Берём новый ASUS WL-500g Premium и настраиваем. Всё делаем по инструкции.
Меняем прошивку(шьем последнее от Олега).
Настраиваем DHCP+PPTP. Всё работает, всё замечательно.
Разрешаем icmp from WAN (галочка в Internet Firewall -> Basic Settings)
Разрешаем Web-интерфейс по порту 8080 из WAN(галочка в Internet Firewall -> Basic Settings)
Разрешаем ssh from WAN(по инструкции с этого сайта, пару правил в iptables)
Настраиваем Wireless...
Итог:
1) Интернет из домашней сети - есть !
2) SSH, Web-interface из WAN - есть !
И, кажется, всё замечательно.
Но тут выплывает одна очень интересная фича(да-да, именно фича NAT)...
Адреса транслируются в обе стороны. Входящие соединения, не имеющие сопоставлений в NAT-таблицах, успешно транслируются во внутреннюю подсеть.
Мы можем добраться до внутренней подсети из внешней !
И на этом ничего не заканчивается. Запуская роутер в такой конфигурации, мы предоставляем бесплатный Интернет всему сегменту городской сети, за что нас немедленно отключает наш провайдер. И он трижды прав.
Эксперимент
Настраиваем ASUS как я описал выше.
Ему выдается IP 10.7.14.88(MAN). Роутер коннектится по PPTP и получает IP 212.1.xxx.xx (у меня внешний).
Идём к соседу. У него на компе ип 10.7.14.89.
У соседа интернета нет, баланс отрицательный, на VPN не пускает.
Делаем у соседа:
route add -host ya.ru gw 10.7.14.88
route add -net 192.168.0.0/24(моя внутренняя сеть) gw 10.7.14.88
И проверяем:
ping 192.168.0.254 (внутренний ип роутера)
ping 192.168.0.8 (домашняя тачка)
ping ya.ru
ВСЁ пингуется !
....высказываемся.
Code:[root@gw /tmp]$ iptables --list Chain INPUT (policy DROP) target prot opt source destination DROP all -- anywhere anywhere state INVALID ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT all -- anywhere anywhere state NEW ACCEPT all -- anywhere anywhere state NEW SECURITY all -- anywhere anywhere state NEW ACCEPT udp -- anywhere anywhere udp spt:bootps dpt:bootpc ACCEPT tcp -- anywhere gw tcp dpt:www ACCEPT tcp -- anywhere anywhere tcp dpt:7776 ACCEPT tcp -- anywhere anywhere tcp dpt:webcam ACCEPT icmp -- anywhere anywhere ACCEPT tcp -- anywhere anywhere tcp dpt:ssh flags:SYN,RST,ACK/SYN Chain FORWARD (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere DROP all -- anywhere anywhere state INVALID TCPMSS tcp -- anywhere anywhere tcp flags:SYN,RST,ACK/SYN TCPMSS clamp to PMTU ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED SECURITY all -- anywhere anywhere state NEW ACCEPT all -- anywhere anywhere ctstate DNAT Chain OUTPUT (policy ACCEPT) target prot opt source destination Chain MACS (0 references) target prot opt source destination Chain SECURITY (2 references) target prot opt source destination RETURN tcp -- anywhere anywhere tcp flags:SYN,RST,ACK/SYN limit: avg 1/sec burst 5 RETURN tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,ACK/RST limit: avg 1/sec burst 5 RETURN udp -- anywhere anywhere limit: avg 5/sec burst 5 RETURN icmp -- anywhere anywhere limit: avg 5/sec burst 5 DROP all -- anywhere anywhere Chain logaccept (0 references) target prot opt source destination LOG all -- anywhere anywhere state NEW LOG level warning tcp-sequence tcp-options ip-options prefix `ACCEPT ' ACCEPT all -- anywhere anywhere Chain logdrop (0 references) target prot opt source destination LOG all -- anywhere anywhere state NEW LOG level warning tcp-sequence tcp-options ip-options prefix `DROP ' DROP all -- anywhere anywhere [root@gw /tmp]$ cat nat_rules *nat :PREROUTING ACCEPT [0:0] :POSTROUTING ACCEPT [0:0] :OUTPUT ACCEPT [0:0] :VSERVER - [0:0] -A PREROUTING -d 212.1.xxx.xx -j VSERVER -A PREROUTING -d 10.7.14.88 -j VSERVER -A VSERVER -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.0.254:80 -A POSTROUTING -o ppp0 ! -s 212.1.xx.xx -j MASQUERADE -A POSTROUTING -o vlan1 ! -s 10.7.14.88 -j MASQUERADE -A POSTROUTING -o br0 -s 192.168.0.0/24 -d 192.168.0.0/24 -j MASQUERADE COMMIT
Originally Posted by Lesnix
