động lại mạng cái xem có bị mất không nào
Code:

[root@centos ~]# service network restart
Shutting down interface eth0: [ OK ]
Shutting down interface eth1: [ OK ]
Shutting down interface eth2: [ OK ]
Shutting down loopback interface: [ OK ]
Disabling IPv4 packet forwarding: net.ipv4.ip_forward = 0
[ OK ]
Bringing up loopback interface: [ OK ]
Bringing up interface eth0: [ OK ]
Bringing up interface eth1: [ OK ]
Bringing up interface eth2: [ OK ]

Chắc là mất rồi
Thử ping cái cho chắc cú:
Code:

[root@centos ~]# ping 10.1.14.42
PING 10.1.14.42 (10.1.14.42) 56(84) bytes of data.
— 10.1.14.42 ping statistics —
3 packets transmitted, 0 received, 100% packet loss, time 2001ms

Thôi thêm alias luôn cho nó lành
Code:

[root@centos ~]# cp /etc/sysconfig/network-scripts/ifcfg-eth0 /etc/sysconfig/network-scripts/ifcfg-eth0:1

Kiểm tra cái nào
Code:

vi /etc/sysconfig/network-scripts/ifcfg-eth0:1
# Advanced Micro Devices [AMD] 79c970 [PCnet32 LANCE]
DEVICE=eth0
ONBOOT=yes
BOOTPROTO=static
IPADDR=10.1.14.41
NETMASK=255.255.248.0
GATEWAY=10.1.8.4
HWADDR=00:0c:29:89:f5:b0
TYPE=Ethernet

Sửa thành eth0:1 thôi

Code:

# Advanced Micro Devices [AMD] 79c970 [PCnet32 LANCE]
DEVICE=eth0:1
ONBOOT=yes
BOOTPROTO=static
IPADDR=10.1.14.42
NETMASK=255.255.248.0
#GATEWAY=10.1.8.4
HWADDR=00:0c:29:89:f5:b0
TYPE=Ethernet

Lại phải khởi động lại mạng. Chán quá
Code:

[root@centos ~]# service network restart
Shutting down interface eth0: [ OK ]
Shutting down interface eth1: [ OK ]
Shutting down interface eth2: [ OK ]
Shutting down loopback interface: [ OK ]
Disabling IPv4 packet forwarding: net.ipv4.ip_forward = 0
[ OK ]
Bringing up loopback interface: [ OK ]
Bringing up interface eth0: [ OK ]
Bringing up interface eth1: [ OK ]
Bringing up interface eth2: [ OK ]

Ok rồi kiểm tra đi

Code:

[root@centos ~]# ifconfig -a
eth0 Link encap:Ethernet HWaddr 00:0C:29:89:F5:B0
inet addr:10.1.14.41 Bcast:10.1.15.255 Mask:255.255.248.0
inet6 addr: fe80::20c:29ff:fe89:f5b0/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:228073 errors:0 dropped:0 overruns:0 frame:0
TX packets:18440 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:29410626 (28.0 MiB) TX bytes:2085369 (1.9 MiB)
Interrupt:169 Base address:0×2000
eth0:1 Link encap:Ethernet HWaddr 00:0C:29:89:F5:B0
inet addr:10.1.14.42 Bcast:10.1.15.255 Mask:255.255.248.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
Interrupt:169 Base address:0×2000
eth1 Link encap:Ethernet HWaddr 00:0C:29:89:F5:BA
inet addr:10.1.6.254 Bcast:10.1.6.255 Mask:255.255.255.0
inet6 addr: fe80::20c:29ff:fe89:f5ba/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:11452 errors:0 dropped:0 overruns:0 frame:0
TX packets:12587 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:1158330 (1.1 MiB) TX bytes:13217785 (12.6 MiB)
Interrupt:177 Base address:0×2080
eth2 Link encap:Ethernet HWaddr 00:0C:29:89:F5:C4
inet addr:10.1.2.254 Bcast:10.1.2.255 Mask:255.255.255.0
inet6 addr: fe80::20c:29ff:fe89:f5c4/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:3214 errors:0 dropped:0 overruns:0 frame:0
TX packets:506 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:410013 (400.4 KiB) TX bytes:80366 (78.4 KiB)
Interrupt:193 Base address:0×2400
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:2414 errors:0 dropped:0 overruns:0 frame:0
TX packets:2414 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:3475889 (3.3 MiB) TX bytes:3475889 (3.3 MiB)
sit0 Link encap:IPv6-in-IPv4
NOARP MTU:1480 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
[root@centos ~]#
[root@centos ~]# ping 10.1.14.42
PING 10.1.14.42 (10.1.14.42) 56(84) bytes of data.
64 bytes from 10.1.14.42: icmp_seq=1 ttl=64 time=0.115 ms
64 bytes from 10.1.14.42: icmp_seq=2 ttl=64 time=0.112 ms
— 10.1.14.42 ping statistics —
2 packets transmitted, 2 received, 0% packet loss, time 1000ms
rtt min/avg/max/mdev = 0.112/0.113/0.115/0.010 ms
[root@centos ~]#

Mạng thế là ngon rồi nhỉ

Giờ thì nat cái nào
Thêm 1 rule NAT xem thế nào
Code:

[root@centos ~]#iptables -t nat -A PREROUTING -i eth1 -p tcp –dport 8080 -j DNAT –to 10.1.14.41:22

list các rule ra xem thế nào
Code:

[root@centos ~]#iptables -t nat -L -n
[root@centos ~]#iptables-save > /etc/sysconfig/iptables

Save lại để sau chỉnh cho dễ ta có file iptables từ đây có thể chỉnh sửa trực tiếp trên file

Code:

[root@centos ~]#vi /etc/sysconfig/iptables
# Generated by iptables-save v1.3.5 on Thu Oct 16 09:57:45 2008
*nat
REROUTING ACCEPT [200:21857]
OSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A PREROUTING -i eth1 -p tcp -m tcp -d 10.1.7.254 -j DNAT –to-destination 10.1.8.5
-A PREROUTING -i eth1 -p tcp -m tcp –dport 8080 -j DNAT –to-destination 10.1.14.41:22
-A POSTROUTING -o eth0 -p tcp -m tcp –dport 22 -j SNAT –to 10.1.14.41
-A POSTROUTING -o eth0 -p tcp -m tcp –dport 23 -j SNAT –to 10.1.14.41
-A POSTROUTING -o eth0 -p tcp -m tcp -j SNAT –to 10.1.14.42
-A POSTROUTING -o eth0 -p udp -m udp -j SNAT –to 10.1.14.42
-A POSTROUTING -o eth0 -p icmp -m icmp -j SNAT –to 10.1.14.42
#-A POSTROUTING -o eth0 -p tcp -m tcp -s 10.1.6.1 -j SNAT –to 10.1.14.42
#-A POSTROUTING -o eth0 -p udp -m udp -s 10.1.6.1 -j SNAT –to 10.1.14.42
#-A POSTROUTING -o eth0 -p tcp -m tcp –dport 389 -j SNAT –to 10.1.14.41
#-A POSTROUTING -o eth0 -p tcp -m tcp –dport 80 -j SNAT –to 10.1.14.42
#-A POSTROUTING -o eth0 -p tcp -m tcp –dport 3389 -j SNAT –to 10.1.14.42
#-A POSTROUTING -o eth0 -p tcp -m tcp –dport 10002 -j SNAT –to 10.1.14.42
COMMIT
# Completed on Thu Oct 16 09:57:45 2008
# Generated by iptables-save v1.3.5 on Thu Oct 16 09:57:45 2008
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [155:21412]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -i eth1 -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp -m icmp –icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT
#-A RH-Firewall-1-INPUT -j ACCEPT
#-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -j ACCEPT
#-A RH-Firewall-1-INPUT -p udp -m state –state NEW -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 20 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 21 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 23 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 25 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 53 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m udp –dport 53 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 110 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 143 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 161 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 389 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 443 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 3389 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state –state NEW -m tcp –dport 10002 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT –reject-with icmp-host-prohibited
COMMIT
# Completed on Thu Oct 16 09:57:45 2008

Add thêm static route nào

Code:

vi /etc/sysconfig/static-routes
any host 10.1.2.3 gw 10.1.8.5
any net 10.1.17.0/24gw 10.1.8.5
any net 10.1.19.0/24 gw 10.1.8.5
any net 10.1.20.0/24 gw 10.1.8.5
any net 10.1.3.0/24 gw 10.1.8.5
any net 10.1.16.0/24 gw 10.1.8.2

Khởi động lại network coi nào.
Code:

[root@centos ~]# service network restart
Shutting down interface eth0: [ OK ]
Shutting down interface eth1: [ OK ]
Shutting down interface eth2: [ OK ]
Shutting down loopback interface: [ OK ]
Disabling IPv4 packet forwarding: net.ipv4.ip_forward = 0
[ OK ]
Bringing up loopback interface: [ OK ]
Bringing up interface eth0: [ OK ]
Bringing up interface eth1: [ OK ]
Bringing up interface eth2: [ OK ]
Usage: inet_route [-vF] del {-host|-net} Target[/prefix] [gw Gw] [metric M] [[de v] If]
inet_route [-vF] add {-host|-net} Target[/prefix] [gw Gw] [metric M]
[netmask N] [mss Mss] [window W] [irtt I]
[mod] [dyn] [reinstate] [[dev] If]
inet_route [-vF] add {-host|-net} Target[/prefix] [metric M] reject
inet_route [-FC] flush NOT supported

Lỗi gì thế nhỉ!
Ai biết chỉ tôi cái

show route lên xem thế nào
Code:

[root@centos ~]# netstat -rn
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
10.1.2.3 10.1.8.5 255.255.255.255 UGH 0 0 0 eth0
10.1.2.0 0.0.0.0 255.255.255.0 U 0 0 0 eth2
10.1.3.0 10.1.8.5 255.255.255.0 UG 0 0 0 eth0
10.1.6.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
10.1.8.0 0.0.0.0 255.255.248.0 U 0 0 0 eth0
10.1.16.0 10.1.8.2 255.255.255.0 UG 0 0 0 eth0
10.1.19.0 10.1.8.5 255.255.255.0 UG 0 0 0 eth0
10.1.20.0 10.1.8.5 255.255.255.0 UG 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth2
0.0.0.0 10.1.8.4 0.0.0.0 UG 0 0 0 eth0

Vậy là tạm ổn cho 1 firwall router đơn giản nhất rồi đó 

Luơng lậu thế nào anh ơi? 

Tôi đang chuẩn bị làm cái này mà giờ chưa có tài liệu nghiên cứu,xin hỏi đã có ai làm thành công thì nhờ giúp đỡ hoặc cho tài liệu đã tưng sát thực,xin cám ơn  

----->/home không có.

Anh kiểm tra xem trên hệ thống có dir /export/home ko
Nguyên nhân của "bệnh" này, theo em đoán là dir /home không tồn tại trên hệ thống, hoặc tồn tại nhưng bị giới hạn quyền đối với user mới được tạo.

PS: Có vẻ như đây là lần đầu tiên anh đăng nhập bằng acc bình thường nhỉ?
 

-bash-3.00# useradd -d /sub -s /usr/bin/bash -c "thphuoc" sub

Sau khi làm phương pháp loại trừ, đó là tạm thời bỏ qua những cái module đang được tặt, em xem xét những cái module đang được bật xem cái nào nên tắt, rồi mới tìm hiểu đến mấy cái module đang bị tắt, xem nên bật cái nào lại. Và kết quả sau một hồi làm phương pháp loại trừ là còn lại các module:

Code:

LoadModule actions_module modules/mod_actions.so
LoadModule alias_module modules/mod_alias.so
LoadModule asis_module modules/mod_asis.so
LoadModule cgi_module modules/mod_cgi.so
LoadModule dav_module modules/mod_dav.so
LoadModule dav_fs_module modules/mod_dav_fs.so
LoadModule dav_lock_module modules/mod_dav_lock.so
LoadModule env_module modules/mod_env.so
LoadModule headers_module modules/mod_headers.so
LoadModule include_module modules/mod_include.so
LoadModule info_module modules/mod_info.so
LoadModule isapi_module modules/mod_isapi.so
LoadModule negotiation_module modules/mod_negotiation.so
LoadModule setenvif_module modules/mod_setenvif.so
LoadModule status_module modules/mod_status.so

Giờ em đang phân tích từng cái, nhưng nhìn sơ qua thì cái mod_cgi có thể tắt được rồi, nếu cần thì dùng mod_perl.  

Alias /etc "/etc"
#
# This is to permit url access to /etc/
#
<Directory "/etc">
Options None
AllowOverride None
Order allow,deny
Allow from all
</Directory>

Summary
This module provides class 1 and class 2 WebDAV ('Web-based Distributed Authoring and Versioning') functionality for Apache. This extension to the HTTP protocol allows creating, moving, copying, and deleting resources and collections on a remote web server.

if (ap_server_tokens == SrvTk_PRODUCT_ONLY) {
ap_add_version_component(pconf, AP_SERVER_BASEPRODUCT);
}
else if (ap_server_tokens == SrvTk_MINIMAL) {
ap_add_version_component(pconf, AP_SERVER_BASEVERSION);
}
else if (ap_server_tokens == SrvTk_MINOR) {
ap_add_version_component(pconf, AP_SERVER_BASEPRODUCT "/" AP_SERVER_MINORREVISION);
}
else if (ap_server_tokens == SrvTk_MAJOR) {
ap_add_version_component(pconf, AP_SERVER_BASEPRODUCT "/" AP_SERVER_MAJORVERSION);
}
else {
ap_add_version_component(pconf, AP_SERVER_BASEVERSION " (" PLATFORM ")");
}

lâu rùi mới thấy anh conmale "hở" ra cái mà anh đã làm bấy lâu nay nha hì hì. kiểu này là kiểu " lạy ông tôi ở bụi này " ( nhưng thực ra tôi đang ở bụi khác , em tự gọi dí dủm như vậy he he ) . em cũng đã từng nghĩ thôi ( chỉ dám mơ màng thôi nhé ) về cái vụ " show đầu dê, có thịt ếch này " . như cái vụ Netframework poisioning viết một dòng Console.Writeln ( " The End " ) thay vào 1 dòng được print out đó khi thực hiện nó sẽ chạy ra vài dòng chẳng hạn , vì nó hơi sâu xa nên em chưa hỉu được. chỉ dám mơ mộng tìm và cố giả vờ hiểu mà vẫn chưa hiểu anh ạ .
 

hoặc add : A record là DNS của 72.ab.cc.c.. nhưng MX và NS lại là của JP chẳng hạn (cái reserve DNS server ) . << em rất mong được bác chỉ cho các cách này .