Server der Kepler-WRS

auf dem Server (Gigabyte GA970 / AMD FX-8core 8120 / 16GB RAM / 4x Samsung 500GB als RAID1) läuft Proxmox2 mit KVM / OpenVZ auf einem DebianSqueeze.

virtuelle Maschinen (s.u.)

• 101: KVM - IPCop
• 102: KVM - paedML

Netzwerkkonfiguration

• Server:
  • eth0
    • onboard RTL8111/8168
    • grün
    • SchülerKWRS auf vmbr0
    • 10.32.1.253

• eth1
  • Intel100 (tulip) (unten)
  • rot
  • BelWUE-Netz
  • portforwarding auf vmbr1
  • 141.10.54.244

• eth2
  • Realtek100 (mitte)
  • blau
  • WLAN auf vmbr2
  • 192.168.2.1

• eth3
  • IntelGB (oben)
  • grau
  • Lehrer auf vmbr3
  • 10.16.209.5

• Bridges (wie virtuelle Netzwerkswitche)

• vmbr0
  • grün
  • Schüler KWRS
  • 10.32.X,Y
  • IPCop (VM100): 10.32.1.254
  • paedml (VM101): 10.32.1.1
  • proxmoxtgs: 10.32.1.253

• vmbr1
  • rot
  • Internetanbindung an BelWUE über Cisco-Router(141.10.54.241)
  • Portforwarding, so wird nur eine IP benötigt
  • 192.168.1.X
  • IPCop (VM100): 192.168.1.254

• vmbr2
  • blau
  • WLAN der KWRS
  • IP?
  • IPCop (VM100):

• vmbr3
  • grau
  • Lehrernetz des Schulzentrums
  • 10.16.209.X
  • proxmoxkwrs: 10.16.209.5
  • paedml (VM101): 10.16.209.6

• Port-Forwarding auf vmbr1

auto vmbr1
iface vmbr1 inet static
        address  192.168.1.1
        netmask  255.255.255.0
        bridge_ports none
        bridge_stp off
        bridge_fd 0
        post-up echo 1 > /proc/sys/net/ipv4/ip_forward
        post-up iptables -t nat -A POSTROUTING -s '192.168.1.0/24' -o eth1 -j MASQUERADE
	post-up iptables -t nat -A PREROUTING -p tcp --dport 80 -i eth1 -j DNAT --to 192.168.1.254:80
        post-up iptables -t nat -A PREROUTING -p tcp --dport 443 -i eth1 -j DNAT --to 192.168.1.254:443
        post-up iptables -t nat -A PREROUTING -p tcp --dport 2222 -i eth1 -j DNAT --to 192.168.1.254:2222
        post-up iptables -t nat -A PREROUTING -p tcp --dport 25 -i eth1 -j DNAT --to 192.168.1.254:25        
        post-down iptables -t nat -D POSTROUTING -s '192.168.1.0/24' -o eth1 -j MASQUERADE
	post-down iptables -t nat -D PREROUTING -p tcp --dport 80 -i eth1 -j DNAT --to 192.168.1.254:80
        post-down iptables -t nat -D PREROUTING -p tcp --dport 443 -i eth1 -j DNAT --to 192.168.1.254:443
        post-down iptables -t nat -D PREROUTING -p tcp --dport 2222 -i eth1 -j DNAT --to 192.168.1.254:2222
        post-down iptables -t nat -D PREROUTING -p tcp --dport 25 -i eth1 -j DNAT --to 192.168.1.254:25

• VM
  • VM100 (kvm) IPCop
    • eth0
      • grün
      • vmbr0
      • 10.32.1.254
      • Realtek rtl8139
        
        
    • eth1
      • rot
      • vmbr1
      • 192.168.1.254
      • Realtek rtl8139
        
        
    • eth2
      • blau
      • vmbr2
      • 172.16.32.254
      • Intel e1000
        
        
        
        
  • VM101 (kvm) PaedML
    • intern
      • grün
      • vmbr0
      • 10.32.1.1
      • Realtek rtl8139
        
        
    • eth0
      • grau
      • vmbr3
      • 10.16.209.6
      • Intel e1000

• Firewall
  • BelWUE-Router
    • blockt alles außer
      • 22 ProxMox-Access per ssh (publicKey/privateKey abgesichert)
      • 2222 Zugang durch IPCop per ssh auf paedml (publicKey/privateKey abgesichert)
      • 80 ​http:// über IPCop auf paedml
      • 443 ​https:// über IPCop auf paedml
      • 25 smtp über IPCop auf paedml
        
        
  • IPCop hat Firewallregeln für Ports
    • 2222 auf paedml 22
    • 80 auf paedml 80
    • 443 auf paedml 443
      
      
  • paedml hat Firewallregeln für den Zugriff aus grünem Netz (nur aufgenommene Clients dürfen zugreifen)