== Server der Kepler-WRS ==

auf dem Server (Gigabyte GA970 / AMD FX-8core 8120 / 16GB RAM / 4x Samsung 500GB als RAID1) läuft Proxmox2 mit KVM / OpenVZ auf einem !DebianSqueeze.

virtuelle Maschinen (s.u.)

    * 101: KVM - IPCop
    * 102: KVM - paedML

Netzwerkkonfiguration

* Server:
  * eth0
    * onboard RTL8111/8168 
    * grün
    * SchülerKWRS auf vmbr0
    * 10.32.1.253

  * eth1
    * Intel100 (tulip) (unten) 
    * rot
    * BelWUE-Netz
    * portforwarding auf vmbr1
    * 141.10.54.244 

  * eth2
    * Realtek100 (mitte)
    * blau
    * WLAN auf vmbr2
    * 192.168.2.1

  * eth3
    * IntelGB (oben)
    * grau
    * Lehrer auf vmbr3
    * 10.16.209.5

* Bridges (wie virtuelle Netzwerkswitche)

  * vmbr0
    * grün
    * Schüler KWRS
    * 10.32.X,Y
    * IPCop (VM100): 10.32.1.254
    * paedml (VM101): 10.32.1.1
    * proxmoxtgs: 10.32.1.253

  * vmbr1
    * rot
    * Internetanbindung an BelWUE über Cisco-Router(141.10.54.241)
    * Portforwarding, so wird nur eine IP benötigt
    * 192.168.1.X
    * IPCop (VM100): 192.168.1.254


  * vmbr2
    * blau
    * WLAN der KWRS
    * IP?
    * IPCop (VM100): 

  * vmbr3
    * grau
    * Lehrernetz des Schulzentrums
    * 10.16.209.X
    * proxmoxkwrs: 10.16.209.5
    * paedml (VM101): 10.16.209.6


* Port-Forwarding auf vmbr1

{{{
auto vmbr1
iface vmbr1 inet static
        address  192.168.1.1
        netmask  255.255.255.0
        bridge_ports none
        bridge_stp off
        bridge_fd 0
        post-up echo 1 > /proc/sys/net/ipv4/ip_forward
        post-up iptables -t nat -A POSTROUTING -s '192.168.1.0/24' -o eth1 -j MASQUERADE
	post-up iptables -t nat -A PREROUTING -p tcp --dport 80 -i eth1 -j DNAT --to 192.168.1.254:80
        post-up iptables -t nat -A PREROUTING -p tcp --dport 443 -i eth1 -j DNAT --to 192.168.1.254:443
        post-up iptables -t nat -A PREROUTING -p tcp --dport 2222 -i eth1 -j DNAT --to 192.168.1.254:2222
        post-up iptables -t nat -A PREROUTING -p tcp --dport 25 -i eth1 -j DNAT --to 192.168.1.254:25        
        post-down iptables -t nat -D POSTROUTING -s '192.168.1.0/24' -o eth1 -j MASQUERADE
	post-down iptables -t nat -D PREROUTING -p tcp --dport 80 -i eth1 -j DNAT --to 192.168.1.254:80
        post-down iptables -t nat -D PREROUTING -p tcp --dport 443 -i eth1 -j DNAT --to 192.168.1.254:443
        post-down iptables -t nat -D PREROUTING -p tcp --dport 2222 -i eth1 -j DNAT --to 192.168.1.254:2222
        post-down iptables -t nat -D PREROUTING -p tcp --dport 25 -i eth1 -j DNAT --to 192.168.1.254:25
}}}



* VM
  * VM100 (kvm) IPCop
    * eth0
      * grün
      * vmbr0
      * 10.32.1.254
      * Realtek rtl8139[[BR]][[BR]]
    * eth1
      * rot
      * vmbr1
      * 192.168.1.254
      * Realtek rtl8139[[BR]][[BR]]
    * eth2
      * blau
      * vmbr2
      * 172.16.32.254
      * Intel e1000[[BR]][[BR]][[BR]][[BR]]
  * VM101 (kvm) PaedML
    * intern
      * grün
      * vmbr0
      * 10.32.1.1
      * Realtek rtl8139[[BR]][[BR]]
    * eth0
      * grau
      * vmbr3
      * 10.16.209.6
      * Intel e1000


* Firewall
  * BelWUE-Router
    * blockt alles außer
      * 22 !ProxMox-Access per ssh (publicKey/privateKey abgesichert)
      * 2222 Zugang durch IPCop per ssh auf paedml (publicKey/privateKey abgesichert)
      * 80 http:// über IPCop auf paedml
      * 443 https:// über IPCop auf paedml
      * 25 smtp über IPCop auf paedml[[BR]][[BR]]
  * IPCop hat Firewallregeln für Ports
      * 2222 auf paedml 22
      * 80 auf paedml 80
      * 443 auf paedml 443 [[BR]][[BR]]
  * paedml hat Firewallregeln für den Zugriff aus grünem Netz (nur aufgenommene Clients dürfen zugreifen)