Server der Kepler-WRS

auf dem Server (Gigabyte GA970 / AMD FX-8core 8120 / 16GB RAM / 4x Samsung 500GB als RAID1) läuft Proxmox2 mit KVM / OpenVZ auf einem DebianSqueeze.

virtuelle Maschinen (s.u.)

• 101: KVM - IPCop
• 102: KVM - paedML

Netzwerkkonfiguration

• Server:
  • eth0
    • onboard RTL8111/8168
    • grün
    • SchülerKWRS auf vmbr0
    • 10.32.1.253
      
      
  • eth1
    • Intel100 (tulip) (unten)
    • rot
    • BelWUE-Netz
    • portforwarding auf vmbr1
    • 141.10.54.244
      
      
  • eth2
    • Realtek100 (mitte)
    • blau
    • WLAN auf vmbr2
    • 192.168.2.1
      
      
  • eth3
    • IntelGB (oben)
    • grau
    • Lehrer auf vmbr3
    • 10.16.209.5
      
      
• Bridges (wie virtuelle Netzwerkswitche)
  • vmbr0
    • grün
    • Schüler KWRS
    • 10.32.X,Y
    • IPCop (VM100): 10.32.1.254
    • paedml (VM101): 10.32.1.1
    • proxmoxtgs: 10.32.1.253
      
      
  • vmbr1
    • rot
    • Internetanbindung an BelWUE über Cisco-Router(141.10.54.241)
    • Portforwarding, so wird nur eine IP benötigt
    • 192.168.1.X
    • IPCop (VM100): 192.168.1.254
      
      
  • vmbr2
    • blau
    • WLAN der KWRS
    • IP?
    • IPCop (VM100):
      
      
  • vmbr3
    • grau
    • Lehrernetz des Schulzentrums
    • 10.16.209.X
    • proxmoxkwrs: 10.16.209.5
    • paedml (VM101): 10.16.209.6
      
      
• Port-Forwarding auf vmbr1

auto vmbr1
iface vmbr1 inet static
        address  192.168.1.1
        netmask  255.255.255.0
        bridge_ports none
        bridge_stp off
        bridge_fd 0
        post-up echo 1 > /proc/sys/net/ipv4/ip_forward
        post-up iptables -t nat -A POSTROUTING -s '192.168.1.0/24' -o eth1 -j MASQUERADE
	post-up iptables -t nat -A PREROUTING -p tcp --dport 80 -i eth1 -j DNAT --to 192.168.1.254:80
        post-up iptables -t nat -A PREROUTING -p tcp --dport 443 -i eth1 -j DNAT --to 192.168.1.254:443
        post-up iptables -t nat -A PREROUTING -p tcp --dport 2222 -i eth1 -j DNAT --to 192.168.1.254:2222
        post-up iptables -t nat -A PREROUTING -p tcp --dport 25 -i eth1 -j DNAT --to 192.168.1.254:25        
        post-down iptables -t nat -D POSTROUTING -s '192.168.1.0/24' -o eth1 -j MASQUERADE
	post-down iptables -t nat -D PREROUTING -p tcp --dport 80 -i eth1 -j DNAT --to 192.168.1.254:80
        post-down iptables -t nat -D PREROUTING -p tcp --dport 443 -i eth1 -j DNAT --to 192.168.1.254:443
        post-down iptables -t nat -D PREROUTING -p tcp --dport 2222 -i eth1 -j DNAT --to 192.168.1.254:2222
        post-down iptables -t nat -D PREROUTING -p tcp --dport 25 -i eth1 -j DNAT --to 192.168.1.254:25

• VM
  • VM100 (kvm) IPCop
    • eth0
      • grün
      • vmbr0
      • 10.32.1.254
      • Realtek rtl8139
        
        
    • eth1
      • rot
      • vmbr1
      • 192.168.1.254
      • Realtek rtl8139
        
        
    • eth2
      • blau
      • vmbr2
      • 172.16.32.254
      • Intel e1000
        
        
        
        
  • VM101 (kvm) PaedML
    • intern
      • grün
      • vmbr0
      • 10.32.1.1
      • Realtek rtl8139
        
        
    • eth0
      • grau
      • vmbr3
      • 10.16.209.6
      • Intel e1000

• Firewall
  • BelWUE-Router
    • blockt alles außer
      • 22 ProxMox-Access per ssh (publicKey/privateKey abgesichert)
      • 2222 Zugang durch IPCop per ssh auf paedml (publicKey/privateKey abgesichert)
      • 80 ​http:// über IPCop auf paedml
      • 443 ​https:// über IPCop auf paedml
      • 25 smtp über IPCop auf paedml
        
        
  • IPCop hat Firewallregeln für Ports
    • 2222 auf paedml 22
    • 80 auf paedml 80
    • 443 auf paedml 443
      
      
  • paedml hat Firewallregeln für den Zugriff aus grünem Netz (nur aufgenommene Clients dürfen zugreifen)