Konfiguracja routeraBudowa własnego routera ze starych niepotrzebnych części to spora oszczędność w porównaniu z kupnem gotowego rozwiązania, np. firmy Linksys. Największą zaletą takiej decyzji jest niemal całkowita kontrola nad połączeniem. Pozostałe możliwości są zależne tylko od naszej wyobraźni. W tym tekście omówimy konfigurowanie translacji adresów (NAT) na routerze (jądro oraz iptables), dodawanie i konfigurację podstawowych usług (serwer nazw (DNS) przez dnsmasq, dhcp przez dhcpd, ADSL przez ppp), a zakończymy na bardziej wyszukanych i dających więcej satysfakcji usługach jak przekazywanie portów, kształtowanie ruchu, serwery proxy/cachowanie, itp. Jest kilka podstawowych wymagań jakie trzeba poznać przed rozpoczęciem pracy. Po pierwsze potrzebny będzie komputer z co najmniej dwiema kartami sieciowymi. Do tego przyda się znajomość ustawień połączenia sieciowego (IP, DNS, adres bramy, nazwa użytkownika i hasło). Niezbędna jest również odrobina wolnego czasu i zamiłowanie do Gentoo. Konwencje użyte w tekście:
Jądro powinno posiadać sterowniki dla wszystkich używanych kart sieciowych. W celu sprawdzenia czy odpowiednie sterowniki są włączone należy wykonać polecenie ifconfig. Jego wynik może nieco różnić się od tego podanego poniżej, nie jest to jednak wielkim problemem. Najważniejsze, że wyświetlą się interfejsy.
Jeśli nie pojawią się interfejsy obu kart sieciowych i nie jest się pewnym jakie to są karty, warto uruchomić program lspci | grep Ethernet (instalowany poleceniem emerge pciutils). Potem należy przejść do konfiguracji jądra i dodać obsługę odpowiedniego sterownika. Kolejne niezbędne moduły to obsługa iptables i NAT oraz - opcjonalnie - kształtowania ruchu. Na liście poniżej znajdują się opcje wymagane (*), zalecane (x) oraz dotyczące kształtowania ruchu (s). Bez znaczenia jest fakt, czy wbudujemy je na stałe czy też zbudujemy w postaci modułów. Jeśli jakiś moduł będzie potrzebny to powinien zostać załadowany automatycznie. Sprawdzanie czy wszystko co potrzebne się ładuje pozostawiamy jako rozrywkę dla czytelnika.
Istnieje wiele różnych sposobów na łączenie się z Internetem, zajmiemy się jednak tylko tym, na którym znam się najlepiej, czyli ADSL (PPPoE). Jeśli ktoś posiada rozsądny opis związany z innymi typami połączeń może mi go podesłać. Niektóre akapity mogą nie dotyczyć określonej sytuacji, należy je wtedy po prostu pominąć. W tym rozdziale opowiemy o podłączaniu routera do Internetu poprzez interfejs eth1. Całe oprogramowanie dla PPPoE, które kiedyś znajdowało się w pakiecie rp-pppoe Roaring Penguin zostało zintegrowane do standardowego pakietu PPP. Jego instalacja w Gentoo odbywa się za pomocą polecenia emerge ppp. Na początku dokumentu wspominaliśmy o nazwie użytkownika i haśle, należy je umieścić w pliku /etc/conf.d/net.
Modem kablowy i dynamiczne/statyczne IP Posiadacze statycznych adresów IP potrzebują paru informacji więcej niż użytkownicy adresów przydzielanych dynamicznie. Będą im potrzebne następujące dane: adres IP, adres bramki i adresy serwerów DNS.
I na tym kończą się nasze przygotowania. Czynności opisane w tym akapicie w porównaniu z tymi z poprzedniej części są banalnie proste do przeprowadzenia.
Byłoby miło gdyby użytkownicy sieci mieli wszystko automatycznie konfigurowane zaraz po włączeniu komputera bez potrzeby jakiejkolwiek ingerencji z ich strony. Nie musieliby pamiętać tych wszystkich liczb ani gubić się w zakręconych plikach konfiguracyjnych. Życie byłoby wtedy znacznie prostsze i piękniejsze. I właśnie taki stan powszechnej szczęśliwości może nam zapewnić serwer DHCP. DHCP to protokół umożliwiający dynamiczną i w pełni automatyczną konfigurację innych komputerów. Wystarczy uruchomić na routerze serwer DHCP (dhcpd), podać mu wszystkie informacje o potencjalnych klientach (adresy IP, adresy serwerów DNS, bram sieciowych itp.), a komputer podłączony do serwera zostanie dobrze skonfigurowany już przy starcie systemu. Więcej informacji o DHCP znajduje się w Wikipedii. Skorzystamy z pakietu o nazwie dnsmasq, który zawiera w sobie usługi DHCP i DNS. Teraz skupimy się na usłudze DHCP. Informacje o tym jak uruchomić inny serwer DHCP znajdują się w akapicie zatytułowanym "Zabawki". Lektura komentarzy z pliku /etc/dnsmasq.conf może pomóc w majstrowaniu przy serwerze DHCP, aby lepiej go dostosować do konkretnych potrzeb. Domyślna konfiguracja powinna zadowolić większość osób.
I tak nasz mały router stał się najprawdziwszym serwerem DHCP! Teraz wystarczy podłączyć komputery do sieci i sprawdzić czy wszystko działa jak należy. Jeśli chodzi o systemy Windows to musimy przejść do właściwości protokołu TCP/IP i zaznaczyć tam opcję 'Pobierz adresy serwerów DNS automatycznie'. Czasami zmiany nie są wczytywane automatycznie i natychmiastowo, dlatego konieczne może okazać się przejście do wiersza poleceń i wpisanie tam poleceń ipconfig /release oraz ipconfig /renew. To tyle o Windowsie - wracamy do Gentoo. Ludzie nie lubią zapamiętywać liczb, znacznie lepiej przyswajają zwykłe nazwy, dlatego łatwiej zapamiętać adres ebay.com niż 66.135.192.8. W związku z tym istnieje zapotrzebowanie na coś takiego jak serwer DNS. Serwery DNS znajdują się w całym Internecie, a ich zadaniem jest zwracanie ciągu '66.135.192.87' za każdym razem gdy ktoś będzie chciał odwiedzić stronę ebay.com. Więcej informacji o DNS można znaleźć w Wikipedii. W związku z tym, że korzystamy z dnsmasq jako serwera DHCP i zawiera on w sobie również DNS, nic nie musimy tu ustawiać. Nasz router już zapewnia obie usługi wszystkim połączonym z nim komputerom. Oczywiście można wybrać inny serwer DNS jeśli ma się taką potrzebę. W tym momencie użytkownicy naszej sieci mogą komunikować się między sobą oraz przeszukiwać bazę domen, ale wciąż tak naprawdę nie mogą swobodnie łączyć się z Internetem. Administrator może być z tego powodu zadowolony (bo ma nieobciążone łącze), ale użytkownicy na pewno zbyt długo takiego stanu rzeczy nie będą znosić. W celu umożliwienia użytkownikom prywatnego LAN-u łączenia się z Internetem musimy skonfigurować NAT. Rozwiązanie to przydaje się zwłaszcza wtedy, gdy mamy do dyspozycji tylko jeden zewnętrzny adres IP (co jest bardzo częstym przypadkiem u wielu ISP), a chcemy podłączyć do Internetu komputery w całym domu. Więcej informacji o NAT można znaleźć w Wikipedii.
Po wykonaniu powyższych poleceń komputery z naszej małej sieci powinny mieć dostęp do Internetu równie swobodny, jak gdyby były podłączone do niego bezpośrednio. Opcja ip_dynaddr jest potrzebna do wyboru systemu dial on demand, gdy provider nie zapewnia stałego adresu. Pozwala to na obejście problemu gdy połączenie jest inicjowane przed pełnym skonfigurowaniem interfejsu. Pozwala to na ułatwienie życia osobom korzystającym z sieci za pomocą routera. 6. Zabawki (coś na długie deszczowe dni) Wierzycie czy nie - to już wszystko. Teraz zajmiemy się dodatkowymi gadżetami, które na pewno zainteresują wiele osób. Wszystkie są całkowicie opcjonalne. Czasem zachodzi potrzeba uruchomienia jakichś usług na komputerze znajdującym się za routerem lub też umożliwienie zdalnego do niego połączenia. Może chodzić np. o uruchomienie na jednym lub kilku komputerach za NAT-em serwera FTP, HTTP, SSH lub VNC. Jedynym ograniczeniem wtedy jest to, że można mieć tylko jedną taką usługę na każdym porcie naszego routera. Na przykład nie ma możliwości przekazywania połączeń na trzy serwery FTP za routerem i łączenia się przez nie poprzez port 21. Jeśli jednak to konieczne, zawsze można uruchomić pozostałe na innych portach - np. 123 czy 567. Każda regułka dla przekazywania portów ma postać iptables -t nat -A PREROUTING [-p protokół] --dport [zewnętrzny port na routerze] -i ${WAN} -j DNAT -to [ip/port na które chcemy przekazywać]. Iptables nie akceptuje nazw stacji roboczych, nie trzeba też podawać portu docelowego na wewnętrznym komputerze. Zawsze jest to ten sam port co na komputerze przekierowującym. Więcej informacji na ten temat znajduje się w man iptables.
Usługa ident jest bardzo silnie wykorzystywana przez IRC. Teraz, gdy użytkownicy sieci znaleźli się za routerem należy zapewnić identyfikację zarówno im jak i naszemu routerowi. Jednym z serwerów stworzonych w tym celu jest midentd.
W Portage znajduje się jeszcze kilka innych serwerów tego typu. Zależnie od potrzeb warto zwrócić uwagę na oidentd lub fakeidentd. Prawidłowe ustawienie czasu na serwerze również może dać nam wiele korzyści. Jednym ze sposobów osiągnięcia tego może być sieciowy protokół czasu (NTP), z którego można zacząć korzystać po zainstalowaniu pakietu ntp, zawierającego zarówno serwer jak i program kliencki. Większość ludzi uruchamia na swoich komputerach tylko program kliencki ntp. Oczywiście, im więcej klientów na świecie, tym większe obciążenie serwery ntp muszą wytrzymać. W warunkach domowych możemy trochę odciążyć publiczne serwery, samodzielnie dostarczając aktualny czas do wszystkich naszych komputerów. Dodatkową korzyścią może być również to, że aktualizacje czasu będą w tym przypadku znacznie szybsze. Wszystko co musimy zrobić to uruchomić na naszym routerze serwer czasu, który będzie się synchronizował z publicznymi serwerami w Internecie, jednocześnie dostarczając poprawny czas do reszty naszych komputerów. Pierwsze polecenie jakie należy wykonać to emerge ntp na routerze.
Następnie na wszystkich komputerach należących do sieci należy wykonać polecenie emerge ntp. Ich konfiguracja będzie znacznie prostsza.
Osoby posiadające wiele komputerów z Gentoo w obrębie jednego LAN-u z pewnością wolą pobrać jeden obraz drzewa Portage z Internetu i później udostępnić go dla innych komputerów niż uruchamiać polecenie emerge sync osobno na każdym z nich. Pozwala to zmniejszyć zarówno obciążenie serwerów rsync Gentoo jak i lokalnych komputerów. Konfiguracja jest stosunkowo prosta.
W związku z tym, że każdy komputer z Gentoo musi mieć zainstalowany program rsync, nie ma potrzeby go teraz instalować. Wystarczy wyedytować domyślny plik konfiguracyjny /etc/rsyncd.conf odkomentowując w nim część [gentoo-portage] i dodać opcję address. Pozostałe domyślne ustawienia nie wymagają poprawek.
Następnie należy uruchomić odpowiednią usługę (przypominamy, ustawienia domyślne są w porządku).
Na koniec konfigurujemy pozostałe komputery tak, aby korzystały z naszego routera jako domyślnego serwera Rsync.
Czasami miło jest uruchomić na routerze własny prosty serwer poczty (SMTP). Ja go uruchomiłem, aby użytkownicy widzieli swoje maile jako wysłane natychmiastowo i aby cała praca nad ponownym przesyłaniem czy routowaniem została przeniesiona na serwer pocztowy. Warto zwrócić uwagę, że niektórzy usługodawcy Internetowi nie pozwalają na przekazywanie poczty dla kont, które nie są częścią ich sieci (np. Verizon). Wartościową opcją jest możliwość kontrolowania wielkości przesyłanych załączników tak, aby zbyt duże pliki nie blokowały łącza.
Osobiście jestem wielkim fanem programu qmail, ale jego wybór nie jest tu obowiązkowy i można swobodnie wybrać inny MTA. Podczas konfiguracji poczty należy ustawić jako serwer adres 192.168.1.0 i wszystko powinno działać prawidłowo. Więcej informacji na ten temat znajduje się na stronie domowej projektu netqmail. Wcześniej skorzystaliśmy z pakietu dnsmasq jako źródła usługi DHCP w naszej sieci. Dla ludzi, którzy opiekują się małymi LAN-ami jest to wystarczające rozwiązanie. Niektórzy jednak mogą być bardziej wymagający i zapragną bardziej wyszukanych możliwości. Takim osobom polecam serwer DHCP z krwi i kości, stworzony przez ISC.
Jest to minimalna konfiguracja spełniająca te same funkcje co przedstawiony wyżej dnsmasq. W związku z tym, że zmieniliśmy pakiet, który będzie spełniał funkcje serwera DHCP, musimy wyłączyć taką możliwość dla dnsmasq. W tym celu wystarczy zakomentować wpis dhcp-range w pliku /etc/dnsmasq.conf i ponownie uruchomić usługę. Podłączanie drugiego LAN-u (lub nawet kilku)) Czasem pojawia się potrzeba podłączenia do routera drugiej sieci LAN. Przyczyny tego mogą być różne, a sama procedura jest dość prosta. W poniższym przykładzie zakładamy, że LAN zostanie podłączony za pomocą trzeciej karty sieciowej, eth2. Przede wszystkim należy skonfigurować interfejs. Informacje na ten temat znajdują się w listingu 4.1, wystarczy zastąpić tam eth0 przez eth2, a zamiast 192.168.0 wpisać 192.168.1. Następnie należy dokonfigurować dnsmasq, dodając do niego informacje o nowym interfejsie. W tym celu edytujemy plik /etc/conf.d/dnsmasq po raz kolejny i dodajemy linię -i eth2 do zmiennej DNSMASQ_OPTS - możliwe jest użycie kilku parametrów -i. Później edytujemy /etc/dnsmasq.conf i dodajemy kolejną linię z zakresem adresów IP, podobną do tej z listingu 5.1. Posiadanie kilku linii tego typu nie stanowi żadnego problemu. Na koniec przeglądamy listing 5.2 i duplikujemy wpisy z -i ${LAN}. Można również zastosować do tego celu drugą zmienną, np. LAN2, żeby trochę uprościć konfigurację. W przypadku problemów z komunikacją pomiędzy komputerami warto skorzystać z następujących, znajdujących się w kategorii net-analyzer drzewa Portage, narzędzi:
Pierwsze uruchomienie skryptu startowego init.d dla dhcp może się nie udać, w dodatku nie informując co poszło nie tak.
Aby rozwiązać ten problem, wystarczy wiedzieć gdzie dhcpd wysyła komunikaty o błędach. Wystarczy przejść do /var/log i poczytać logi. W związku z tym, że nazwa pliku z logiem jest różna w zależności od programu logującego działającego na komputerze, radzimy uruchomić grep -Rl dhcpd /var/log, aby odnaleźć właściwą lokację. Błąd ten zwykle jest spowodowany literówką w pliku konfiguracyjnym. Można uruchomić dhcpd -d -f (debug, praca w tle) i sprawdzić na czym dokładnie usługa się psuje. W przypadku dziwnych błędów (np. gdy tylko niektóre strony się wczytują) warto sprawdzić czy nie wystąpił problem z wielkością MTU. Szybki sposób na sprawdzenie tego to wykonanie następującego polecenia:
Będzie to miało wpływ tylko na nowe połączenia, dlatego należy odświeżyć strony, które wcześniej się nie ładowały w celu przetestowania nowych ustawień. W naprawie może pomóc informacja, że standardowa wartość MTU dla połączenia do 100 Mbit to 1492 Więcej informacji znajduje się w 15 rozdziale tekstu Linux Advanced Routing & Traffic Control HOWTO. Nie daje się połączyć dwóch komputerów bezpośrednio Jeśli komputery mają być połączone bezpośrednio, czyli bez udziału huba lub switcha, zwykły kabel sieciowy nie zadziała jeśli nie ma się specjalnego urządzenia (Auto MDI/MDX), które samo wykrywa rodzaj kabla. Konieczne wtedy będzie skorzystanie ze specjalnego rodzaju skrętki nazywanej skrosowaną. Więcej informacji na jej temat znajduje się w Wikipedii. Na koniec warto jeszcze wspomnieć, że wszystkie problemy z przeprowadzaniem czynności opisanych w tym tekście można zgłaszać bezpośrednio do mnie lub do naszego systemu raportowania błędów, Gentoo Bugzilla. Należy również o wszelkie dodatkowe informacje i sugestie dotyczące tego tekstu. Zawartość tego dokumentu jest rozpowszechniana na podstawie licencji Creative Commons - Attribution / Share Alike. |
|
