Форум сетевых администраторов - а будет ли новый шлюз?

Страницы (2): [1] 2 »
Показаны 21 сообщений на этой странице

Форум сетевых администраторов (http://netadmin.ws/forum/index.php)
- Linux (http://netadmin.ws/forum/forumdisplay.php?forumid=13)
-- а будет ли новый шлюз? (http://netadmin.ws/forum/showthread.php?threadid=5948)

Помещено Gilbert 03-07-2003 в 15:26:

а будет ли новый шлюз?

Ну всё сделал уже. Таблица маршрутизации какая надо, host.allow, host.deny прописал... Через eth0(внутр. интерфейс-192.168.1.1) вижу внутреннюю сеть. Через eth1 (XXX.XXX.XXX.154) вижу внешнюю сеть провайдера, всё по инструкциям, выложенным в большом кол-ве в интернете, а маршрутизация не работает. �_оутер на ASPLinux 7.3. Где-то что-то я недоделал, подскажите, где и что?

Помещено gryshadow 04-07-2003 в 08:01:

форвардинг по умолчанию разрешен?
В файрволе форвардинг разрешен?

echo 1 > /proc/sys/net/ipv4/ip_forward
ДЛя форвардинга.
И посмотри правила файрвола...

__________________
Чайник, мечтающий стать самоваром!

Помещено Gilbert 04-07-2003 в 09:25:

quote:
Первоначальное сообщение от gryshadow
форвардинг по умолчанию разрешен?
В файрволе форвардинг разрешен?

echo 1 > /proc/sys/net/ipv4/ip_forward
ДЛя форвардинга.
И посмотри правила файрвола...

в файле /proc/sys/net/ipv4/ip_forward просто 1 стоит и больше ничего
а как посмотреть правила файрвола? Система с нуля установлена, с фаерволом я ещё не играл.

Помещено gryshadow 04-07-2003 в 17:17:

quote:
Первоначальное сообщение от Gilbert
в файле /proc/sys/net/ipv4/ip_forward просто 1 стоит и больше ничего
а как посмотреть правила файрвола? Система с нуля установлена, с фаерволом я ещё не играл.

Смотря какой файрвол, наприме service iptables status
или service ipchains status

в зависимости от того, что запущено - iptables или ipchains...
Кстати! Сетка то у тебя на второй сетевушке с локальными адресами?
Если у прова нет маршрута на твою подсеть - то нифига и не получиться

тут без маскарада не обойтись! (или NAT-а)
Вот потому у тебя наверное нифига и не работает

Читай что такое NAT или MASQUARAD (это делает файрвол, причем iptables это делает лучше)
Вобщем на www.opennet.ru есть статья по iptables (мне понравилась) с примерами и т.д. - �_КСПЕ�_ИМЕНТИ�_УЙТЕ!

__________________
Чайник, мечтающий стать самоваром!

Помещено Gilbert 05-07-2003 в 08:35:

quote:
Первоначальное сообщение от gryshadow
Смотря какой файрвол, наприме service iptables status
или service ipchains status

в зависимости от того, что запущено - iptables или ipchains...
Кстати! Сетка то у тебя на второй сетевушке с локальными адресами?
Если у прова нет маршрута на твою подсеть - то нифига и не получиться
тут без маскарада не обойтись! (или NAT-а)
Вот потому у тебя наверное нифига и не работает
Читай что такое NAT или MASQUARAD (это делает файрвол, причем iptables это делает лучше)
Вобщем на www.opennet.ru есть статья по iptables (мне понравилась) с примерами и т.д. - �_КСПЕ�_ИМЕНТИ�_УЙТЕ!

То есть ты хочешь сказать, что у прова не только наш IP(этот самый шлюз) должен быть прописан, но и подсеть, что за шлюзом прячется? Я об этом почитаю, но ещё узнать хочется такую штуку, у нас уже есть один рабочий шлюз, который мы собираемся заменить новым, где посмотреть можно, как там реализованы NAT или MASQUARAD(это типа как подмена адресов сети адресом шлюза при выходе в инет, да?), в каком конфиг. файле?

Помещено gryshadow 07-07-2003 в 09:33:

quote:
Первоначальное сообщение от Gilbert
То есть ты хочешь сказать, что у прова не только наш IP(этот самый шлюз) должен быть прописан, но и подсеть, что за шлюзом прячется? Я об этом почитаю, но ещё узнать хочется такую штуку, у нас уже есть один рабочий шлюз, который мы собираемся заменить новым, где посмотреть можно, как там реализованы NAT или MASQUARAD(это типа как подмена адресов сети адресом шлюза при выходе в инет, да?), в каком конфиг. файле?

ИМЕННО �_ТО!!

Для iptables
iptables -t nat -L
Покажет запущен masquarad или нет
Или в /etc/sysconfig/iptables (или ipchains)
В этих файлах правила брандмауэра, поднимаемые при загрузке компа...

__________________
Чайник, мечтающий стать самоваром!

Помещено Gilbert 07-07-2003 в 09:57:

quote:
Первоначальное сообщение от gryshadow
ИМЕННО �_ТО!!

Для iptables
iptables -t nat -L
Покажет запущен masquarad или нет
Или в /etc/sysconfig/iptables (или ipchains)
В этих файлах правила брандмауэра, поднимаемые при загрузке компа...

Там ipfwadm стоит...

Помещено gryshadow 07-07-2003 в 18:43:

Знач рой доку по ipfwadm и читай....
Но мне iptables больше нравиться.
Маскарад там вообще одной строкой поднимается....

__________________
Чайник, мечтающий стать самоваром!

Помещено Gilbert 09-07-2003 в 05:40:

quote:
Первоначальное сообщение от gryshadow
Знач рой доку по ipfwadm и читай....
Но мне iptables больше нравиться.
Маскарад там вообще одной строкой поднимается....

В данный момент ситуация следующая. Внутренний интерфейс eth0(192.168.1.1) и внешний eth1(111.222.333.154). Даю команду
iptables -t nat -A POSTROUTING -s 192.168.1.0/255.255.255.0 --out-interface eth1 -j SNAT --to-source 111.222.333.154 (правильно?), шлюз провайдера
111.222.333.137. �_тот шлюз к интернету сейчас не подключен, так как нет возможности - у прова авторизация по MAC и сейчас работает другой шлюз, который собираюсь поменять на новый.
Посылаю пинг 111.222.333.137 с машины 192.168.1.102 из внутренней сети, пинг говорит, что адрес не найден. А по идее мне должен ответить 111.222.333.154, что адрес не найден. По крайней мере так происходит на старом шлюзе. Делаю выводы, что пакеты дальше eth1 и не уходят. Я прав? Подскажи, в чем может быть проблема?!

Помещено gryshadow 09-07-2003 в 09:03:

Не пытайся сделать все сразу за 1 раз!
Для начала сделай так:
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
�_то правило отправляет ВСЕ на eth1 (инет)
MASQUERADE жрет ресурсов чуть побольше чем SNAT, НО вешается на интерфейс и может работать с динамическим ИП.
А дефолтовый маршрут у тебя на шлюзе прописан??????
если нет - то
route add default gw 111.222.333.137
где 111.222.333.137 - адрес шлюза прова.
А когдак заработает - тогда уже за SNAT берись...

__________________
Чайник, мечтающий стать самоваром!

Помещено Gilbert 09-07-2003 в 11:33:

quote:
Первоначальное сообщение от gryshadow
Не пытайся сделать все сразу за 1 раз!
Для начала сделай так:
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
�_то правило отправляет ВСЕ на eth1 (инет)
MASQUERADE жрет ресурсов чуть побольше чем SNAT, НО вешается на интерфейс и может работать с динамическим ИП.
А дефолтовый маршрут у тебя на шлюзе прописан??????
если нет - то
route add default gw 111.222.333.137
где 111.222.333.137 - адрес шлюза прова.
А когдак заработает - тогда уже за SNAT берись...

Всё сделал так, но случай, видимо, особо тяжелый. пинг 111,222,333,137 выдает превышенное время ожидания.
Может что в других настроиках проверить можно...

Помещено gryshadow 09-07-2003 в 12:39:

Знач так, начнем сначала:
1. �_азрешение форвардить
echo 1 > /proc/sys/net/ipv4/ip_forward
2. Останавливаем все брандмауэры (на всякий случай)
service iptables stop
service ipchains stop
3. Запускаем iptables
service iptables start
4. Проверяем политику по умолчанию
service iptables status
должно быть
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

ВЕЗДЕ ACCEPT!!!!!!
4. Врубаем маскарад
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

5. Проверяем таблицу маршрутизации
route
Должно выдать
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.1.0 * 255.255.255.0 U 0 0 0 eth0
127.0.0.0 * 255.0.0.0 U 0 0 0 lo
default 111.222.333.137 0.0.0.0 UG 0 0 0 eth1

Если default нету - прописываешь:
route add default gw 111.222.333.137
НАСТ�_ОЙКА СЕ�_ВАКА ЗАВЕ�_ШЕНА!
На клиенте шлюз - 192.168.1.1
Набираешь ping 111.222.333.137 с клиента - должно пингаться!
если не пингается - становишься tcpdump ом на серваке и смотришь - приходят пакеты или нет, и уходят ли дальше...

gryshadow добавил 09-07-2003 в 12:47:05:
или лучше ping 111.222.333.154 (IP твоего eth1)

__________________
Чайник, мечтающий стать самоваром!

Помещено Gilbert 10-07-2003 в 05:31:

quote:
Первоначальное сообщение от gryshadow
Знач так, начнем сначала:
1. �_азрешение форвардить
echo 1 > /proc/sys/net/ipv4/ip_forward
2. Останавливаем все брандмауэры (на всякий случай)
service iptables stop
service ipchains stop
3. Запускаем iptables
service iptables start
4. Проверяем политику по умолчанию
service iptables status
должно быть
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

ВЕЗДЕ ACCEPT!!!!!!
4. Врубаем маскарад
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

5. Проверяем таблицу маршрутизации
route
Должно выдать
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.1.0 * 255.255.255.0 U 0 0 0 eth0
127.0.0.0 * 255.0.0.0 U 0 0 0 lo
default 111.222.333.137 0.0.0.0 UG 0 0 0 eth1

Если default нету - прописываешь:
route add default gw 111.222.333.137
НАСТ�_ОЙКА СЕ�_ВАКА ЗАВЕ�_ШЕНА!
На клиенте шлюз - 192.168.1.1
Набираешь ping 111.222.333.137 с клиента - должно пингаться!
если не пингается - становишься tcpdump ом на серваке и смотришь - приходят пакеты или нет, и уходят ли дальше...

gryshadow добавил 09-07-2003 в 12:47:05:
или лучше ping 111.222.333.154 (IP твоего eth1)

Сделал по порядку. Сейчас ситуация такая, клинентская машина подключена к шлюзу, шлюз к интернету не подключен. Пингую с клиентской машины 111.222.333.137 - выдает превышеное время ожидания, а должен вроде как 111.222.333.154 ответить, что хост не найден. Пингую 111.222.333.154 - пингуется чудесно(он с самого начала пинговался). Таблица маршрутизации именно какая надо, но есть ещё строка
111.222.333.0 * 255.255.255.0 U 0 0 0 eth1
все остальные условия выполняются тоже.
Пойду поинтересуюсь, как с tcpdump работать.

Помещено gryshadow 10-07-2003 в 09:05:

Пишешь tcpdump -i eth1
и смотришь, когда пинги лезут с клиентской машины - с eth1 должны уходить пакеты с обратным адресом eth1!!
Если идут с обратным адресом клиента - знач маскарад не заработал...

А про строчку еще одну в route я просто забыл
Все правильно...
Кстати проверь правильная ли маска подсети на eth1 стоит??? может она не 255.255.255.0???

gryshadow добавил 10-07-2003 в 09:06:28:
со шлюза 111.222.333.137 пингается???

если 111.222.333.137 вообще отсутствует на данный момент в сети, то как это маскарад прохавает я незнаю, вполне возможно, что ответ приходит, но с запаздыванием, а винда его просто не дожидается...

Смоделировал твою ситуацию - винда выдала "Врямя ожидания истекло" для IP которого вообще нету!!!! так что для проверки рабатоспособности пингай СУЩЕСТВУЮЩИЙ! ТОЧНО �_АБОТАЮЩИЙ АД�_ЕС ЗА ШЛЮЗОМ!!!! (Но не шлюзовский!!!, шлюз и без маскарада должен отвечать, если он не отвечает, знач форвардинг не работает...)

__________________
Чайник, мечтающий стать самоваром!

Помещено Gilbert 10-07-2003 в 12:25:

quote:
Первоначальное сообщение от gryshadow
Пишешь tcpdump -i eth1
и смотришь, когда пинги лезут с клиентской машины - с eth1 должны уходить пакеты с обратным адресом eth1!!
Если идут с обратным адресом клиента - знач маскарад не заработал...

А про строчку еще одну в route я просто забыл
Все правильно...
Кстати проверь правильная ли маска подсети на eth1 стоит??? может она не 255.255.255.0???

gryshadow добавил 10-07-2003 в 09:06:28:
со шлюза 111.222.333.137 пингается???

если 111.222.333.137 вообще отсутствует на данный момент в сети, то как это маскарад прохавает я незнаю, вполне возможно, что ответ приходит, но с запаздыванием, а винда его просто не дожидается...

Смоделировал твою ситуацию - винда выдала "Врямя ожидания истекло" для IP которого вообще нету!!!! так что для проверки рабатоспособности пингай СУЩЕСТВУЮЩИЙ! ТОЧНО �_АБОТАЮЩИЙ АД�_ЕС ЗА ШЛЮЗОМ!!!! (Но не шлюзовский!!!, шлюз и без маскарада должен отвечать, если он не отвечает, знач форвардинг не работает...)

Сейчас tcpdump выдает
16.02.18.077956 arp who-has 111.222.333.137 tell my.prov.ru,
где my.prov.ru - имя, соответствующее 111.222.333.154 в файле hosts
вроде как маскарадит?

Формат времени GMT. Текущее время 17:43.

Страницы (2): [1] 2 »
Показаны 21 сообщений на этой странице