Raptorcache 2 Configuración Modo Gateway

[atma]

iptables -A FORWARD -i $INT_IN -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC
iptables -A FORWARD -i $INT_IN -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC



gracias por responder ya lo quite pero no logro tener internet en las demás maquinas que podrá ser

[WALYN]

iptables -A FORWARD -i $INT_IN -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC
iptables -A FORWARD -i $INT_IN -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC



gracias por responder ya lo quite pero no logro tener internet en las demás maquinas que podrá ser

tienes sevicio dhcp?
te da bien la ip?
si no te da ip.. se que es

[atma]

eso me sale cuando intento entrar al internet

[WALYN]

eso me sale cuando intento entrar al internet

executa esto y me dice:
echo 1 > /proc/sys/net/ipv4/ip_forward

[atma]

no pasa nada O.o o donde tengo que ponerlo  :-X

[WALYN]

ejecutar esto:
sh /root/script-parametros.sh

[juliobrenis]

Esperamos que tenemos conectado el servidor a un moden por cable de red, y que tenemos otra tarjeta libre..pues bien.
Serían Eth0 y Eth1 respectivamente.
y usaremos WinSCP Y PUTTY Y recordar que todo esto hay que hacerlo en modo root  después de instalar debían y ante de instalar raptorcache.

Para empezar tenemos que  echar un vistazo al archivo /etc/network/interfaces y editarlo... ojo hacerlo con WinSCP..

Si desea borra todo el contenido  para hacerlo mas rápido solo copia y pega esto:

Código (javascript) [Seleccionar] Expandir

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

# The loopback network interface
auto lo
iface lo inet loopback

########## WAN ############
auto eth0
iface eth0 inet static
address 192.168.0.2
netmask 255.255.255.0
network 192.168.0.0
broadcast 192.168.0.255
gateway 192.168.0.1

########## LAN #############
auto eth1
iface eth1 inet static
      address 192.168.1.1
      netmask 255.255.255.0
      broadcast 192.168.1.255

Ingresar la ip del WAN  estático, poner su rango de su LAN  preferida guarda y sierra.
Reiniciar la interfaces con putty asi:

Código (javascript) [Seleccionar] Expandir

service netwoking restart

Con eso ya hemos configurado nuestra tarjeta red.
ahora bamos a instalar con  putty a isc-dhcp-server con esto:

Código (javascript) [Seleccionar] Expandir

apt-get install isc-dhcp-server

Una vez instalado el paquete, tendremos que configurarlo según nuestras necesidades.
los archivos principales de configuración son /etc/default/isc-dhcp-server y /etc/dhcp/dhcpd.conf.
empezaremos a configurar los archivos, lo primero que deberemos es decirle cual es la tarjeta de
red que se ocupara de dar el servicio DHCP, para ello haremos los siguientes pasos. Editamos el
archivo isc-dhcp-server. y vamos con WinSCP a /etc/dafault/isc-dhcp-server.

En la ultima línea:

INTERFACES=""

Y TENDREMOS QUE DEJARLO DE LA SIGUIENTE MANERA:

INTERFACES="eth1"

Recordemos que en este caso eth1 es la tarjeta de red que se encuentra conectada a nuestra red local.

Ya con la tarjeta prepara para servir direcciones IP, toca configurar el servicio y nuestros clientes DHCP.
Editamos el archivo dhcp.conf.que esta /etc/dhcp/dhcpd.conf

En el archivo tendremos que hacer algunas modificaciones, voy a dejaros un fichero de ejemplo para que podras modificar
a nuestro antojo, ademas, explicare que hace cada orden del fichero de configuración de DHCP.

para no complicarnos mucho si desea puedes borrar todo lo que esta dentro del archivo copia y pega esto:

Código (javascript) [Seleccionar] Expandir

# Algunos de estos parametros podrían configurarse
# de diferente manera adaptando cada red a nuestras
# necesidades, con por ejemplo, diferentes tiempos
# de asignación de IP (max-lease-time 604800)

# Configuración del servifor DHCP
ddns-update-style none;
option domain-name "syconet.example";
option domain-name-servers 196.3.81.5, 196.3.81.132;
default-lease-time 7200;
max-lease-time 21600;
authoritative;
log-facility local7;

# Rangos
subnet 192.168.1.0 netmask 255.255.255.0 {
      range 192.168.1.2 192.168.1.254;
      option routers 192.168.1.1;
}
# Equipos rango 192.168.1.0 #
host windowsxp {
   hardware ethernet 00:11:22:33:44:55;
   fixed-address 192.168.1.240;
}

Si desean modificar  donde dice  option domain-name-servers  poner lo de su proveedor
PJ: el mio es de CLARO y es 196.3.81.5 196.3.81.132 que quedaría así:

option domain-name-servers 196.3.81.5 196.3.81.132;

También recordar su rango de ip preferida y guarda y sierra.

Una vez tenemos todo el archivo listo, tendremos que reiniciar el servidor para que cargue
la configuración Lo podemos hacer desde init.d o con el paquete servicie con esto:

Código (javascript) [Seleccionar] Expandir

/etc/init.d/isc-dhcp-server restart

La configuración de iptables es muy importante ya que nos permite la dirección del puerto 80 al 3128 de squid,
haciendo que squid trabaje de modo transparente y esto es beneficioso ya que no tendremos que configurar nuestros
navegadores en la red para que entren al proxy y la segunda se encarga de enmascarar nuestra red para que pueda salir
a Internet mediante la interfaz que nos provee el Internet.

Esta capacidad de traducción de direcciones permite aplicar una técnica llamada enmascaramiento de IP (IP Masquerading),
usada muy a menudo para dar acceso a Internet a los equipos de una LAN compartiendo una única conexión a Internet, y por tanto, una única dirección IP externa.

Código (javascript) [Seleccionar] Expandir

########## PARAMETROS #########
INT_IN=eth0 # Interface que provee internet
INT_OUT=eth1 # interface que comparte internet a la Lan
RANGO=192.168.1.0/24
###############################
echo " Borrando las Cadenas existentes..."
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X
# Zero all packets and counters.
iptables -Z
iptables -t nat -Z
iptables -t mangle -Z
echo " Estableciendo Politica por Defecto (ACEPTAR)"
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
echo " Redireccionamos las peticiones de www hacia Squid Proxy"
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -i $INT_OUT -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A POSTROUTING -o $INT_IN -s $RANGO -j MASQUERADE
echo " Terminando la Configuracion del Firewall."

Recodar que donde esta RANGO=192.168.1.0/24 poner su rango.

Este script lo guardan con extension .sh y le dan permisos de ejecucion.

para crear un archivo .sh:

Código (javascript) [Seleccionar] Expandir

touch script-parametros.sh

Ve ala carpeta root donde se creo este archivo copia y pega el script de arriba y dale permiso con esto:

Código (javascript) [Seleccionar] Expandir

chmod 700 /root/script-parametros.sh

Ahora  copian y pegan esta linea en el archivo /etc/rc.local antes de exit 0  guarda y sierra  para que inicie con el sistema y con putty ejecútalo para ver si todo salio bien.

Código (javascript) [Seleccionar] Expandir

sh /root/script-parametros.sh

Ahora bien, con esto ya podemos instalar raptor.. no sin antes configurar el script de instalación de raptorcache
para que tome la ip de la interface que compartira el internet a su red, la linea
en cuestion a cambiar es:

IPSERV=$(ifconfig eth0 | grep 'inet addr:' | cut -d: -f2 | awk '{ print $1}')

Esta linea es para guiarte para que sepa donde cambiar el eth0 por eth1

¿Como modificar? primero en la instalación ejecuta con putty:

Código (javascript) [Seleccionar] Expandir

wget http://www.alterserv.com/raptor/install_raptor2.sh

Después abre WinSCP y en la carpeta root veras un archivo como: install_raptor2.sh ábrelo y busca donde se encuentre la linea:

IPSERV=$(ifconfig eth0 | grep 'inet addr:' | cut -d: -f2 | awk '{ print $1}')

Cambiando eth0 por eth1 la interfaces que como repito compartirá el Internet, reitero esta parte ya que es muy importante.
tienen que modificar por ejemplo quedar así:

IPSERV=$(ifconfig eth1 | grep 'inet addr:' | cut -d: -f2 | awk '{ print $1}')

guarda y sierra.

despues con putty:

Código (javascript) [Seleccionar] Expandir

chmod 777 install_raptor2.sh

Código (javascript) [Seleccionar] Expandir

bash install_raptor2.sh

instalar raptorcache 2.0

Si en la instalación estuvo todo bien.. continuaremos  ahora con la configuración en el archivo squid.conf que esta en /etc/squid3/squid.conf esta configuración es muy importante ya que  el raptor se hace el sordo sino lo hacen..

#----------------------------------------------------------------------
acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1

acl localnet src 10.0.0.0/8     # RFC 1918 possible internal network
acl localnet src 172.16.0.0/12  # RFC 1918 possible internal network
acl localnet src 192.168.1.0/24    # RFC 1918 possible internal network
acl localnet src fc00::/7       # RFC 4193 local private network range
acl localnet src fe80::/10      # RFC 4291 link-local (directly plugged) machines

acl CONNECT method CONNECT

acl Safe_ports port 80          # http
acl Safe_ports port 443         # https
acl SSL_ports port 443          # https

http_access deny blacklist
http_access allow manager localhost
http_access deny manager all
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access allow localnet
#----------------------------------------------------------------------

Poner su rango de ip osea la LAN en esta linea:

acl localnet src 192.168.1.0/24    # RFC 1918 possible internal network

desatiba todo los firewall del raptor que esta en el webpanel  y Reinicia

Todo listo.. ya tememos raptor en MODO GATEWAY

Saludos Cordiales quisiera saber si hay algun problema cuando el servicio de internet proviene de un mikrotik con balance de carga pcc
Gracias por su pronta respuesta

[atma]

ejecutar esto:
sh /root/script-parametros.sh

muchhas gracias walyn ya fuinciona : :D que felicidad realmente muchas pero muchas gracias





una ultima pregunta cuando reinicie el servidor raptor de nuevo no tenia internet cuando pongo este comando tengo internet cada que lo reinicie tengo que ponerlo ?

[WALYN]

muchhas gracias walyn ya fuinciona : :D que felicidad realmente muchas pero muchas gracias





una ultima pregunta cuando reinicie el servidor raptor de nuevo no tenia internet cuando pongo este comando tengo internet cada que lo reinicie tengo que ponerlo ?

ES QUE TE FALTO ESTA COFIGURACION:

Ahora  copian y pegan esta linea en el archivo /etc/rc.local antes de exit 0  guarda y sierra  para que inicie con el sistema y con putty ejecútalo para ver si todo salio bien.

Código:
sh /root/script-parametros.sh

chekea con WinSCP y ve si te salio dos bese una con ralla y otra no ej: rc.local_  quita el que tiene la ralla y chekea el paso que te falto..

[WALYN]

Saludos Cordiales quisiera saber si hay algun problema cuando el servicio de internet proviene de un mikrotik con balance de carga pcc
Gracias por su pronta respuesta

en este tema es sin mikrotik...

[kuwox]

Saludos WALYN, espectacular tu tuto, lo aplicamos y todo salió excelente, tuvimos que agregar estas reglas al script de firewall para evitar muchos ataques que teniamos, usamos netstat -anp para auditar un poco las conexiones, soy novato, pero estas reglas nos sirvieron de mucho, si puedes actualizar el tuto y agregarlas sería de gran ayuda para muchos.

Gracias por tu gran aporte.

iptables -A INPUT -i eth0 -p tcp --dport 21 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 23 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 3128 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 8080 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 53 -j DROP
iptables -A INPUT -i eth0 -p udp --dport 53 -j DROP

[WALYN]

Saludos WALYN, espectacular tu tuto, lo aplicamos y todo salió excelente, tuvimos que agregar estas reglas al script de firewall para evitar muchos ataques que teniamos, usamos netstat -anp para auditar un poco las conexiones, soy novato, pero estas reglas nos sirvieron de mucho, si puedes actualizar el tuto y agregarlas sería de gran ayuda para muchos.

Gracias por tu gran aporte.

iptables -A INPUT -i eth0 -p tcp --dport 21 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 23 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 3128 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 8080 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 53 -j DROP
iptables -A INPUT -i eth0 -p udp --dport 53 -j DROP

dame mas detalles..

[lantiano]

yo e usado mikrotik por maso meno 2 años y me di cuenta que era hora de cambiar a algo mejor ya que compre la versión rb450g
pero se saturo pero seguí con una pc preparada para server y instale el mikrotik para pc  pero era crakiado ;D no podía actualizarme
porque se caía pensé comprar la licencia pero si el disco se daña pierde la licencia  :o     pensé adiós mikrotik..
después encontré rapto iban en la versión 1.3,1.4 pero me dio problema me fui para pfsense  que me lo aconsejan pero medio problema bol vi a raptorcache en ese entonces estaba la versión 1.5  pensé poner de otra manera mejor leyendo en este foro encontré el modo que quería en modo gateway lo e probado y tiene muchas ventajas..

Hola solo comentas el por q has puesto en gateway , pero no las ventajas o desventajas.

Creo q una desventaja debe ser el no poder filtrar a los usuarios, ademas de no poder limitar su ancho de banda o si tiene esa opcion ???

[WALYN]

Hola solo comentas el por q has puesto en gateway , pero no las ventajas o desventajas.

Creo q una desventaja debe ser el no poder filtrar a los usuarios, ademas de no poder limitar su ancho de banda o si tiene esa opcion ???

cuando tenia mikrotik controlaba a los clientes..pero medio problema porque meter internet en mikrotik era como si entrara el internet en un laberinto con tantas reglas.. entre meno control mas fluido es el internet si quiere controlar alos clientes si usas ubiquiti haslo por los equipos ubiquiti..y asi usara muchos equipos que teda mas ram, procesador  y mayor estabilidad cada ves que instala un cliente tendrás mas hardwere y no uno solo como mikrotik..

Realmente yo no uso limitaciones a los clientes.. se me a olvidos todo lo que tiene que ver con limitaciones..lo que yo uso es algo mejor que limitar a los clientes pj: si yo tengo 20Mbs de Internet en mi red con 10 clientes los 20Mbs se reparten uniformemente osea que le dará de 2Mbs a cada uno..pero si hay un cliente conectado tendrá los 20Mbs para el solo..el Internet se comparte sin que un cliente se robe todo el Internet.. tenerlo así es ventajoso ya que la mayoría de los clientes descargan de madrugada y así se aprovecha todo el Internet de noche ya que no hay que bajarlo de días donde todos los clientes están.

[lantiano]

Cada quien con su forma de pensar, pero para mi no me hace unos gigas mas de ram si es q eso me ayuda a controlar mas a mis clientes , ten en cuenta q muchas veces los mismos clientes empiezan a snifear con la finalidad de ya no pagar el mes.

Cual es la forma q dices q tienes de asignar un ancho de banda a cada cliente ???

[kuwox]

dame mas detalles..

Me explico un poco, para comenzar, la interfaz que está conectada a la WAN es eth0, por la cual entran los ataques.

Reglas:
iptables -A INPUT -i eth0 -p tcp --dport 21 -j DROP => Toda conexión que quiera entrar por eth0 a través del puerto TCP 21 (FTP) córtelo.
iptables -A INPUT -i eth0 -p tcp --dport 23 -j DROP => Toda conexión que quiera entrar por eth0 a través del puerto TCP 23 (Telnet) córtelo.
iptables -A INPUT -i eth0 -p tcp --dport 3128 -j DROP => Toda conexión que quiera entrar por eth0 a través del puerto TCP 3128 (Proxy Squid) córtelo.
iptables -A INPUT -i eth0 -p tcp --dport 8080 -j DROP => Toda conexión que quiera entrar por eth0 a través del puerto TCP 8080 (HTTP ALTERNATIVO) córtelo.
iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP => Toda conexión que quiera entrar por eth0 a través del puerto TCP 80 (WWW) córtelo.
iptables -A INPUT -i eth0 -p tcp --dport 53 -j DROP => Toda conexión que quiera entrar por eth0 a través del puerto TCP 53 (DNS) córtelo.
iptables -A INPUT -i eth0 -p udp --dport 53 -j DROP Toda conexión que quiera entrar por eth0 a través del puerto UDP 53 (DNS) córtelo.

Esto lo detectamos usando el comando netstat -anp y nos generó una serie de conexiones que entraban usando IPs diferentes a las que nos había asignado nuestro proveedor de internet (ISP).

Por ejemplo, si nuestro ISP nos dio la IP 180.233.32.71 entonces nuestra conexiones correctas para todos los servicios DNS (Puerto 53) por ejemplo tendrian que provenir de nuestra propia IP, es decir 180.233.32.71:53; mas vimos que al usar netstat -anp nos dio muchas conexiones pero usando IP como 80.20.14.23:53 y así muchas otras IPs diferentes a la nuestra.

Un gran saludos a todos los foreros.

[WALYN]

Cada quien con su forma de pensar, pero para mi no me hace unos gigas mas de ram si es q eso me ayuda a controlar mas a mis clientes , ten en cuenta q muchas veces los mismos clientes empiezan a snifear con la finalidad de ya no pagar el mes.

Cual es la forma q dices q tienes de asignar un ancho de banda a cada cliente ???

Cada quien con su forma de pensar, pero para mi no me hace unos gigas mas de ram si es q eso me ayuda a controlar mas a mis clientes:

te esta hablando un experto en redes..yo tengo muchas competencias y me lo estoy comiendo vivo por que no saven como organizar un red esta usando mikrotik..no es que tenga un mikrotik con 20 gb de ran un procesador 3.0  no te lleve de  eso... es la forma de organizar el problema de mikrotik que el internet tiene que pasar por muchas reglas que hace que internet se ponga lento..


Cual es la forma q dices q tienes de asignar un ancho de banda a cada cliente ???

si te refiere el ancho de banda automático lo hago con un balanceador de carga
si te refiere el ancho de banda asignado si lo hiciera lo haria con ubiquiti en modo router..ve a google ..

[WALYN]

Me explico un poco, para comenzar, la interfaz que está conectada a la WAN es eth0, por la cual entran los ataques.

Reglas:
iptables -A INPUT -i eth0 -p tcp --dport 21 -j DROP => Toda conexión que quiera entrar por eth0 a través del puerto TCP 21 (FTP) córtelo.
iptables -A INPUT -i eth0 -p tcp --dport 23 -j DROP => Toda conexión que quiera entrar por eth0 a través del puerto TCP 23 (Telnet) córtelo.
iptables -A INPUT -i eth0 -p tcp --dport 3128 -j DROP => Toda conexión que quiera entrar por eth0 a través del puerto TCP 3128 (Proxy Squid) córtelo.
iptables -A INPUT -i eth0 -p tcp --dport 8080 -j DROP => Toda conexión que quiera entrar por eth0 a través del puerto TCP 8080 (HTTP ALTERNATIVO) córtelo.
iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP => Toda conexión que quiera entrar por eth0 a través del puerto TCP 80 (WWW) córtelo.
iptables -A INPUT -i eth0 -p tcp --dport 53 -j DROP => Toda conexión que quiera entrar por eth0 a través del puerto TCP 53 (DNS) córtelo.
iptables -A INPUT -i eth0 -p udp --dport 53 -j DROP Toda conexión que quiera entrar por eth0 a través del puerto UDP 53 (DNS) córtelo.

Esto lo detectamos usando el comando netstat -anp y nos generó una serie de conexiones que entraban usando IPs diferentes a las que nos había asignado nuestro proveedor de internet (ISP).

Por ejemplo, si nuestro ISP nos dio la IP 180.233.32.71 entonces nuestra conexiones correctas para todos los servicios DNS (Puerto 53) por ejemplo tendrian que provenir de nuestra propia IP, es decir 180.233.32.71:53; mas vimos que al usar netstat -anp nos dio muchas conexiones pero usando IP como 80.20.14.23:53 y así muchas otras IPs diferentes a la nuestra.

Un gran saludos a todos los foreros.

no daria problema a paginas?

[lantiano]

Cada quien con su forma de pensar, pero para mi no me hace unos gigas mas de ram si es q eso me ayuda a controlar mas a mis clientes:

te esta hablando un experto en redes..yo tengo muchas competencias y me lo estoy comiendo vivo por que no saven como organizar un red esta usando mikrotik..no es que tenga un mikrotik con 20 gb de ran un procesador 3.0  no te lleve de  eso... es la forma de organizar el problema de mikrotik que el internet tiene que pasar por muchas reglas que hace que internet se ponga lento..


Cual es la forma q dices q tienes de asignar un ancho de banda a cada cliente ???

si te refiere el ancho de banda automático lo hago con un balanceador de carga
si te refiere el ancho de banda asignado si lo hiciera lo haria con ubiquiti en modo router..ve a google ..

En la respuesta 93 dices esto

"Realmente yo no uso limitaciones a los clientes.. se me a olvidos todo lo que tiene que ver con limitaciones..lo que yo uso es algo mejor que limitar a los clientes pj: si yo tengo 20Mbs de Internet en mi red con 10 clientes los 20Mbs se reparten uniformemente osea que le dará de 2Mbs a cada uno..pero si hay un cliente conectado tendrá los 20Mbs para el solo..el Internet se comparte sin que un cliente se robe todo el Internet."

Ahora te pregunto de q manera lo haces ???

[WALYN]

En la respuesta 93 dices esto

"Realmente yo no uso limitaciones a los clientes.. se me a olvidos todo lo que tiene que ver con limitaciones..lo que yo uso es algo mejor que limitar a los clientes pj: si yo tengo 20Mbs de Internet en mi red con 10 clientes los 20Mbs se reparten uniformemente osea que le dará de 2Mbs a cada uno..pero si hay un cliente conectado tendrá los 20Mbs para el solo..el Internet se comparte sin que un cliente se robe todo el Internet."

Ahora te pregunto de q manera lo haces ???

lo hago con un balanceador de carga bienen con eso..TP-LINK R480T Y PFSENSE Y OTROS
los balanceadores si lo pone en modo sumado las linea el internet se comparte uniformemente..NADIE PUEDE SATURAL LA RED NI CON ACELERADORES.. si quiere pruevalo..los wifero de mi zona le dan a los clientes un magabit eso no silve porque se pierde una gran parte de internet y no se aprovecha pero si suerta el internet todo sera mas rapido porque el internet se aprovecha lo maximo..sin saturarse..