В данной статье мы расскажем о настройке роутера на базе FreeBSD
выполняющего роль шлюза в инернет с установкой firewall-a, и
поддерживающем статическую arp таблицу mac адресов в локальной сети.
Речь пойдет о IPFW который в FreeBSD служит верой и правдой уже много лет,
тем более что в последней версии в составе c FreeBSD 4.0 исправленны
ошибки и добавленна корректная возможность ограничивать полосу пропускания
по интерфейсу (использование pipe с опцией bw).

Данный документ описывает принцип построения цепочек правил для фильтрации ip трафика.
Подразумевается, что вы знакомы с принципом работы стека TCP/IP, а так же прочитали man ipfw
Сразу хочу отметить, что здесь не будут рассмотрены вопросы использования traffic shaper(dummynet), а также построение динамических правил. В этой статье в качестве базиса использовались правила на моем работающем шлюзе
под управлением FreeBSD 4.10-Stable, так что на абсолютную истину не претендую

Технология VLAN позволяет логически разделять сети, которые находятся на одном и том же физическом устройстве (устройствах). Так, при помощи VLAN можно сделать несколько независимых сетей на одном свитче.

Эта технология очень удобна при подключении к Интернет пользователей по выделенным EtherNet линиям. Все постоянные соединения можно "собрать" в один свитч, но пользователи друг-друга видеть не будут, если свитч "разрезать" на независимые VLAN-ы. Также очень удобно применять VLAN-ы в бизнес-центрах - когда в бизнес- центре сразу же закладывается кабельная сеть с активным и пассивным оборудованием. Для арендатора, берущего порты оборудования в аренду, выделяется VLAN, который представляет из себя не что иное, как локальную сеть.

Multi Router Traffic Grapher

Инсталяция MRTG (Multi Router Traffic Grapher)

Описание

Вы получаете MRTG в виде исходников. Это значит, что вы должны скомпилировать программу, до того как начнете её использовать. Эта инструкция поможет вам. ПодготовкаЧтобы скомпилировать и использовать mrtg вам необходим С компилятор и проинсталированный Perl. В большинстве случаев все это устанавливается по умолчанию. Если у вас нет, то вы можете установить используя следующие ссылки. Далее будет следовать детальное описание процесса компиляции.

Рекомендую изучить man ipfw
Поговорим о вещах которые вызывают затруднение у новичков при настройке ipfw

in и out относятся к направлению движения пакета (подразумевается относительно операционной системы на которой установлен ipfw)

IPFW - это IP-firewall и программа для управления формирования трафика в сети.
КРАТКОЕ ОПИСАНИЕ

ipfw [-q] [-p preproc [-D macro[=value]] [-U macro]] pathname

ipfw [-f | -q] flush

ipfw [-q] {zero | presetlog | delete} [number ...]

DHCP+DNS по шагам

Конечно, man dhcpd.conf всё покажет.. Но так быстрее ;-))

1. Сгенерировать ключ

[root@server ddns]# dnssec-keygen -a HMAC-MD5 -b 128 -n USER DHCP_UPDATER Kdhcp_updater.+157+46827

Посмотрим что он нам нагенерил:

[root@server ddns]# cat Kdhcp_updater.+157+46827.key
DHCP_UPDATER. IN KEY 0 2 157 EgxIOyQglf4KAUF7lgu9yA==

Что такое Squid2MySQL? Это авторизация и учет траффика пользователей в
Интернет. Есть proxy-сервер Squid (http://www.squid-cache.org/)
и база данных MySQL, (http://dev.mysql.com/)
Squid занимается кэшированием информации, а MySQL хранит информацию о
пользователе (имя, пароль, скаченные URL и т.д).
Связующее звено - это Squid2MySQL (http://evc.fromru.com/squid2mysql/download.html) 1.0.0
от Eugene V. Chernyshev для Linux.

Задача.

Необходимо аутентифицировать пользователей в squid на основе доменных
аккаунтов. Не всегда подходит классическая схема учета трафика по IP
адресам примеры случаев когда подобная ситуация не устраивает достаточно
полно описаны в [1]. Кроме того, стояла задача защищать подключение к
Internet в большой сети от приносимых ноутбуков.

1. Введение

В данной статье описывается подход, методология и результаты
проведенного эксперимента по использованию взломанного маршрутизатора
как средства для захвата сетевого трафика. Маршрутизаторы находятся
вне корпоративной межсетевой защиты и часто очень плохо защищены. В
некоторых случаях, взломанный маршрутизатор может использоваться в
качестве отправной точки для дальнейшего захвата сети, но наиболее
ценным подходом является использование маршрутизатора для сниффинга
входящего и исходящего сетевого трафика организации.