DHCP

Nossa primeira tarefa é configurar o servidor DHCP para que as máquinas da rede 10.0.0.0/24 possam obter um endereço IP automaticamente. Primeiramente, fazemos a configuração geral do serviço:

# edit service dhcp-server
# set disabled false
# edit shared-network-name rede-local
# set authoritative disable
# edit subnet 10.0.0.0/24
# set start 10.0.0.11 stop 10.0.0.200
# set dns-server 192.168.0.72
# set dns-server 192.168.0.74
# set default-router 10.0.0.1
# set server-identifier 10.0.0.1
# commit

Pronto, o servidor DHCP já está ativo e os computadores da rede 10.0.0.0/24 já conseguem obter um endereço IP automaticamente.

Se quisermos que uma determinada máquina sempre obtenha o mesmo IP, basta criar um mapeamento estático. Para fazer isso, vamos precisar do endereço físico (MAC address) da placa de rede.

# edit service dhcp-server
# edit shared-network-name rede-local subnet 10.0.0.0/24
# edit static-mapping administrador
# set ip-address 10.0.0.199
# set mac-address 00:13:AB:43:F8:42
# commit

Com o comando acima, nós definimos que o IP 10.0.0.199 está reservado para o computador cuja placa de rede tiver o endereço MAC 00:13:AB:43:F8:42.

Configurando NAT

Para que as estações de trabalho da rede 10.0.0.0/24 possam acessar tanto a rede 192.168.0.0/24 quanto a internet, podemos criar uma regra de NAT simples para mascaramento de IP:

# edit service nat rule 1
# set type masquerade
# set outbound-interface eth0
# commit

Para fins de comparação, os comandos acima têm o mesmo efeito da seguinte regra do iptables:

# iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE

Feito isso, as estações já poderão acessar as redes externas, inclusive a internet.

E, por falar em internet, que tal dar uma acelerada na Web, habilitando um cache de páginas? O Vyatta vem com recursos de proxy-cache, usando para isso o aclamado Squid. Para habilitar um proxy transparente apenas para cache, com tamanho de 1GB (1024MB), os comandos abaixo são suficientes:

# edit service webproxy
# set cache-size 1024
# set default-port 3128
# set listen-address 10.0.0.1
# commit

Se você quiser bloquear algum site ou domínio, o Vyatta também lhe dá essa opção. Como exemplo, vamos bloquear todo o domínio microsoft.com, deixando liberado apenas o subdomínio technet.microsoft.com:

# edit service webproxy url-filtering squidguard
# set local-block microsoft.com
# set local-ok technet.microsoft.com
# set redirect-url http://192.168.0.80/acesso_negado.php?url=%u
# commit

O endereço:

http://192.168.0.80/acesso_negado.php?url=%u

será exibido quando o usuário acessar uma URL bloqueada, onde a variável %u será substituída pela URL em questão, de forma que, se o usuário acessar, por exemplo, http://www.microsoft.com, o Vyatta vai redirecionar o usuário para o endereço:

http://192.168.0.80/acesso_negado.php?url=http://www.microsoft.com

Para uma lista de variáveis válidas, consulte a documentação do SquidGuard em: http://www.SquidGuard.org/Docs.

Nosso roteador já está funcional, agora é hora de aumentar a segurança. Próxima página!