Re: lug-bg: zasichane i zabrana na masquerading

[Peter Pentchev <roam@xxxxxxxxxxx>]

On Fri, Jun 04, 2004 at 09:24:01AM +0300, Krasimir Kazakov wrote:
> On Friday 04 June 2004 00:45, Ангел Вълков wrote:
> > А какво би казал за схема:
> > ISP<->linux GW+Firewall<->1 машина на която се работи.
> > Съобръжения да не се връзва директно крайната машина бол- основно има
> > бозиндоус + понякога под linux няма пусната защитна стена заради разни
> > експерименти.
> > В крайна сметка има органи които се занимават с това 'някое лапе' да __не__
> > овърже блока в кабелаци.
> > Но май и на теб ти е изгодно тези органи да не си вършат работата.
> > Масова практика е интернет да се доставя с ограничение по скорост.
> > И единствено това да се упоменава в договорите - поне в Пловдив.
> > Нито дума за орязани портове, прозрачни проксита, и изгорели мрежови платки
> > от некадърно окабеляване.
> 
> Аз съм съгласен с теб. Скоро ще си прокарвам кабелен нет от БОЛ.БГ (само те са 
> около нас), нищо че чакам вече 2 седмици да се наканят да си пуснат кабелите 
> от съседната улица. Смятам да си свържа машината в нас точно по този начин - 
> с една слабичка машинка без монитор за gateway + firewall, и моята машина зад 
> нея. Никакви съседи, etc. Надявам се че няма да ми правят проблеми за linux-и 
> и TTL-и (това разбрах как се заобикаля, благодарение на форума тук). А ако 
> има проблем и не мога да си ползвам интернета по този начин - винаги мога да 
> изчакам 2-12 месеца за нещо друго, имам някакъв нет на работа.

По принцип и в такава ситуация не е нужно да се 'заобикаля' нищо:
всичко, което ти трябва, е настройка на някакъв вид proxy върху
gateway-а и настройка на всички network-aware apps върху задната машина
да го ползват.  По този начин всички outgoing connections ще излизат
наистина от gateway-а и не би трябвало да има проблеми.  Това дори може
да бъде enforce-нато, като просто спреш NAT на gateway-а :)  И не, това
със спирането на NAT не е толкова откачена/лоша/ограничаваща идея,
колкото звучи на пръв поглед: по този начин автоматично получаваш
блокиране на 98% от unauthorized network traffic от worm-чета или дори
adware от машината отзад.

Като казвам 'някакъв вид proxy', нямам предвид само FTP/HTTP proxy;
хората са измислили SOCKS преди много, много години и дори го поддържат.
А, май Жоро вече го е споменал това... и наистина, ако си от другата
страна - ISP - няма никакъв начин да се спасиш от клиент, който прави
това :(

Поздрави,
Петър

-- 
Peter Pentchev	roam@xxxxxxxxxxx    roam@xxxxxxxx    roam@xxxxxxxxxxx
PGP key:	http://people.FreeBSD.org/~roam/roam.key.asc
Key fingerprint	FDBA FD79 C26F 3C51 C95E  DF9E ED18 B68D 1619 4553
This sentence is false.

Attachment: pgpsZuyHkqHt4.pgp
Description: PGP signature