FreeBSD:Инструкции для начинающих (установка, настройка и т.п.)

[Alarick]

Цель создания данной темы помочь тем, кто, типа меня, сталкивается с проблемой(или желанием) использования FreeBSD. Сразу соглашусь с теми, кто скажет, что в Интернете полно информации (www.freebsd.org/ru/, www.opennet.ru, и т.д.) и что ее нужно тщательно изучить. Но что может сравниться с живым примером работы системы(не отрывочно, как в основном написано)?
Поэтому и прошу Вас (тех кто спец по FreeBSD) помочь начинающим конкретными сквозными (установка, настройка ipfw+squid+sarg+vpn, шлюза) примерами (желательно с комментариями строк .conf - файлов, чтобы было понятно откуда ноги растут) из своей практики (ведь, и вы когда-то начинали и знаете цену дельному совету).

[Merkator2006]

Цитата: Сообщение от Alarick Поэтому и прошу Вас (тех кто спец по FreeBSD) помочь начинающим конкретными сквозными (установка, настройка ipfw+squid+sarg+vpn, шлюза) примерами (желательно с комментариями строк .conf - файлов, чтобы было понятно откуда ноги растут)

Конкретнее что Вам надо ??? Вы делаеты выход в Internet из локальной сети ?

1. Для ipfw готовый /etc/rc.firewall можно использовать;
2. Для squid
а) сначала соединить домен(REALM) Windows и FreeBSD через Kerberos.
б) поставить samba'у. Пусть она авторизует пользователей
в) прикрепить к SQUID любой антивирус;
3. Экспортировать сертификаты из Windows PKI для шифрования.

Все просто. Можно поставить MS VirtualPC на свою рабочую машину и экспериментировать, а затем переносить настройки на рабочий сервер.

[Alarick]

В моем конкретном случае, мне по наследству от прежнего сисадмина досталось администрировать шлюз на FreeBSD. (FreeBSD 5,4 stable). На нем поднят ipfw+squid(2.5.stable12) + два Vpn соединения, статистика должна "сниматься" sarg-гом. Но после его ухода - одно впн соединение перестало работать, статистика перестала писаться и отображаться, возникли проблемы телнета по 670, 666 порту и так еще по мелочи.
Я во FreeBSD новичек(и вообще в*Nix системах), но очень хочется разобраться, поэтому я облазил практически все сайты по FreeBSD, накачал кучу примеров и манов, пытался основываясь на тех примерах подкорректировать хотябы ipfw, чтобы пропускал телнет соединение по 670,666 портам, но ничего не получилось.
Поэтому первый вопрос :
- порядок следования разрешений(запрещений) в ipfw?

(ssh,ftp,dns,icmp,proxi, внутренняя сеть, внутр-внеш., сервисы).

[mikle]

давайте для начала ваш ipfw-конфиг в студию, посмотрим

[Alarick]

rc.ipfw

#!/bin/sh
# Manual script for ipfw
Echo –n “Starting ipfw_firewall…”

ipfw=”/sbin/ipfw –q”
uports=”1025-65535”
int_if=”xl1”
ext_if=”xl0”
tap_if=”tap0”
tun_if=”tun0”

int_net=”192.168.13.1”
ext_net=”193.194……./255.255.255.252”

for_lan=”smtp,pop3,http,https,aol,domain,ssh”
Services=”smtp,pop3,http,https,aol,domain,ssh”

${ipfw} –f flush
${ipfw} add check-state
${ipfw} add allow all from any to any via lo0
${ipfw} add deny icmp from any to any frag
${ipfw} add deny all from $int_net to me in recv $ext_if

${ipfw} add allow tcp from $ext_ip $uports to any $Services out xmit $ext_if

#ssh
${ipfw} add allow tcp from 85……… to me 22
${ipfw} add allow tcp from me 22 to 85………
${ipfw} add allow tcp from me to 192.168.13.0/24 22 out xmit $int_if
${ipfw} add deny tcp from any to me 22 via $ext_if
${ipfw} add deny icmp from any to any frag

${ipfw} add allow tcp from $ext_ip $uports to 194………. 670 out xmit $ext_if
${ipfw} add allow tcp from $ext_ip $uports to 194………. 666 out xmit $ext_if
${ipfw} add allow tcp from 194………. 670 to $ext_ip $uports in recv $ext_if
${ipfw} add allow tcp from 194………. 666 to $ext_ip $uports in recv $ext_if

Echo “proxi”
${ipfw} add fwd 127.0.0.1,3128 tcp from $int_net to any http in recv $int_if
${ipfw} add divert natd all from $int_net to not $int_net out xmit $ext_if
${ipfw} add divert natd all from any to $ext_ip in recv $ext_if
${ipfw} add 100 divert natd all from $int_net to any out recv $int_if xmit $ext_if
${ipfw} add 200 divert natd all from not $int_net to $ext_ip recv $ext_if

Echo “allow_local_net”
${ipfw} add allow all from $int_net to any in recv $int_if
${ipfw} add allow all from any to $int_net out xmit $int_if

Echo “tun_if”
${ipfw} add allow tcp from $ext_ip to 195………. 2222 out xmit $ext_if
${ipfw} add allow tcp from 195………. 2222 to $ext_ip in recv $ext_if
${ipfw} add allow tcp from $ext_ip 1194 to 80…….. $uports out xmit $ext_if
${ipfw} add allow tcp from 80…….. $uports to $ext_ip 1194 in recv $ext_if
${ipfw} add allow all from any to any via $tun_if
${ipfw} add allow all from any to any via $tap_if

Echo “net_inet”
${ipfw} add allow tcp from $ext_ip $uports to any $Services out xmit $ext_if
${ipfw} add allow tcp from any $for_lan to $int_net $uports in recv $ext_if established
${ipfw} add allow tcp from $int_net $uports to any $Services out xmit $ext_if
${ipfw} add allow tcp from any $for_lan to $int_net $uports in recv $ext_if established
${ipfw} add allow tcp from any 80 to $ext_ip $uports in recv $ext_if established

Echo “domain”
${ipfw} add allow udp from $ext_ip $uports to any domain out xmit $ext_if
${ipfw} add allow udp from any domain to $ext_ip $uports in recv $ext_if
${ipfw} add allow udp from any domain to $int_net $uports in recv $ext_if

${ipfw} add allow tcp from $ext_ip $uports to any $uports out xmit $ext_if
${ipfw} add allow tcp from any $uports to $ext_ip $uports in recv $ext_if established

Echo “icmp”
${ipfw} add allow icmp from any to me icmptypes 0,3,4,11,12 in
${ipfw} add allow icmp from any to $int_net icmptypes 0,3,4,11,12 in recv $ext_if
${ipfw} add allow icmp from me to any icmptypes 3,8,12 out

${ipfw} add deny all from any to any

__________________________________________________ _________________

-удаленный доступ работает нормально;
-шлюз заходит по телнету на нужный адрес, а локальная машина нет;
-впн с 195.......... работает, т.е. сервера на обоих концах друг друга видят;
-впн2 - не работает, т.е. не "видно" сервера 192.168.12.2;
-нужно разграничить доступ, т.е. не все пользователи должны ходить в инет;

[zwey]

на официальном сайте проекта FreeBSD есть отличное онлайн руководство хандбук. Читайте, там все понятным языком написано

[mikle]

тут хэндбуком не обкрутишься. Конфиг то без ошибок, вроде как

[2Casp]

Цитата: Сообщение от Merkator2006 в) прикрепить к SQUID любой антивирус;

Хмм...на FreeBSD пробовал? У меня не получилось прикрутить ClamAV+Squid, хотя на Linux машине все работало

[Alarick]

После нескольких эксперементов, мне все же удалось открыть доступ для локальных машин по 670 и 666 портам.
Я изменил следующие строки:
было - Services=”smtp,pop3,http,https,aol,domain,ssh”;
стало - Services=”smtp,pop3,http,https,aol,domain,ssh,670, 666”

удалил строки
${ipfw} add allow tcp from $ext_ip $uports to 194………. 670 out xmit $ext_if
${ipfw} add allow tcp from $ext_ip $uports to 194………. 666 out xmit $ext_if
${ipfw} add allow tcp from 194………. 670 to $ext_ip $uports in recv $ext_if
${ipfw} add allow tcp from 194………. 666 to $ext_ip $uports in recv $ext_if

В squid.conf на всякий случай добавил эти порты в Safe ports и все заработало.
Впн2 заработало: там была синтаксическая ошибка, когда писал здесь конфиг я ее поправил.

Следующий, очень важный для меня вопрос - Статистика(sarg).
Плиз, хелп.

И если можно кратко прокомментируйте строки моего rc.ipfw: почему такой порядок следования и что эти строки описывают(а то я по мануалам более-менее разобрался, но хотелось бы точно знать), если Вам не трудно.

[beofor]

Цитата: Сообщение от Alarick Следующий, очень важный для меня вопрос - Статистика(sarg). Плиз, хелп.

на ранних версях squid меня sarg вполне устраивал. но начиная с версии squid 2.4 отчеты у сарга косые стали получаться, так что пришлось переползти на srg. этот вроде бы пока справляется.
установишь, причешешь srg.conf под свои потребности и через crontab можешь настроить запуск сбора статистики, либо в /etc/periodic скрипт положи в соответствующий раздел. лично мне хватает ежемесячных обзоров.

[Alarick]

beofor
А по подробней о SRG - Squid Report Generator(я правильно тебя понял?).

[beofor]

Цитата: Сообщение от Alarick beofor А по подробней о SRG - Squid Report Generator(я правильно тебя понял?).

да, он самый. там пояснять особо нечего, все комментарии непосредственно в srg.conf

[Alarick]

Я поискал иформацию в интернете, но там ее очень мало.
дай, пожалуйста ссылку на сайт с описанием (желательно русским) и прогой.

[beofor]

поставить можно либо из портов /usr/ports/www/srg либо с домашней страницы http://www.crc.net.nz/software/srg.php
после установки берешь готовый конфиг и правишь его как тебе нужно (все комментарии к опциям внутри конфига).
тестируешь: /usr/local/bin/srg -C /путь/к/srg.conf
занавес.

[Alarick]

И все же хотелось бы разобраться почему не пишутся отчеты(раньше писались и через Web интерфейс можно было смотреть статистику)

мои конфиги:

Squid.conf

http_port 192……...:3128
icp_query_timeout 0
maximum_icp_query_timeout 2000
mcast_icp_query_timeout 2000
hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY

cache_mem 40 MB
cache_swap_low 90
cache_swap_high 95
maximum_object_size 4095 KB
minimum_object_size 0 KB
maximum_object_size_in_memory 8 KB
cach_replacement_policy lru
memory_replacement_policy lru
cache_dir ufs /usr/local/squid/cache 500 32 512
cache_access_log /usr/local/squid/logs/access.log
cache_log /usr/local/squid/logs/cache.log
cache_store_log /usr/local/squid/logs/store.log

log_fqdn off
client_netmask 255.255.255.255
ftp_user [email protected]
ftp_list_width 32
ftp_passive on

#redirect_program /usr/local/bin/squidGard
#redirect_children 5
#redirector_bypass on

refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320

acl all scr 0.0.0.0/0.0.0.0
acl manager proto cashe_object
acl localhost src 127.0.0.1/255.255.255.255
acl MyNetwork src 192.168.13.0/255.255.255.0
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 670
acl Safe_ports port 666

http_access allow manager localhost
http_access deny all

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports

http_access allow all
http_access allow MyNetwork
http_access deny all
icp_access allow all

dns_testnames 127.0.0.1
error_directory /usr/local/etc/squid/errors/Russian-1251/
coredump_dir /usr/local/squid/logs

________________________________________
Sarg.conf

language Russian_windows1251
access_log /usr/local/squid/logs/access.log
output_dir /usr/local/www/data/squid
index yes
overwrite_report yes
max_elapsed 28800000

usertab /usr/local/etc/sarg/ipus

charset Windows-1251

________________________________

Crontab

SHELL=/bin/sh
PATH=/etc:/bin:/usr:/usr/sbin
HOME=/var/log

#minute hour mday month wday who command

*/5 * * * * root /usr/libexec/atrun

*/11 * * * * operator /usr/libexec/save-entropy

0 * * * * root newsyslog –a rotate

1 3 * * * root periodic daily
15 4 * * 6 root periodic weekly
30 5 1 * * root periodic monthly

1,31 0-5 * * * root adjkerntz –a
*/10 * * * * root /usr/local/bin/sarg
0 0 1 * * root /usr/local/sbin/squid –k rotate
______________________

Подскажите может что-нибудь нужно исправить?