Настройка NATD в среде FREEBSD

Очень часто возникает задача когда требуется пустить локальную сеть в и-нет через один выделенный провайдером IP адрес (200.200.200.1) и дать доступ пользователям находящимся в приватной сетке (192.168.1.0/24) к любому серверу в и-нете. Причем для настройки natd нам неважно какую топологию будет иметь интерфейс смотрящий в сторону ISP - будь это ethernet или ppp0 (ppp link). Принципп действия NAT (Network Address Translations) основан на преобразовании заголовка пакета приходящего из локальной сети на интефейс смотрящий с сторону интернета таким образом что этот пакет записывается в таблицу соединенией демона NATD и в нем переписыватеся адрес отправителя, например вместо 192.168.1.5 ставится 200.200.200.1 и пакет уходит в и-нет от реального адреса. Прихоящие пакеты сверяются с динамической таблицей демона natd и если они были из локальной сети то адрес источника заменяется и к хосту назначения в приватную сеть офисса.

Итак у нас есть два интерфейса :

ed0 - смотрит в сторону ISP (200.200.200.1 netmask 255.255.255.252) ed1 смотрит в сторону локальной сети (192.168.1.1 netmask 255.255.255.0

Существует два варианта реализации NAT во FreeBSD : ipnat + ipf и natd + ipfw, мы остановимся на последнем, поскольку ipfw более популярен.

Для начала собрем ядро со следующими опциями :

# Включаем поддержку firewall-a

options IPFIREWALL
options IPFIREWALL_VERBOSE
options "IPFIREWALL_VERBOSE_LIMIT=100"

# Включаем DIVERT пакетов приходящих на интерфейс для NAT

options IPDIVERT

После команды make depend; make clean; make all; make install перезагрузим систему и займемся настройкой firewall-a. Создадим файл в /usr/local/etc/rc.d/firewall.sh и дадим ему право исполнения chmod +x firewall.sh .

Содержимое файла :

#!/bin/sh
#Очищаем предыдущие правила

/sbin/ipfw -f flush

# Разрешаем NATD

/sbin/ipfw add divert natd ip from 192.168.1.0/24 to any out via ed0
/sbin/ipfw add divert natd ip from any to 200.200.200.1 in via ed0

# Ниже идет строка открывающая работу по всем портам снаружи
# вы должны сами написать правила фильтрации под вашу сеть

/sbin/ipfw add pass all from any to any via ed1

Теперь создадим файл /usr/local/etc/rc.d/natd.sh (дав на него chmod +x) :

#!/bin/sh
# Запускаем при старте natd и указываем чтобы он работал с ed0 (ключ -n)

/sbin/natd -f /etc/natd.conf -n ed0

В файле /etc/natd.conf прописываем

same_ports yes use_sockets yes

В /etc/rc.conf обязательно должна быть строчка :

gateway_enable = "YES"

После перезагрузки мы получим работающий роутер с natd и в локальной сети Вам необходимо прописать в TCP/IP setting на рабочих станциях Windows адрес gateway - 192.168.1.1 и дополнительно адрес внешнего DNS сервера - это может быть сервер ISP.

Через natd работают любые почтовые клиенты, любые версии ICQ и других socks клиентов - его настройка намного предпочтительнее чем настраивать по отдельности прокси сервер на каждый сервис в отдельности.

Иногда возникает необходимость сделать редирект какого либо порта например с адреса 192.168.1.1 555 на 201.201.201.2 25 порт. Такая ситуация бывает когда забыт пароль на маршрутизатор через который поключается роутер на базе FreeBSD и приходится вписываться в те порты которые открыты. Для этого есть программа rined запускаемая из командной строчки и для нее обходим файл конфигурации в /usr/local/etc/rinetd.conf такого формата : 192.168.1.1 555 201.201.201.2 25 , где первый IP адрес - это адрес карточки в роутере а второй IP это адрес хоста назначения.

Источник: http://www.void.ru