Poni\u017cej przedstawiam instrukcj\u0119 instalacji i konfiguracji serwera Ubuntu do pracy jako router z automatycznym filtrem tre\u015bci stron internetowych. Przyk\u0142adem zastosowania jest usuni\u0119cie mo\u017cliwo\u015bci ogl\u0105dania tre\u015bci pornograficznych na stronach www lub zablokowanie dost\u0119pu do gier online.<\/p>\n
INSTALACJA SYSTEMU<\/strong><\/p>\n – \u015bci\u0105gni\u0119cie najnowszej dystrybucji Ubuntu Server (poni\u017csze instrukcje sprawdzone dla wersji 16.04 – uwaga! tylko aktualne wersje maj\u0105 dzia\u0142aj\u0105ce repozytoria!)<\/p>\n – uruchomienie instalatora z CD lub USB<\/p>\n – wybranie j\u0119zyka, nast\u0119pnie wybranie opcji „Instalacja Ubuntu Server” i potwierdzenie ch\u0119ci instalacji mimo nieuko\u0144czonego t\u0142umaczenia instalatora. apt-get dist-upgrade<\/p><\/blockquote>\n – ponowne uruchomienie komputera – instalacja zako\u0144czona.<\/p>\n PO INSTALACJI – KONFIGURACJA INTERFEJS\u00d3W SIECIOWYCH<\/strong><\/p>\n #ip addr<\/p><\/blockquote>\n Okre\u015bl i zapisz nazwy interfejs\u00f3w i sprawd\u017a kt\u00f3ry zosta\u0142 przypisany do WAN, a kt\u00f3ry do LAN dokonuj\u0105c zapisu:<\/p>\n auto lo # WAN interface przez DHCP # LAN interface statycznie – zapisz plik i zrestartuj komputer<\/p>\n SERWER DHCP i DNS – DNSMASQ #sudo apt-get install dnsmasq<\/p><\/blockquote>\n Edytuj plik \/etc\/dnsmasq.conf do postaci:<\/p>\n domain-needed Nast\u0119pnie edytuj plik \/etc\/dhcp\/dhclient.conf<\/p>\n supersede domain-name „mojadomena.org”; Edytuj plik \/etc\/hosts<\/p>\n #127.0.1.1 mojserwer.mojadomena.org mojserwer #to zakomentowujemy Serwer uruchamiamy<\/p>\n sudo service dnsmasq start<\/p><\/blockquote>\n Teraz nale\u017cy sprawdzi\u0107 czy serwer przydziela prawid\u0142owo adresy IP i inne potrzebne parametry (w windows ipconfig \/all) Je\u015bli nie dzia\u0142a mo\u017ce by\u0107 konieczny restart serwera.<\/p>\n FIREWALL i NAT<\/strong><\/p>\n W pliku \/etc\/sysctl.conf trzeba odkomentowa\u0107 opcj\u0119:<\/p>\n net.ipv4.ip_forward=1<\/p><\/blockquote>\n Utw\u00f3rz plik tekstowy\u00a0 \/etc\/dowolny_katalog\/firewall.sh<\/p>\n W \u015brodku wklej tre\u015b\u0107:<\/p>\n #!\/bin\/bash iptables -P INPUT ACCEPT if [ „`iptables -L | grep droplog`” ]; then # W\u0142\u0105czenie routowania Nadajemy plikowi prawo do wykonania tego pliku:<\/p>\n sudo chmod a+x \/etc\/mojserwer\/testf.sh<\/p><\/blockquote>\n Teraz mo\u017cemy ju\u017c uruchomi\u0107 przygotowany firewall:<\/p>\n sudo sh \/etc\/mojserwer\/testf.sh<\/p><\/blockquote>\n \u2013 i sprawdzi\u0107, czy hosty podpi\u0119te do interfejsu LAN mog\u0105 po\u0142\u0105czy\u0107 si\u0119 z internetem.<\/p>\n Uwaga! Skrypt musi si\u0119 wykona\u0107 bez \u017cadnego b\u0142\u0119du. Je\u015bli masz z tym problem sprawd\u017a czy masz prawid\u0142owe znaki ko\u0144ca linii (edytor vi -> znaki ^M trzeba pousuwa\u0107).<\/p>\n Powy\u017cszy firewall przepuszcza ca\u0142y ruch<\/strong>. Bardziej przydatny skrypt poni\u017cej (uwaga na podw\u00f3jne minusy przy –ctstate, –log-level, –dport, –to-ports, –sport):<\/p>\n Uruchamianie firewall przy starcie systemu:\u00a0 w pliku \/etc\/rc.local dopisujemy:<\/p>\n \/etc\/nazwa_folderu_z_plikiem_firewall\/firewall.sh<\/p><\/blockquote>\n (przed exit 0)<\/p>\n SQUID – SERWER PROXY<\/strong><\/p>\n Komendy po kolei:<\/p>\n sudo apt-get install squid3<\/p>\n sudo mv \/etc\/squid\/squid.conf \/etc\/squid\/squid.conf.org Edytujemy plik \/etc\/squid\/squid.conf – wklejamy poni\u017csze:<\/p>\n acl all src follow_x_forwarded_for allow localhost<\/p>\n http_access allow manager localhost icp_access allow localnet # Normalny proxy # Rozmiar cache’u # Logi # TIMEOUTS Nast\u0119pnie wykonujemy komendy (przygotowanie katalogu cache):<\/p>\n sudo mkdir \/srv\/cache Inicjujemy squida (wy\u015bwietli ewentualne b\u0142\u0119dy w konfiguracji – je\u015bli czysto to jest OK)<\/p>\n sudo squid3 -z<\/p><\/blockquote>\n Poprawiamy ewentualne b\u0142\u0119dy<\/p>\n Zarz\u0105dzanie squidem:<\/p>\n sudo service squid start [restart\/stop]<\/p><\/blockquote>\n Dodajemy do firewall wpis otwieraj\u0105cy port 3128 (na ko\u0144cu pliku)<\/p>\n iptables -A INPUT -i $INTIF -p tcp –dport 3128 -j ACCEPT<\/p><\/blockquote>\n Po restarcie powinni\u015bmy po\u0142\u0105czy\u0107 si\u0119 z internetem przez port 3128 (sprawd\u017a koniecznie czy dzia\u0142a zmieniaj\u0105c ustawienia proxy w przegl\u0105darce – IP LAN serwera i port 3128)<\/p>\n DANSGUARDIAN – FILTROWANIE ZABRONIONEJ TRE\u015aCI sudo apt-get install dansguardian<\/p><\/blockquote>\n W pliku \/etc\/dansguardian\/dansguardian.conf\u00a0\u00a0 zmieniamy:<\/p>\n language = 'polish’ W pliku \/etc\/dansguardian\/dansguardianf1.conf<\/p>\n naughtynesslimit = 150 #ustawienie wra\u017cliwo\u015bci filtra – czym mniej tym wi\u0119ksze restrykcje<\/p><\/blockquote>\n W tym momencie filtr powinien dzia\u0142a\u0107 przy ustawieniu przegl\u0105darki na proxy 8080 – przetestuj koniecznie przed dalszymi krokami!<\/p>\n \u017beby ruch przechodzi\u0142 automatycznie przez filtr bez konieczno\u015bci r\u0119cznej konfiguracji przegl\u0105darki nale\u017cy do firewalla doda\u0107 zapis:<\/p>\n iptables -A INPUT -i $INTIF -p tcp –dport 8080 -j ACCEPT (na ko\u0144cu pliku)<\/p><\/blockquote>\n Pozostaje jedynie zablokowa\u0107 mo\u017cliwo\u015b\u0107 obej\u015bcia filtrowania blokuj\u0105c port 3128 poprzez zmian\u0119 ACCEPT na DROP w iptables -A INPUT -i $INTIF -p tcp –dport 3128 -j DROP #wcze\u015bniej by\u0142o ACCEPT<\/p><\/blockquote>\n Dostrojenia blokowanych tre\u015bci dokonujemy w listach zawartych w katalogu \/etc\/dansguardian\/lists. Ju\u017c na pocz\u0105tku warto zmieni\u0107 ustawienia:<\/p>\n bannedextensionlist \u2013 odblokowa\u0107 (zakomentowa\u0107) rozszerzenia wyst\u0119puj\u0105ce w plikach cz\u0119sto pobieranych z sieci, np.: .exe, .js, .jse, .msi, .doc, .xls, .ppt, .gz, .tgz, .bz2, .zip, .rar, .mp3, .iso, .ogg, .wmf Uruchomienie us\u0142ugi:<\/p>\n sudo service dansguardian start<\/p><\/blockquote>\n Restart po zmianac:<\/p>\n sudo service dansguardian restart<\/p><\/blockquote>\n Dostosowanie wy\u015bwietlanej strony blokady mo\u017cna wykona\u0107 w pliku:<\/p>\n \/etc\/dansguardian\/languages\/polish\/template.html<\/p>\n (standardowy HTML + kilka dodatkowych funkcji opisanych w komentarzu do tego pliku, mo\u017cna wy\u015bwietla\u0107 obrazki z internetu)<\/p>\n Warto wy\u015bwietli\u0107 gdzie\u015b na stronie blokady opcj\u0119 -REASONLOGGED- kt\u00f3ra wy\u015bwietla szczeg\u00f3\u0142owe informacje o powodach blokady, wraz z odnalezionymi wyrazami zabronionymi oraz ich wagami. Obserwacja tej zmiennej pomaga w lepszym dopasowaniu konfiguracji filtrowania do naszych potrzeb. Dansguardian jest doskona\u0142ym programem,ale nale\u017cy pami\u0119ta\u0107, \u017ce nie da si\u0119 ca\u0142kowicie zablokowa\u0107 niechcianej tre\u015bci. Filtr obs\u0142uguje wy\u0142\u0105cznie po\u0142\u0105czenia nieszyfrowane na porcie 80. W przypadku stron HTTPS filtr nie zadzia\u0142a. To samo dotyczy szyfrowanych web proxy.<\/p>\n","protected":false},"excerpt":{"rendered":" Poni\u017cej przedstawiam instrukcj\u0119 instalacji i konfiguracji serwera Ubuntu do pracy jako router z automatycznym filtrem tre\u015bci stron internetowych. Przyk\u0142adem zastosowania jest usuni\u0119cie mo\u017cliwo\u015bci ogl\u0105dania tre\u015bci pornograficznych na stronach www lub zablokowanie dost\u0119pu do gier online. INSTALACJA SYSTEMU – \u015bci\u0105gni\u0119cie najnowszej dystrybucji Ubuntu Server (poni\u017csze instrukcje sprawdzone dla wersji 16.04 – uwaga! tylko aktualne wersje maj\u0105…<\/p>\n","protected":false},"author":1,"featured_media":745,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[4,84,159,161],"tags":[120,115,117,121,118,116,119],"_links":{"self":[{"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/posts\/744"}],"collection":[{"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/kapica.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=744"}],"version-history":[{"count":9,"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/posts\/744\/revisions"}],"predecessor-version":[{"id":747,"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/posts\/744\/revisions\/747"}],"wp:featuredmedia":[{"embeddable":true,"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/media\/745"}],"wp:attachment":[{"href":"http:\/\/kapica.it\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=744"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/kapica.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=744"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/kapica.it\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=744"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n– wyb\u00f3r lokalizacji („Polska”) oraz uk\u0142adu klawiatury (pomijamy wykrywanie, wybieramy kraj i uk\u0142ad „Polski”).
\n– wskazanie podstawowego interfejsu sieciowego, czyli karty sieciowej pod\u0142\u0105czonej do internetu, oraz podanie nazwy serwera. Nazwy wykrytych kart nale\u017cy zapisa\u0107!
\n– utworzenie konta u\u017cytkownika: podanie pe\u0142nej nazwy, loginu oraz dwukrotnie has\u0142a.
\n– odm\u00f3wienie szyfrowania katalogu domowego.
\n– ustawienie strefy czasowej: zatwierdzenie domy\u015blnie wybranej strefy „Europe\/Warsaw”.
\n– przygotowania partycji i zapisanie zmian na dysku (najszybciej automatycznie: „przewodnik – ca\u0142y dysk”).
\n– zainstalowanie pakiet\u00f3w na twardym dysku.
\n– wprowadzenie danych ewentualnego serwera proxy, je\u015bli \u0142\u0105czymy si\u0119 przez niego w sieci.
\n– okre\u015blenie sposobu aktualizacji systemu. Najlepiej „Brak aktualizacji automatycznych”.
\n– wyb\u00f3r zestawu (r\u00f3l) oprogramowania serwerowego. Opr\u00f3cz zaznaczonej opcji wybieramy dodatkowo „OpenSSH Server” (przyda si\u0119 do konfiguracji zdalnej).
\n– zainstalowanie boot mened\u017cera GRUB. Potwierdzamy propozycj\u0119 zainstalowania w MBR (master boot record).
\n– nast\u0105pi ponowne uruchomienie komputera.
\n– dokonujemy aktualizacji ca\u0142ego systemu poprzez<\/p>\n
\nUWAGA NAD UWAGAMI!<\/h3>\n
Je\u017celi cokolwiek skopiujesz z tej strony w Windows i b\u0119dziesz wkleja\u0142 do plik\u00f3w w linuks pojawi si\u0119 problem ze znakami ko\u0144ca linii. Ka\u017cdy plik przygotowany w ten spos\u00f3b trzeba sprawdzi\u0107 w edytorze vi i pousuwa\u0107 na ko\u0144cu linii znaki ^M\u00a0 !!! Bez tego skrypty bash b\u0119d\u0105 wykonywane z b\u0142\u0119dami!<\/h3>\n
Dodatkowowo – wdytor w systemie CMS tej strony zamienia podw\u00f3jne znaki — na pojedyncze. Stara\u0142em si\u0119 to poprawi\u0107, ale mog\u0142em co\u015b jeszcze przeoczy\u0107!<\/h3>\n
\n
\nnast\u0119pnie edytuj plik\u00a0 \/etc\/network\/interfaces<\/p>\n
\niface lo inet loopback<\/p>\n
\nauto eth0
\niface eth0 inet dhcp<\/p>\n
\nauto eth1
\niface eth1 inet static
\naddress 192.168.100.1
\nnetwork 192.168.100.0
\nnetmask 255.255.255.0
\nbroadcast 192.168.100.255
\ndns-nameservers 192.168.100.1
\ndns-search mojadomena.org
\ndns-domain mojadomena.org<\/p><\/blockquote>\n
\n
\n<\/strong><\/p>\n
\nbogus-priv
\nfilterwin2k
\n# nie korzystaj z pliku \/etc\/resolv.conf
\nno-resolv
\n# serwery Open DNS (lub naszego ISP)
\nserver=208.67.222.222
\nserver=208.67.220.220
\n# nasza domena
\nlocal=\/mojadomena.org\/
\n# nas\u0142uchuj na interfejsie – ustaw sw\u00f3j interfejs LAN
\ninterface=eth1
\nexpand-hosts
\ndomain=mojadomena.org
\n# zakres adres\u00f3w
\ndhcp-range=192.168.100.10,192.168.100.200,255.255.255.0,12h
\n# przyk\u0142ad rezerwacji adres\u00f3w sta\u0142ych
\ndhcp-host=00:1E:33:49:0E:C2,stacja1,192.168.19.14,12h
\n# dodatkowe opcje
\ndhcp-option=3,192.168.100.1 # adres routera
\n# Opcje dla Samby w roli PDC je\u017celi korzystamy
\n#dhcp-option=19,0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 # opcja ip-forwarding off
\n#dhcp-option=44,0.0.0.0\u00a0\u00a0\u00a0\u00a0 # WINS server(s)
\n#dhcp-option=45,0.0.0.0\u00a0\u00a0\u00a0\u00a0 # netbios datagram distribution server
\n#dhcp-option=46,8\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 # netbios node type (hybrid)
\ndhcp-option=vendor:MSFT,2,1i # zwalnianie przydzielonego adresu DHCP
\n# serwer autorytatywny
\ndhcp-authoritative
\ncache-size=200<\/p><\/blockquote>\n
\nprepend domain-name-servers 127.0.0.1;<\/p><\/blockquote>\n
\n192.168.100.1 mojserwer.mojadomena.org mojserwer<\/p><\/blockquote>\n
\n
\nINTIF=”eth1″
\nINTNET=”192.168.100.0\/24″
\nINTIP=”192.168.100.254″
\nEXTIF=”eth0″
\nEXTIP=”`\/sbin\/ifconfig $EXTIF | grep 'inet addr’ | awk '{print $2}’ | sed -e 's\/.*:\/\/’`”
\nUNIVERSE=”0.0.0.0\/0″<\/p>\n
\niptables -F INPUT
\niptables -P OUTPUT ACCEPT
\niptables -F OUTPUT
\niptables -P FORWARD ACCEPT
\niptables -F FORWARD
\niptables -F -t nat<\/p>\n
\niptables -F droplog
\nfi
\niptables -X
\niptables -Z<\/p>\n
\niptables -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE
\niptables -A FORWARD -i $EXTIF -o $INTIF -m conntrack —ctstate ESTABLISHED,RELATED -j ACCEPT<\/p><\/blockquote>\n\n
#!\/bin\/bash\r\necho -e \"Regu\u0142y iptables...\\n\\n\"\r\n# Nazwa interfejsu LAN, adres sieci LAN i adres IP interfejsu LAN\r\nINTIF=\"eth1\" \r\nINTNET=\"192.168.100.0\/24\"\r\nINTIP=\"192.168.100.1\"\r\n# Nazwa interfejsu WAN i jego adres IP\r\nEXTIF=\"eth0\"\r\nEXTIP=\"`\/sbin\/ifconfig $EXTIF | grep 'inet addr' | awk '{print $2}' | sed -e 's\/.*:\/\/'`\"\r\n\r\nUNIVERSE=\"0.0.0.0\/0\"\r\n\r\n# Odkomentowana opcja w \/etc\/sysctl.conf, wi\u0119c tu mo\u017ce by\u0107 zakomentowane\r\n#echo 1 > \/proc\/sys\/net\/ipv4\/ip_forward\r\n\r\n# Wyczyszczenie wszystkich \u0142a\u0144cuch\u00f3w i regu\u0142, okre\u015blenie domy\u015blnej polityki odrzucania pakiet\u00f3w (DROP).\r\niptables -P INPUT DROP\r\niptables -F INPUT\r\niptables -P OUTPUT DROP\r\niptables -F OUTPUT\r\niptables -P FORWARD DROP\r\niptables -F FORWARD\r\niptables -F -t nat\r\nif [ \"`iptables -L | grep drop-and-log-it`\" ]; then\r\n iptables -F drop-and-log-it\r\nfi\r\niptables -X\r\niptables -Z\r\n\r\n# Utworzenie \u0142a\u0144cucha drop-and-log-it.\r\niptables -N drop-and-log-it\r\niptables -A drop-and-log-it -j LOG --log-level info\r\niptables -A drop-and-log-it -j REJECT\r\n\r\n# Regu\u0142y INPUT\r\n# Wszystkie po\u0142\u0105czenia z localhost\r\n iptables -A INPUT -i lo -j ACCEPT\r\n# Odrzucenie po\u0142\u0105cze\u0144 podszywaj\u0105cych si\u0119 pod lokalne\r\n iptables -A INPUT -i $EXTIF -s $INTNET -d $UNIVERSE -j drop-and-log-it\r\n# Protok\u00f3\u0142 ICMP\r\n iptables -A INPUT -i $INTIF -p icmp -s $INTNET -d $UNIVERSE -j ACCEPT\r\n iptables -A INPUT -i $EXTIF -p icmp -s $UNIVERSE -d $EXTIP -j ACCEPT\r\n# Po\u0142\u0105czenia zwrotne do serwera maskarady na interfejsie LAN\r\n iptables -A INPUT -i $INTIF -s $INTNET -d $INTIP -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT\r\n# Komunikaty ICMP: ping i echo\r\n iptables -A INPUT -i $INTIF -p tcp -s $INTNET -d $UNIVERSE --dport 7 -j ACCEPT\r\n iptables -A INPUT -i $INTIF -p udp -s $INTNET -d $UNIVERSE --dport 7 -j ACCEPT\r\n# Zapytania DNS\r\n iptables -A INPUT -i $INTIF -p tcp -s $INTNET -d $UNIVERSE --dport 53 -j ACCEPT\r\n iptables -A INPUT -i $INTIF -p udp -s $INTNET -d $UNIVERSE --dport 53 -j ACCEPT\r\n# Zapytania DHCP\r\n iptables -A INPUT -i $INTIF -p udp --dport 67 -j ACCEPT\r\n# Us\u0142ugi Samby (je\u017celi korzystamy, odkomentowa\u0107)\r\n# iptables -A INPUT -i $INTIF -p tcp -s $INTNET -d $UNIVERSE --dport 135 -j ACCEPT\r\n# iptables -A INPUT -i $INTIF -p tcp -s $INTNET -d $UNIVERSE --dport 139 -j ACCEPT\r\n# iptables -A INPUT -i $INTIF -p tcp -s $INTNET -d $UNIVERSE --dport 445 -j ACCEPT\r\n# iptables -A INPUT -i $INTIF -p udp -s $INTNET -d $UNIVERSE --dport 137 -j ACCEPT\r\n# iptables -A INPUT -i $INTIF -p udp -s $INTNET -d $UNIVERSE --dport 138 -j ACCEPT\r\n# Protok\u00f3\u0142 SSH\r\n iptables -A INPUT -i $INTIF -p tcp -s $INTNET -d $UNIVERSE --dport 22 -j ACCEPT\r\n\r\n# Serwer proxy Squid na interfejsie LAN, port 3128\r\n# iptables -A INPUT -i $INTIF -p tcp --dport 3128 -j ACCEPT\r\n\r\n# Squid3 transparent bez Dansguardiana\r\n# iptables -t nat -A PREROUTING -i $INTIF -p tcp --dport 80 -j REDIRECT --to-ports 3128\r\n\r\n# Dansguardian + Squid3 transparent proxy\r\n iptables -A INPUT -i $INTIF -p tcp --dport 8080 -j ACCEPT\r\n iptables -t nat -A PREROUTING -i $INTIF -p tcp --dport 80 -j REDIRECT --to-ports 8080\r\n\r\n# Po\u0142\u0105czenia przychodz\u0105ce na interfejs WAN\r\n# Po\u0142\u0105czenia zwrotne do serwera maskarady na interfejsie WAN\r\n iptables -A INPUT -i $EXTIF -s $UNIVERSE -d $EXTIP -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT\r\n# Komunikaty ICMP: ping i echo.\r\n iptables -A INPUT -i $EXTIF -p tcp -s $UNIVERSE -d $EXTIP --dport 7 -j ACCEPT\r\n iptables -A INPUT -i $EXTIF -p udp -s $UNIVERSE -d $EXTIP --dport 7 -j ACCEPT\r\n\r\n# Odrzucanie i logowanie wszystkich innych po\u0142\u0105cze\u0144 przychodz\u0105cych\r\n iptables -A INPUT -s $UNIVERSE -d $UNIVERSE -j drop-and-log-it\r\n\r\n# Regu\u0142y OUTPUT\r\n# Odrzucanie po\u0142\u0105cze\u0144 do sieci LAN z WAN\r\n iptables -A OUTPUT -o $EXTIF -s $UNIVERSE -d $INTNET -j drop-and-log-it\r\n# Wszystkie po\u0142\u0105czenia localhost\r\n iptables -A OUTPUT -o lo -j ACCEPT\r\n# Zezwolenie dla LAN\r\n iptables -A OUTPUT -o $INTIF -d $INTNET -j ACCEPT\r\n# Zezwolenie na DHCP reply typu broadcast - dla MS Visty\r\n iptables -A OUTPUT -o $INTIF -p udp -s $INTIP --sport 67 -d $UNIVERSE --dport 68 -j ACCEPT\r\n# Zezwolenie dla WAN\r\n iptables -A OUTPUT -o $EXTIF -j ACCEPT\r\n\r\n# Odrzucanie i logowanie wszystkie innych po\u0142\u0105cze\u0144 wychodz\u0105cych\r\n iptables -A OUTPUT -s $UNIVERSE -d $UNIVERSE -j drop-and-log-it\r\n\r\n# FORWARD: W\u0142\u0105czenie routowania, tj. us\u0142ugi NAT, zwanej maskarad\u0105, czyli IMPASQ.\r\n# Routing na interfejsie WAN\r\n iptables -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE\r\n# Routowanie ustanowionych po\u0142\u0105cze\u0144\r\n iptables -A FORWARD -i $EXTIF -o $INTIF -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT\r\n\r\n# Odblokowanie poszczeg\u00f3lnych us\u0142ug\r\n# Protok\u00f3\u0142 ICMP\r\n iptables -A FORWARD -i $INTIF -p icmp -j ACCEPT\r\n# Porty wysokie\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 1024:65535 -j ACCEPT\r\n iptables -A FORWARD -i $INTIF -p udp --dport 1024:65535 -j ACCEPT\r\n# Komunikaty ICMP: ping, echo\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 7 -j ACCEPT\r\n iptables -A FORWARD -i $INTIF -p udp --dport 7 -j ACCEPT\r\n# Us\u0142uga DNS\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 53 -j ACCEPT\r\n iptables -A FORWARD -i $INTIF -p udp --dport 53 -j ACCEPT\r\n# Protok\u00f3\u0142 SSH\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 22 -j ACCEPT\r\n iptables -A FORWARD -i $INTIF -p udp --dport 22 -j ACCEPT\r\n\r\n# HTTP-FORWARD-OK\r\n# HTTP -- je\u017celi nie korzystamy ze squida i dansguardiana, trzeba odkomentowa\u0107:\r\n# iptables -A FORWARD -i $INTIF -p tcp --dport 80 -j ACCEPT\r\n# iptables -A FORWARD -i $INTIF -p udp --dport 80 -j ACCEPT\r\n\r\n# HTTPS\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 443 -j ACCEPT\r\n iptables -A FORWARD -i $INTIF -p udp --dport 443 -j ACCEPT\r\n# FTP\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 20:21 -j ACCEPT\r\n iptables -A FORWARD -i $INTIF -p udp --dport 21 -j ACCEPT\r\n# Poczta: smtp, pop3, imap, legacy secure SMTP, smtp Submission, imap ssl, pop3s\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 25 -j ACCEPT\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 110 -j ACCEPT\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 143 -j ACCEPT\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 465 -j ACCEPT\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 587 -j ACCEPT\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 993 -j ACCEPT\r\n iptables -A FORWARD -i $INTIF -p tcp --dport 995 -j ACCEPT\r\n\r\n# Odrzucanie i logowanie wszystkich pozosta\u0142ych po\u0142\u0105cze\u0144.\r\n iptables -A FORWARD -j drop-and-log-it\r\n\r\necho -e \"Zako\u0144czono!\\n\\n\"<\/pre>\n<\/blockquote>\n
\n
\nsudo touch \/etc\/squid\/squid.conf<\/p><\/blockquote>\n
\nacl manager proto cache_object
\n#acl localhost src 127.0.0.1\/32 ::1
\n#acl to_localhost dst 127.0.0.0\/8 0.0.0.0\/32 ::1
\nacl localnet src 192.168.100.0\/24 #Opis sieci LAN
\nacl LAN src 192.168.100.0\/24 #Opis sieci LAN
\nacl safeports port 21 70 80 210 280 443 488 563 591 631 777 873 901 81 3128 1025-65535
\nacl sslports port 443 563 81 873 2087 10000
\nacl purge method PURGE
\nacl connect method CONNECT<\/p>\n
\nhttp_access deny manager
\nhttp_access allow purge localhost
\nhttp_access deny purge
\nhttp_access deny !safeports
\nhttp_access deny CONNECT !sslports
\nhttp_access allow localhost
\nhttp_access allow localnet
\nhttp_access allow LAN
\nhttp_access deny all<\/p>\n
\nicp_access deny all<\/p>\n
\nhttp_port 3128<\/p>\n
\ncache_mem 256 MB # rozmiar dodatkowej(!) pami\u0119ci dla squida
\nmaximum_object_size_in_memory 512 KB
\nmemory_replacement_policy heap GDSF
\ncache_replacement_policy heap LFUDA
\ncache_dir aufs \/srv\/cache 8000 14 256
\nmaximum_object_size 16 MB
\ncache_swap_low 93
\ncache_swap_high 97<\/p>\n
\naccess_log \/var\/log\/squid3\/access.log
\ncache_log\u00a0 \/var\/log\/squid3\/cache.log
\ncache_store_log none
\nlogfile_rotate 5
\nlog_icp_queries off<\/p>\n
\nforward_timeout 240 second
\nconnect_timeout 30 second
\npeer_connect_timeout 5 second
\nread_timeout 600 second
\nrequest_timeout 60 second
\nshutdown_lifetime 10 second<\/p><\/blockquote>\n
\nsudo chmod 777 \/srv\/cache\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 # uprawnienia do zapisu
\nsudo chown proxy:proxy \/srv\/cache # ustawienia w\u0142a\u015bciciela i grupy<\/p><\/blockquote>\n
\n
\n<\/strong><\/p>\n
\nfilterip =192.168.100.1 #ip, na kt\u00f3rym ma nas\u0142uchiwa\u0107 dansguardian czyli nasz LAN
\n# zakomentowujemy lini\u0119 zaczynaj\u0105c\u0105 si\u0119:
\n#accessdeniedaddress = 'http:\/\/YOURSERVER.YOURDOMAIN…’
\nforwardedfor = on<\/p><\/blockquote>\n
\niptables -t nat -A PREROUTING -i $INTIF -p tcp –dport 80 -j REDIRECT –to-ports 8080<\/p>\n
\npliku firewall<\/p>\n
\nbannedmimetypelist \u2013 odblokowa\u0107 (zakomentowa\u0107) zawarto\u015b\u0107 archiw\u00f3w: application\/gzip, #application\/x-gzip, application\/zip
\nbannedsitelist \u2013 tu dopisujemy strony, kt\u00f3re chcemy w ca\u0142o\u015bci zablokowa\u0107, np.: facebook.com
\nbannedurllist \u2013 strony, kt\u00f3re chcemy zablokowa\u0107 cz\u0119\u015bciowo, np.: members.home.net\/uporn
\nexceptionfilesitelist \u2013 strony, z kt\u00f3rych mo\u017cna pobiera\u0107 pliki, np. serwery obs\u0142uguj\u0105ce aktualizacje Windows: windowsupdate.microsoft.com, download.windowsupdate.com itp.
\nexceptioniplist \u2013 tu mo\u017cna dopisa\u0107 adresy IP komputer\u00f3w z sieci LAN, kt\u00f3rych nie nale\u017cy filtrowa\u0107, np. komputery z ksi\u0119gowo\u015bci itp.
\nexceptionsitelist \u2013 strony, na kt\u00f3re w ca\u0142o\u015bci zezwalamy, np.: update.microsoft.com, watson.microsoft.com, archive.ubuntu.com, ftp.pl.debian.org, archlinux.org
\ngreysitelist \u2013 w listach „grey” wpisujemy strony, dla kt\u00f3rych wy\u0142\u0105czamy filtrowanie URL, ale zachowujemy filtrowanie tre\u015bci, czyli mo\u017cna je przegl\u0105da\u0107 pod warunkiem, \u017ce dany zas\u00f3b nie zawiera czego\u015b niedozwolonych, np.: wp.pl, onet.pl, interia.pl, gazeta.pl<\/p>\n