Последняя версия полного пакета
добавлены все изменения последних пакетов RPM

Новая версия базовой части
введена возможность использовать как маскарад так и НАТ
произведена ревизия по производительности

Добавлена статистика по посещению WWW сайтов клиентами

Базовый модуль: v 1.0.8-02
+Добавлена статистика по WWW заносимая в БД
+Добавлен автоматический балансир по внутренней очереди для предотвращения переполнения очереди пакетов
*Исправлен баг по отключению и включению пользователей

# Определение в каком режиме будет запущена система Traffpro: # для запуска в фоновом режиме true, запускается в режиме демона. # false запускается в режиме обычного консольного приложения # По умолчанию во время установки, ставится в режиме true, режим false # используется для отладки. daemon=true # Адрес базы данных, по умолчанию ставится localhost. # При распределенном учете, можно указать удаленный сервер баз данных. # например 192.168.1.100, это если у вас два шлюза для выхода в интернет. db_url=localhost # Имя пользователя базы данных mysql. # По умолчанию, это root. Рекомендуется создать отдельного пользователя. db_usr=root # Пароль на доступ к системе для пользователя db_usr # По умолчанию при установке система, оставляет пустым. db_passwd= # Имя базы данных к которой подключается система. # При смене, имени базы данных учтите ее при обновлениях. db_name=office # Время ожидания перед получением и отправкой данных в базу данных time_out=10 #время ожидания перед получением и отправкой данных в базу данных time_out=360 # Включение/отключение контроля MAC адресов для клиентов true/false # Рекомендуется включить этот параметр, так как это повысит надежность учета. # Определить mac через терминал можно так: arp, nmap. control_eth_addr=false # Номер шлюза сети (применяется при распределённом # учёте трафика, при единственном шлюзе устанавливается в ноль 0) net_number=0 # Детализация по портам (в случае false ограничение по портам # сохраняется но лог ведётся общий по всем портам) ports_detail=true # Включение защиты, сервера и учета трафика самого сервера. # Рекомендуются включать, после проверки работоспособности системы, # чтобы исключить проблемы с пропаданием интернета на сервере. ss_enabled=false # Указываем карточку с внешним интерфейсом. eth_out=eth0 # Детелизация www страниц.true or false # В базу данных будет записываться, кто из пользователей какой сайт посещал. # Учтите, что при включении данного параметра, база будет расти быстрее. # По умолчанию параметр, ставится в false. # Усли вы используете связку TraffPro + SQUID то отключите во избежание # задвоения показателей по скачанному с ресурсов url_detail=false # Если параметр указан то поднимается NAT а если не указан то MASQUERADE. # Рекомендовано, использовать NAT так как увеличивается производительность. out_ip=192.168.0.111 # Включить ли монитор monitor_on=false # Адрес прослушивания для монитора (если не указывать параметр то по умолчанию 127.0.0.1) listen_addr=127.0.0.1 # Порт прослушивания для монитора (если не указывать параметр то по умолчанию 9999) listen_port=9999 #Путь установки. to_install_dir=/opt/traffpro # Использовать для модуля Кто куда ходи # определяет все порты куда подключались 2й - взаимодействует со SQUID и добавляет # ещё размеры скачанного по HTTP, необходима настройка SQUID c нашими параметрами # По умолчанию стоит false, рекомендуется включать этот параметр только после проверки работы # системы в целом, и предварительного конфигурирования squid. squid_connect=false # Если лог файл SQUID находится по пути отличном от /var/log/squid/access.log # Необходимо вписать данный параметр squid_log_file=/var/log/squid/access.log # Внимание демон сам подстраивает буфер но не советуем делать размер # пакетов боьше 200 так как это около 12 мегобайт и большой размер # буфера при форс мажёре замедлит работу демона а не ускорит # Размер очереди пакетов ip_queue_maxlen=2048 # Блокировка сайтов демоном. Т.е. при использовании данного параметра, # не нужно для блокировки ресурсов использовать # стороние сервисы, такие как squid, squidGuard, iptables. url_block=true # Данный параметр отвечает за учет icmp запрсов и др. отличных от udp и tcp, # т.е. без этого парметра в мониторе активности системы # не будут отображаться. Если true параметр активен, если false выключен. # Отображать в мониторе состояния пакеты не относящиеся к TCP и UDP not_udptcp_control=true # Максимально количество запросов на соединение за время time_in от клиента antiflood=150 # Отключение обратного определения ip -> domain для отчётов о посещении not_resolv_dn=true

#Модули iptables modprobe ip_conntrack modprobe ip_conntrack_ftp #При выклюсеном selinux будет ругаться. #iptables -F RH-Firewall-1-INPUT iptables -t nat -F iptables -t mangle -F # #Политики по умолчанию #iptables -P INPUT DROP #iptables -P OUTPUT DROP #Установка маршрутов по умолчанию, основной провайдер eth0, вспомагательный #провайдер eth2. #Для ручного переключения ручного. #Установка основного маршрута на Истра-Нэт. #route del default #route add default gw ваш_шлюз_первого прова dev eth0 # #Установка основного маршрута на Телеком-Нэт # #route del default #route add default gw ваш_шлюз_второго прова dev eth2 # #Настройка NAT для выхода клиентов в инернет. #Отправка всех клиентов под сети 192.168.1.0/24 в интеренет. iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source ваш_ip_карты #iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth2 -j SNAT --to-source ваш_ip_карты2 # #Для совместного использования со сквидом. iptables -t mangle -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -d ! 192.168.1.200 -j QUEUE iptables -I OUTPUT 1 -p tcp -m tcp -s 192.168.1.200 --sport 3128 -d 192.168.1.0/24 -j QUEUE iptables -t nat -A PREROUTING -i eth1 -p tcp -s 192.168.1.0/24 -d 192.168.1.200 --dport 80 -j ACCEPT iptables -t nat -A PREROUTING -i eth1 -p tcp -s 192.168.1.0/24 --dport 80 -j REDIRECT --to-ports 3128 # #Настройка NAT во внутрь сети. #Настройка портов во внутрь сети. iptables -t nat -A PREROUTING -p tcp -s any/0 -d ваш_ip_карты --dport 15081 -j DNAT --to-destination 192.168.1.110:15081 iptables -A FORWARD -i eth1 -d 192.168.1.110 -p tcp --dport 15081 -j QUEUE # #Блокировка неверных пакетов. iptables -A INPUT -m state --state INVALID -j DROP # #Open connect to server, from global network. #Открываю себе доступ к консоли. Этот трафик не считаю. #Ограничения на подключение к ssh. iptables -A INPUT -i eth3 -p tcp --dport 1981 -m state --state NEW -m recent --name SSH --set iptables -A INPUT -i eth3 -p tcp --dport 1981 -m state --state NEW -m recent --name SSH --update --seconds 60 --hitcount 2 -j DROP iptables -A INPUT -i eth3 -p tcp --dport 1981 -m state --state NEW -j ACCEPT # #Открываю доступ к ssh из дома. iptables -A INPUT -p tcp -i eth3 -s any/0 -d ваш_ip_карты --dport 22 -j ACCEPT iptables -A OUTPUT -p tcp -o eth3 -s ваш_ip_карты --sport 22 -d any/0 -j ACCEPT # #Открываю доступ к серверу www. #Allowing Remote Access to a Local Web Server iptables -A INPUT -i eth3 -p tcp -s any/0 --sport 1024:65535 -d ваш_ip_карты --dport 80 -j QUEUE iptables -A OUTPUT -o eth3 -p tcp ! --syn -s ваш_ip_карты --sport 80 -d any/0 --dport 1024:65535 -j QUEUE #Открываю доступ к серверу www. #По порту 443. iptables -A INPUT -i eth3 -p tcp -s any/0 --sport 1024:65535 -d ваш_ip_карты --dport 443 -j QUEUE iptables -A OUTPUT -o eth3 -p tcp ! --syn -s ваш_ip_карты --sport 443 -d any/0 --dport 1024:65535 -j QUEUE # #Настройка ФТП доступа. #Open connect to FTP, from network. iptables -A INPUT -p tcp -i eth1 -s 192.168.1.0/24 --sport 40000:65535 -d 192.168.1.200 --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp -o eth1 -s 192.168.1.200 --sport 21 -d 192.168.1.0/24 --dport 40000:65535 -m state --state ESTABLISHED -j ACCEPT iptables -A INPUT -p tcp -i eth1 -s 192.168.1.0/24 --sport 1024:65535 -d 192.168.1.200 --dport 40000:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A OUTPUT -p tcp -o eth1 -s 192.168.1.200 --sport 40000:65535 -d 192.168.1.0/24 --dport 40000:65535 -m state --state ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp -o eth1 -s 192.168.1.200 --sport 20 -d 192.168.1.0/24 --dport 40000:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -p tcp -i eth1 -s 192.168.1.0/24 --sport 40000:65535 -d 192.168.1.200 --dport 20 -m state --state ESTABLISHED -j ACCEPT # # DNS client modes (53) iptables -A OUTPUT -o eth0 -p udp -s ваш_ip_карты --sport 40000:65535 -d 217.150.34.129 --dport 53 -j QUEUE iptables -A INPUT -i eth0 -p udp -s 217.150.34.129 --sport 53 -d ваш_ip_карты --dport 40000:65535 -j QUEUE iptables -A OUTPUT -o eth0 -p udp -s ваш_ip_карты --sport 40000:65535 -d 217.150.35.129 --dport 53 -j QUEUE iptables -A INPUT -i eth0 -p udp -s 217.150.35.129 --sport 53 -d ваш_ip_карты --dport 40000:65535 -j QUEUE # TCP client to server requests are allowed by the protocol # if UDP requests fail. This is rarely seen. Usually, clients # use TCP as a secondary nameserver for zone transfers from # their primary nameservers, and as hackers. iptables -A OUTPUT -o eth0 -p tcp -s ваш_ip_карты --sport 40000:65535 -d 217.150.34.129 --dport 53 -j QUEUE iptables -A INPUT -i eth0 -p tcp ! --syn -s 217.150.34.129 --sport 53 -d ваш_ip_карты --dport 40000:65535 -j QUEUE iptables -A OUTPUT -o eth0 -p tcp -s ваш_ip_карты --sport 40000:65535 -d 217.150.35.129 --dport 53 -j QUEUE iptables -A INPUT -i eth0 -p tcp ! --syn -s 217.150.35.129 --sport 53 -d ваш_ip_карты --dport 40000:65535 -j QUEUE # server to server query or response # Caching only name server uses UDP, not TCP iptables -A OUTPUT -o eth0 -p udp -s ваш_ip_карты --sport 53 -d 217.150.34.129 --dport 53 -j QUEUE iptables -A INPUT -i eth0 -p udp -s 217.150.34.129 --sport 53 -d ваш_ip_карты --dport 53 -j QUEUE iptables -A OUTPUT -o eth0 -p udp -s ваш_ip_карты --sport 53 -d 217.150.35.129 --dport 53 -j QUEUE iptables -A INPUT -i eth0 -p udp -s 217.150.35.129 --sport 53 -d ваш_ip_карты --dport 53 -j QUEUE # #Ограничения на forward #Блокировка неверных пакетов. iptables -A FORWARD -m state --state INVALID -j DROP # защита от скрытого сканирования портов iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 15/minute -s 192.168.1.0/24 -d any/0 -j QUEUE # #Блокируем черезмерно большое кол-во icmp запрсов. iptables -A FORWARD -p icmp -m limit --limit 250/sec --limit-burst 500 -j QUEUE iptables -A FORWARD -p icmp -j DROP # #Блокировка icq доступа для всех. iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 205.188.0.0/16 --dport ! 5190 -j DROP iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 64.12.0.0/16 --dport ! 5190 -j DROP