Очень часто возникает задача когда требуется пустить локальную
сеть в и-нет через один выделенный провайдером IP адрес (200.200.200.1) и дать
доступ пользователям находящимся в приватной сетке (192.168.1.0/24) к любому
серверу в и-нете. Причем для настройки natd нам неважно какую топологию будет
иметь интерфейс смотрящий в сторону ISP - будь это
ethernet или ppp0 (ppp link). Принципп действия NAT (Network Address Translations)
основан на преобразовании заголовка пакета приходящего из локальной сети на
интефейс смотрящий с сторону интернета таким образом что этот пакет записывается
в таблицу соединенией демона NATD и в нем переписыватеся адрес отправителя,
например вместо 192.168.1.5 ставится 200.200.200.1 и пакет уходит в и-нет от
реального адреса. Прихоящие пакеты сверяются с динамической таблицей демона
natd и если они были из локальной сети то адрес источника заменяется и к хосту
назначения в приватную сеть офисса.
Итак у нас есть два интерфейса :
ed0 - смотрит в сторону ISP (200.200.200.1 netmask 255.255.255.252)
ed1 смотрит в сторону локальной сети (192.168.1.1 netmask 255.255.255.0
Существует два варианта реализации NAT во FreeBSD : ipnat + ipf
и natd + ipfw, мы остановимся на последнем, поскольку ipfw более популярен.
Для начала собрем ядро со следующими опциями :
# Включаем поддержку firewall-a
options IPFIREWALL
options IPFIREWALL_VERBOSE
options "IPFIREWALL_VERBOSE_LIMIT=100"
# Включаем DIVERT пакетов приходящих на интерфейс для NAT
options IPDIVERT
После команды make depend; make clean; make all; make install
перезагрузим систему и займемся настройкой firewall-a. Создадим файл в /usr/local/etc/rc.d/firewall.sh
и дадим ему право исполнения chmod +x firewall.sh . Содержимое файла :
#!/bin/sh
#Очищаем предыдущие правила
/sbin/ipfw -f flush
# Разрешаем NATD
/sbin/ipfw add divert natd ip from 192.168.1.0/24 to any out via ed0
/sbin/ipfw add divert natd ip from any to 200.200.200.1 in via ed0
# Ниже идет строка открывающая работу по всем портам снаружи
# вы должны сами написать правила фильтрации под вашу сеть
/sbin/ipfw add pass all from any to any via ed1
Теперь создадим файл /usr/local/etc/rc.d/natd.sh (дав на него
chmod +x) :
#!/bin/sh
# Запускаем при старте natd и указываем чтобы он работал с ed0 (ключ -n)
/sbin/natd -f /etc/natd.conf -n ed0
В файле /etc/natd.conf прописываем
same_ports yes use_sockets yes
В /etc/rc.conf обязательно должна быть строчка :
gateway_enable = "YES"
После перезагрузки мы получим работающий роутер с natd и в локальной
сети Вам необходимо прописать в TCP/IP setting на рабочих станциях Windows адрес
gateway - 192.168.1.1 и дополнительно адрес внешнего DNS сервера - это может
быть сервер ISP.
Через natd работают любые почтовые клиенты, любые версии ICQ и
других socks клиентов - его настройка намного предпочтительнее чем настраивать
по отдельности прокси сервер на каждый сервис в отдельности.
Иногда возникает необходимость сделать редирект какого либо порта
например с адреса 192.168.1.1 555 на 201.201.201.2 25 порт. Такая ситуация бывает
когда забыт пароль на маршрутизатор через который поключается роутер на базе
FreeBSD и приходится вписываться в те порты которые открыты. Для этого есть
программа rined запускаемая из командной строчки
и для нее обходим файл конфигурации в /usr/local/etc/rinetd.conf такого формата
: 192.168.1.1 555 201.201.201.2 25 , где первый IP адрес - это адрес карточки
в роутере а второй IP это адрес хоста назначения.
| 
