Исходный код вики 5. Инструкция по сервису
Версия 47.1 от Ирина Сафонова на 16.10.2023, 19:39
Скрыть последних авторов
| author | version | line-number | content |
|---|---|---|---|
 |
46.1 | 1 | **Содержание** |
| |
1.2 | 2 | |
| |
47.1 | 3 | {{toc/}} |
| 4 | |||
| |
2.1 | 5 | = Вход в консоль = |
| |
1.2 | 6 | |
| |
2.1 | 7 | ---- |
| |
1.2 | 8 | |
| |
2.1 | 9 | Для выполнения базовой настройки сервиса зайдите на установленный образ сервиса через консоли VMRC или VMWC. |
| 10 | [[image:__fileCreatedFromDataURI__.png]] | ||
| 11 | |||
| |
3.1 | 12 | = Этапы настройки = |
| |
2.1 | 13 | |
| |
43.1 | 14 | ---- |
| 15 | |||
| |
11.1 | 16 | В ходе настройки команды вводятся в консоли или в SSH. |
| 17 | |||
| |
7.1 | 18 | == Шаг 1. Включение доступа через SSH == |
| |
6.1 | 19 | |
| |
12.1 | 20 | Укажите порт: |
| |
11.1 | 21 | |
| 22 | {{code language="none"}} | ||
| 23 | set service ssh port | ||
| 24 | {{/code}} | ||
| 25 | |||
| |
7.1 | 26 | == Шаг 2. Настройка внешнего интерфейса (eth0) == |
| |
6.1 | 27 | |
| |
44.1 | 28 | Укажите внешний IP-адрес: |
| |
11.1 | 29 | |
| 30 | {{code language="none"}} | ||
| 31 | set interfaces ethernet eth0 address | ||
| 32 | {{/code}} | ||
| 33 | |||
| |
28.1 | 34 | и маску сети: |
| 35 | |||
| |
11.1 | 36 | {{code language="none"}} |
| 37 | set interfaces ethernet eth0 description OUTSIDE | ||
| 38 | {{/code}} | ||
| 39 | |||
| |
31.1 | 40 | == Шаг 3. Настройте внутренний IP-адрес == |
| |
6.1 | 41 | |
| |
44.1 | 42 | Укажите внутренний IP-адрес и маску сети: |
| |
11.1 | 43 | |
| 44 | {{code language="none"}} | ||
| 45 | set interfaces ethernet eth1 description INSIDE | ||
| 46 | {{/code}} | ||
| 47 | |||
| |
31.1 | 48 | == Шаг 4. Пропишите маршрут == |
| |
6.1 | 49 | |
| |
11.1 | 50 | {{code language="none"}} |
| 51 | set protocols static route 0.0.0.0/0 next-hop *IP-адрес маршрутизатора* distance 1 | ||
| 52 | {{/code}} | ||
| 53 | |||
| |
35.1 | 54 | === Подшаг 4.1. Пропишите [[DNS>>https://wiki.dfcloud.ru/bin/view/Glossary/DNS]]-сервера для [[маршрутизатора>>https://wiki.dfcloud.ru/bin/view/Glossary/%D0%9C%D0%B0%D1%80%D1%88%D1%80%D1%83%D1%82%D0%B8%D0%B7%D0%B0%D1%82%D0%BE%D1%80]] === |
| |
3.1 | 55 | |
| |
12.1 | 56 | {{code language="none"}} |
| 57 | set system name-server *адрес DNS-сервера* | ||
| 58 | {{/code}} | ||
| |
11.1 | 59 | |
| |
33.1 | 60 | == Шаг 5. Настройка [[NAT>>https://wiki.dfcloud.ru/bin/view/Glossary/NAT]] == |
| |
6.1 | 61 | |
| |
31.1 | 62 | === Подшаг 5.1. Укажите NAT-правила для внешнего интерфейса eth0 === |
| |
6.1 | 63 | |
| |
12.1 | 64 | {{code language="none"}} |
| 65 | set nat source rule 100 outbound-interface eth0 | ||
| 66 | {{/code}} | ||
| 67 | |||
| |
31.1 | 68 | === Подшаг 5.2. Укажите правило NAT для адресов внутренней подсети === |
| |
6.1 | 69 | |
| |
12.1 | 70 | Укажите внутренний IP-адрес и маску сети: |
| 71 | |||
| 72 | {{code language="none"}} | ||
| 73 | set nat source rule 100 source address | ||
| 74 | {{/code}} | ||
| 75 | |||
| |
31.1 | 76 | === Подшаг 5.3 Используйте NAT трансляции для общения ресурса с внешним миром === |
| |
3.1 | 77 | |
| |
13.1 | 78 | {{code language="none"}} |
| 79 | set nat source rule 100 translation address masquerade | ||
| 80 | {{/code}} | ||
| 81 | |||
| |
31.1 | 82 | == Шаг 6. Пробросьте порты 1-к-1 (Port Forwarding) == |
| |
6.1 | 83 | |
| |
31.1 | 84 | === Подшаг 6.1. Создайте правила NAT номер 10 с указанием комментария === |
| |
15.1 | 85 | |
| |
14.1 | 86 | {{code language="none"}} |
| 87 | set nat destination rule 10 description 'Port Forward: HTTP to *укажите внутренний IP-адрес* (port 80->80)' | ||
| 88 | {{/code}} | ||
| 89 | |||
| |
31.1 | 90 | === Подшаг 6.2. Укажите внешний порт === |
| |
6.1 | 91 | |
| |
16.1 | 92 | {{code language="none"}} |
| 93 | set nat destination rule 10 destination port 80 | ||
| 94 | {{/code}} | ||
| 95 | |||
| |
17.1 | 96 | === Подшаг 6.3 Укажите, что пробрасываемый порт должен быть на внешнем интерфейсе eth0 === |
| 97 | |||
| 98 | {{code language="none"}} | ||
| |
3.1 | 99 | set nat destination rule 10 inbound-interface eth0 |
| |
17.1 | 100 | {{/code}} |
| 101 | |||
| |
18.1 | 102 | === Подшаг 6.4. Укажите, что перенаправляться будет только TCP-трафик === |
| |
17.1 | 103 | |
| |
18.1 | 104 | {{code language="none"}} |
| |
3.1 | 105 | set nat destination rule 10 protocol tcp |
| |
18.1 | 106 | {{/code}} |
| |
3.1 | 107 | |
| |
19.1 | 108 | === Подшаг 6.5. Укажите, что трафик будет перенаправляться на внутренний адрес === |
| |
3.1 | 109 | |
| |
18.1 | 110 | {{code language="none"}} |
| 111 | set nat destination rule 10 translation address *укажите внутренний IP-адрес* | ||
| 112 | {{/code}} | ||
| 113 | |||
| |
26.1 | 114 | == Шаг 7. Пробросьте трафик на другой порт == |
| |
18.1 | 115 | |
| |
37.1 | 116 | === Подшаг 7.1. Сделайте настройки по аналогии с шагом 6 === |
| |
18.1 | 117 | |
| |
30.1 | 118 | Настройки [[аналогичны>>https://wiki.dfcloud.ru/bin/view/%D0%A1%D0%B5%D1%80%D0%B2%D0%B8%D1%81%20%D0%92%D0%B8%D1%80%D1%82%D1%83%D0%B0%D0%BB%D1%8C%D0%BD%D0%BE%D0%B5%20%D1%81%D0%B5%D1%82%D0%B5%D0%B2%D0%BE%D0%B5%20%D1%83%D1%81%D1%82%D1%80%D0%BE%D0%B9%D1%81%D1%82%D0%B2%D0%BE%20VyOS/5.%20%D0%98%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BA%D1%86%D0%B8%D1%8F/#H4284304336.41F44043E43144043E44143F43E44044243E4321-43A-128PortForwarding29]], за исключением того, что пробрасывается TCP и UDP трафик (protocol tcp_udp). |
| |
26.1 | 119 | |
| |
20.1 | 120 | {{code language="none"}} |
| 121 | set nat destination rule 20 description 'Port Forward: SSH to *укажите внутренний IP-адрес* (port 22->20022)' | ||
| 122 | set nat destination rule 20 destination port 20022 | ||
| 123 | set nat destination rule 20 inbound-interface eth0 | ||
| 124 | set nat destination rule 20 protocol tcp_udp | ||
| 125 | set nat destination rule 20 translation address *укажите внутренний IP-адрес* | ||
| 126 | |||
| 127 | {{/code}} | ||
| 128 | |||
| 129 | === Подшаг 7.2. Укажите, на какой порт будет перенаправляться трафик (22-й), приходящий на порт 20022 === | ||
| 130 | |||
| 131 | {{code language="none"}} | ||
| 132 | set nat destination rule 20 translation port 22 | ||
| 133 | {{/code}} | ||
| 134 | |||
| |
33.2 | 135 | == Шаг 8. Создайте [[DHCP>>https://wiki.dfcloud.ru/bin/view/Glossary/DHCP]]-сервер для внутренней сети == |
| |
20.1 | 136 | |
| |
25.1 | 137 | === Подшаг 8.1. Создайте DHCP-сервер для внутренней сети === |
| |
20.1 | 138 | |
| 139 | {{code language="none"}} | ||
| 140 | set service dhcp-server shared-network-name LAN authoritative enable | ||
| 141 | {{/code}} | ||
| 142 | |||
| 143 | {{info}} | ||
| |
22.1 | 144 | LAN — пример названия. Название может быть любым. |
| |
20.1 | 145 | {{/info}} |
| 146 | |||
| |
22.1 | 147 | === Подшаг 8.2. Укажите подсеть, для которой будет работать DHCP сервер, и диапазон адресов, который будет выдавать DHCP сервер === |
| |
20.1 | 148 | |
| 149 | {{code language="none"}} | ||
| 150 | set service dhcp-server shared-network-name LAN subnet * укажите адрес внутренней подсети* start *укажите внутренний IP-адрес* stop * укажите внутренний IP-адрес* | ||
| 151 | {{/code}} | ||
| 152 | |||
| |
22.1 | 153 | === Подшаг 8.3. Укажите параметры, которые DHCP-сервер будет передавать клиентам === |
| |
20.1 | 154 | |
| 155 | {{code language="none"}} | ||
| |
36.1 | 156 | set service dhcp-server shared-network-name LAN subnet *укажите адрес внутренней подсети* default-router *укажите внутренний IP-адрес* |
| |
20.1 | 157 | {{/code}} |
| 158 | |||
| |
22.1 | 159 | === Подшаг 8.4. Укажите маршрутизатор по умолчанию === |
| |
20.1 | 160 | |
| 161 | {{code language="none"}} | ||
| 162 | set service dhcp-server shared-network-name LAN subnet *укажите адрес внутренней подсети* dns-server *укажите внутренний IP-адрес* | ||
| 163 | {{/code}} | ||
| 164 | |||
| |
22.1 | 165 | === Подшаг 8.5. Укажите DNS-сервер === |
| |
20.1 | 166 | |
| 167 | {{code language="none"}} | ||
| |
36.1 | 168 | set service dhcp-server shared-network-name LAN subnet *укажите адрес внутренней подсети* domain-name internal.blackdiver.net |
| |
20.1 | 169 | {{/code}} |
| 170 | |||
| |
22.1 | 171 | === Подшаг 8.6. Укажите имя локального домена (internal.blackdiver.net) === |
| |
20.1 | 172 | |
| |
20.2 | 173 | {{code language="none"}} |
| |
36.1 | 174 | set service dhcp-server shared-network-name LAN subnet *укажите адрес внутренней подсети* lease 3600 |
| |
20.2 | 175 | {{/code}} |
| |
20.1 | 176 | |
| |
31.1 | 177 | {{info}} |
| |
20.2 | 178 | 3600 секунд — время аренды адреса. |
| |
31.1 | 179 | {{/info}} |
| |
20.1 | 180 | |
| |
22.1 | 181 | == Шаг 9. Назначьте статические IP-адреса для DHCP-сервера == |
| |
20.1 | 182 | |
| |
20.3 | 183 | Для статического назначения IP адресов в DHCP используется стандартный алгоритм привязки MAC адреса к IP адресу. В примере сервер (SERVER1 – имя сервера. Имя может быть любым) с MAC-адресом 00:50:56:0c:02:14 статически привязан к IP- адресу 217.198.88.69 (пример). |
| |
20.2 | 184 | |
| |
20.3 | 185 | {{code language="none"}} |
| 186 | set service dhcp-server shared-network-name LAN subnet 217.198.0.0/24 static-mapping SERVER-NAME ip-address 217.198.88.69 | ||
| 187 | set service dhcp-server shared-network-name LAN subnet 217.198.0.0/24 static-mapping SERVER-NAME mac-address 00:50:56:0c:02:14 | ||
| 188 | {{/code}} | ||
| |
20.2 | 189 | |
| |
23.1 | 190 | == Шаг 10. Настройка DNS forwarding == |
| |
22.1 | 191 | |
| |
20.4 | 192 | Возможно только кэширование и перенаправление DNS-ответов от других DNS-серверов. Также доступен свой набор статических DNS-записей. |
| |
20.2 | 193 | |
| |
22.1 | 194 | === Подшаг 10.1. Укажите DNS-сервера, у которых маршрутизатор будет запрашивать информацию (8.8.8.8 и 8.8.4.4) === |
| |
20.3 | 195 | |
| |
32.1 | 196 | Также вы можете использовать системные DNS-сервера. В таком случае вместо ручного перечисления серверов укажите: |
| |
22.1 | 197 | |
| |
20.5 | 198 | {{code language="none"}} |
| |
20.4 | 199 | set service dns forwarding name-server 8.8.8.8 |
| |
20.5 | 200 | {{/code}} |
| 201 | |||
| 202 | или: | ||
| 203 | |||
| 204 | {{code language="none"}} | ||
| |
20.4 | 205 | set service dns forwarding system |
| |
20.5 | 206 | {{/code}} |
| 207 | |||
| |
22.1 | 208 | === Подшаг 10.2. Укажите количество кэшируемых DNS-запросов, которые будут храниться в памяти маршрутизатора === |
| |
20.5 | 209 | |
| |
27.1 | 210 | В данном случае 0. DNS запросы будут не кешироваться, а каждый раз запрашиваться: |
| |
22.1 | 211 | |
| |
20.5 | 212 | {{code language="none"}} |
| |
20.4 | 213 | set service dns forwarding cache-size 0 |
| |
20.5 | 214 | {{/code}} |
| 215 | |||
| |
22.1 | 216 | === 10.3. Укажите интерфейс, на котором будет работать DNS forwarding (eth1) === |
| |
20.5 | 217 | |
| 218 | {{code language="none"}} | ||
| |
20.4 | 219 | set service dns forwarding listen-on eth1 |
| |
20.5 | 220 | {{/code}} |
| |
20.3 | 221 | |
| |
22.1 | 222 | == Шаг 11. Создайте статические DNS-записи == |
| |
20.4 | 223 | |
| |
32.1 | 224 | Укажите, что для DNS записи ХХХХХХХ.com всегда отвечает адресом xxx.xxx.xxx.xxx. Для таких записей не запрашивается информация у других DNS-серверов, а сразу отдается заранее определенный ответ. |
| |
20.4 | 225 | |
| |
20.6 | 226 | {{code language="none"}} |
| 227 | set system static-host-mapping host-name ХХХХХХХ.com inet xxx.xxx.xxx.xxx | ||
| 228 | {{/code}} | ||
| |
20.5 | 229 | |
| |
40.1 | 230 | == Шаг 12. Настройте [[L2TP>>https://wiki.dfcloud.ru/bin/view/Glossary/L2TP]]/IPsec сервера == |
| |
20.5 | 231 | |
| |
22.1 | 232 | ==== Подшаг 12.1 Настройте IPSec |
| |
40.1 | 233 | Подшаг 12.1.1. Укажите, на каком интерфейсе будет работать[[ IPsec>>https://wiki.dfcloud.ru/bin/view/Glossary/IPsec]] (eth0) ==== |
| |
20.6 | 234 | |
| 235 | {{code language="none"}} | ||
| 236 | set vpn ipsec ipsec-interfaces interface eth0 | ||
| 237 | {{/code}} | ||
| 238 | |||
| |
22.1 | 239 | ==== Подшаг 12.1.2. Включите NAT Traversal ==== |
| |
20.6 | 240 | |
| |
27.1 | 241 | Это необходимо, чтобы корректно работать с клиентами, у которых NAT. |
| |
22.1 | 242 | |
| |
20.6 | 243 | {{code language="none"}} |
| 244 | set vpn ipsec nat-traversal enable | ||
| 245 | {{/code}} | ||
| 246 | |||
| |
22.1 | 247 | ==== Подшаг 12.1.3. Укажите, откуда могут подключаться клиенты (0.0.0.0/0 – без ограничений) ==== |
| |
20.6 | 248 | |
| 249 | {{code language="none"}} | ||
| 250 | set vpn ipsec nat-networks allowed-network 0.0.0.0/0 | ||
| 251 | {{/code}} | ||
| 252 | |||
| |
22.1 | 253 | === Подшаг 12.2. Настройте L2TP === |
| |
20.6 | 254 | |
| |
22.1 | 255 | ==== Подшаг 12.2.1. Укажите внешний адрес, на который будут подключаться клиенты ==== |
| |
20.7 | 256 | |
| 257 | {{code language="none"}} | ||
| |
36.1 | 258 | set vpn l2tp remote-access outside-address *укажите внешний IP-адрес* |
| |
20.7 | 259 | {{/code}} |
| 260 | |||
| |
22.1 | 261 | ==== Подшаг 12.2.2. Укажите диапазон адресов, которые будут выдаваться клиентам ==== |
| |
20.7 | 262 | |
| 263 | {{code language="none"}} | ||
| |
36.1 | 264 | set vpn l2tp remote-access client-ip-pool start *укажите внутренний IP-адрес от* |
| 265 | set vpn l2tp remote-access client-ip-pool stop *укажите внутренний IP-адрес до* | ||
| |
20.7 | 266 | {{/code}} |
| 267 | |||
| |
22.1 | 268 | ==== Подшаг 12.2.3. Для подключения используйте PSK-ключ ==== |
| |
20.7 | 269 | |
| 270 | {{code language="none"}} | ||
| |
20.6 | 271 | set vpn l2tp remote-access ipsec-settings authentication mode pre-shared-secret |
| |
20.7 | 272 | {{/code}} |
| 273 | |||
| |
22.1 | 274 | ==== Подшаг 12.2.4. Задайте PSK-ключ (MySecretKey) ==== |
| |
20.7 | 275 | |
| 276 | {{code language="none"}} | ||
| |
36.1 | 277 | set vpn l2tp remote-access dns-servers server-1 *укажите внутренний IP-адрес* |
| |
20.7 | 278 | {{/code}} |
| 279 | |||
| |
22.1 | 280 | ==== Подшаг 12.2.5. Укажите DNS-сервер, который будет передаваться подключившимся пользователям ==== |
| |
20.7 | 281 | |
| |
22.1 | 282 | В примере используется ранее настроенный DNS forwarder. Для аутентификации пользователей будет использоваться собственная база. |
| |
20.7 | 283 | |
| 284 | {{code language="none"}} | ||
| |
20.6 | 285 | set vpn l2tp remote-access authentication mode local |
| |
20.7 | 286 | {{/code}} |
| 287 | |||
| |
38.1 | 288 | ==== Подшаг 12.2.6. Создайте пользователя с именем **user1** и паролем **MyPassword** ==== |
| |
20.7 | 289 | |
| 290 | {{code language="none"}} | ||
| |
20.6 | 291 | set vpn l2tp remote-access authentication local-users username user1 password MyPassword |
| |
20.7 | 292 | {{/code}} |
| 293 | |||
| 294 | Если пользователю требуется дать статический адрес при подключении через VPN, то введите следующее: | ||
| 295 | |||
| 296 | {{code language="none"}} | ||
| |
20.6 | 297 | set vpn l2tp remote-access authentication local-users username user1 static-ip 217.198.88.70.1 (пример) |
| |
20.7 | 298 | {{/code}} |
| |
20.6 | 299 | |
| |
22.1 | 300 | В результате пользователи могут подключаться по L2TP к маршрутизатору, а также имеют доступ к внутренней сети. |
| |
20.6 | 301 | |
| |
39.1 | 302 | == Шаг 13. Настройте выход пользователей в интернет через [[VPN>>https://wiki.dfcloud.ru/bin/view/Glossary/VPN]] == |
| |
20.6 | 303 | |
| |
22.1 | 304 | Добавьте правило NAT для адресов XXX.XXX.XXX.X-XXX: |
| |
20.6 | 305 | |
| |
21.1 | 306 | {{code language="none"}} |
| 307 | set nat source rule 110 outbound-interface eth0 | ||
| |
36.1 | 308 | set nat source rule 110 source address *укажите внутреннюю подсеть* |
| |
21.1 | 309 | set nat source rule 110 translation address masquerade |
| 310 | {{/code}} | ||
| |
20.6 | 311 | |
| |
21.1 | 312 | Создание правил NAT для L2TP полностью аналогично настройке NAT для внутренней сети. |
| 313 | |||
| |
42.1 | 314 | Если для [[VPN-клиентов>>https://wiki.dfcloud.ru/bin/view/Glossary/VPN-%D0%BA%D0%BB%D0%B8%D0%B5%D0%BD%D1%82]] используется DNS forwarder, то для каждого соединения [[L2TP>>https://wiki.dfcloud.ru/bin/view/Glossary/L2TP]] опубликуйте сервис DNS forwarder. Подключите одновременно множество пользователей и после этого добавьте интерфейсы в DNS forwarding: |
| |
21.1 | 315 | |
| 316 | {{code language="none"}} | ||
| 317 | set service dns forwarding listen-on l2tp0 | ||
| 318 | set service dns forwarding listen-on l2tp1 | ||
| 319 | set service dns forwarding listen-on l2tp2 | ||
| 320 | {{/code}} | ||
| 321 | |||
| |
22.1 | 322 | == Шаг 14. Примените настройки и сохраните конфигурации == |
| |
21.1 | 323 | |
| 324 | {{code language="none"}} | ||
| 325 | commit | ||
| 326 | save | ||
| 327 | {{/code}} | ||
| 328 | |||
| |
10.1 | 329 | **[[В начало>>path:/bin/view/%D0%A1%D0%B5%D1%80%D0%B2%D0%B8%D1%81%20%D0%92%D0%B8%D1%80%D1%82%D1%83%D0%B0%D0%BB%D1%8C%D0%BD%D0%BE%D0%B5%20%D1%81%D0%B5%D1%82%D0%B5%D0%B2%D0%BE%D0%B5%20%D1%83%D1%81%D1%82%D1%80%D0%BE%D0%B9%D1%81%D1%82%D0%B2%D0%BE%20VyOS/]] **🡱 |
| 330 | **[[К предыдущему разделу>>doc:Сервис Виртуальное сетевое устройство VyOS.4\. Структура платежей.WebHome]] **🡰 |