1 Тема от kennedy

  • kennedy
  • Новичок
  • Неактивен
  • Зарегистрирован: 28.02.2010
  • Сообщений: 85
  • Репутация : [ 0 | 0 ]

xx.xx.xx.xx первый айпи адрес с гетевей xx.xx.xx.xz (eth0)
yy.yy.yy.yy второй ай-пи с гетевей yy.yy.yy.yz (eth1)

При обращении к eth1 отдача идет через eth0 а нужно eth1

добавляем правила.
200 net222 (/etc/iproute2/rt_tables)

from YY.YY.YY.YY table net222 (/etc/sysconfig/network-scripts/rule-eth1)

default via YY.YY.YY.YZ dev eth1 table net222 (/etc/sysconfig/route-eth1)

net.ipv4.ip_forward = 1 (/etc/sysctl.conf)

iptables -t nat -A POSTROUTING -o eth1 -s YY.YY.YY.0/27 -j SNAT --to-source YY.YY.YY.YY

все равно отдача через eth0. Что еще нужно учесть?

2 Ответ от sbin

  • sbin
  • Пользователь
  • Неактивен
  • Зарегистрирован: 21.03.2010
  • Сообщений: 321
  • Репутация : [ 2 | 0 ]

kennedy, попробуйте воспользоваться mark для iptables

3 Ответ от kennedy (27.06.2011 22:23:01 отредактировано kennedy)

  • kennedy
  • Новичок
  • Неактивен
  • Зарегистрирован: 28.02.2010
  • Сообщений: 85
  • Репутация : [ 0 | 0 ]

попробовать можно но почему эта инструкция не срабатывает может вместо ай-пи нужно прописывать гетевей? --to-source YY.YY.YY.YZ
или через маскарад
iptables -t nat -A POSTROUTING -s YY.YY.YY.YY -o eth1 -j MASQUERADE

Или я еще что то в настройках не учел? может что в правилах iproute2 нужно дописать под eth1 и lo ничего не писал по идеи они должно идти через стандартный гетевей может стоит и им таблицы создать?

если скажем создать им таблицы тогда и дефалт гетевей можно убрать или так я сеть потеряю?

4 Ответ от Hrafn

  • Hrafn
  • Гость
sbin пишет:

kennedy, попробуйте воспользоваться mark для iptables

5 Ответ от kennedy

  • kennedy
  • Новичок
  • Неактивен
  • Зарегистрирован: 28.02.2010
  • Сообщений: 85
  • Репутация : [ 0 | 0 ]

Hrafn, спасибо, читать я умею.  вот бы кто ответил на те вопросы которые я задавал.

6 Ответ от Hrafn

  • Hrafn
  • Гость

Вы бы еще раз почитали, что Вам написали. И поискади информацию самостоятельно. Да, ее на русском не так уж и много, но она есть. Например, вот:
http://habrahabr.ru/blogs/linux/49137/
http://habrahabr.ru/blogs/linux/55132/

А самое главное - попытаться понять, как это вообще работает.

7 Ответ от Hrafn

  • Hrafn
  • Гость

А вообще, Вы бы хоть показали свои конфиги, а то вопросы задаете, а что и как сделано - скрываете. Кому результат-то нужен?

8 Ответ от kennedy

  • kennedy
  • Новичок
  • Неактивен
  • Зарегистрирован: 28.02.2010
  • Сообщений: 85
  • Репутация : [ 0 | 0 ]

Ростяпа. Засунул файл не туда и решил что так и нужно ac обидно.
default via YY.YY.YY.YZ dev eth1 table net222 (/etc/sysconfig/route-eth1)
/etc/sysconfig/network-scripts/route-eth1

9 Ответ от Vascom

  • Vascom
  • Vascom
  • Пользователь
  • Неактивен
  • Откуда: Moscow
  • Зарегистрирован: 02.04.2010
  • Сообщений: 4,535
  • Репутация : [ 189 | 2 ]

Вопрос решён?

Сайт Vascom

10 Ответ от sagvir

  • sagvir
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.03.2011
  • Сообщений: 188
  • Репутация : [ 0 | 0 ]

Всем доброго время суток!) заранее хочу сказать спасибо форумчанам всегда помогают,находят свободное время и остаются соучастными в проблеме темы до конца)
Извеняюсь за копипаст с другой теме создал такое же сообщение просто не хотел создавать новую тему не хочу засорять в случае чего повторными темами
Вопрос вот в чем все те же любимые правила iptables
есть eth0 - локальный интерфейс,
eth1:1 - интерфейс с белым айпи с интернетом
Мне нужно завернуть трафик с одного айпи - 192.168.1.200 из подсети eth0 192.168.1.0/24 на eth1:1 интерфейс чтобы интернет шел на прямую, будте добры разобраться с правилами
пытался прописать следующее не помогло
iptables -t nat -A POSTROUTING -o eth1:1 -s 192.168.1.200 -j MASQUERADE
iptables -A FORWARD -i eth0 -o eth1:1 ACCEPT
iptables -A FORWARD -i eth1:1 -o eth0 -j REJECT

11 Ответ от sagvir

  • sagvir
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.03.2011
  • Сообщений: 188
  • Репутация : [ 0 | 0 ]

Кстати уместней было бы через SNAT поспособствуйте правильной реализации правил)
$IPT -t nat -A POSTROUTING -s 192.168.1.200 -o eth1:1 -p tcp -j SNAT --to source xxx.xxx.xxx.xx
$IPT -t nat -A PREROUTING -d xxx.xxx.xxx.xx -i eth1:1 -p tcp -j DNAT --to-destination 192.168.1.200

12 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Создать table и на основе mark пускать трафф куда вам угодно.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

13 Ответ от Vadimsky

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]

В вашем случае так:

 Консоль:

/sbin/iptables -t nat -A POSTROUTING -o eth1:1 -s 192.168.1.200 -j SNAT --to-source xxx.xxx.xxx.xxx

Где xxx.xxx.xxx.xxx - ваш белый IP, и совершенно верно, при статических адресах маскарад не нужен.

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

14 Ответ от Kettler (28.06.2011 16:09:06 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
Vadimsky пишет:

В вашем случае так:

 Консоль:

/sbin/iptables -t nat -A POSTROUTING -o eth1:1 -s 192.168.1.200 -j SNAT --to-source xxx.xxx.xxx.xxx

Где xxx.xxx.xxx.xxx - ваш белый IP, и совершенно верно, при статических адресах маскарад не нужен.

sagvir пишет:

Кстати уместней было бы через SNAT поспособствуйте правильной реализации правил)
$IPT -t nat -A POSTROUTING -s 192.168.1.200 -o eth1:1 -p tcp -j SNAT --to source xxx.xxx.xxx.xx
$IPT -t nat -A PREROUTING -d xxx.xxx.xxx.xx -i eth1:1 -p tcp -j DNAT --to-destination 192.168.1.200

sagvir пишет:

Всем доброго время суток!) заранее хочу сказать спасибо форумчанам всегда помогают,находят свободное время и остаются соучастными в проблеме темы до конца)
Извеняюсь за копипаст с другой теме создал такое же сообщение просто не хотел создавать новую тему не хочу засорять в случае чего повторными темами
Вопрос вот в чем все те же любимые правила iptables
есть eth0 - локальный интерфейс,
eth1:1 - интерфейс с белым айпи с интернетом
Мне нужно завернуть трафик с одного айпи - 192.168.1.200 из подсети eth0 192.168.1.0/24 на eth1:1 интерфейс чтобы интернет шел на прямую, будте добры разобраться с правилами
пытался прописать следующее не помогло
iptables -t nat -A POSTROUTING -o eth1:1 -s 192.168.1.200 -j MASQUERADE
iptables -A FORWARD -i eth0 -o eth1:1 ACCEPT
iptables -A FORWARD -i eth1:1 -o eth0 -j REJECT

?
Как предложил Vadimsky ток
/sbin/iptables -t nat -I POSTROUTING 1 -o eth1:1 -s 192.168.1.200 -j SNAT --to-source xxx.xxx.xxx.xxx

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

15 Ответ от Vadimsky (28.06.2011 16:12:09 отредактировано Vadimsky)

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]

ландно, проехали

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

16 Ответ от sagvir

  • sagvir
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.03.2011
  • Сообщений: 188
  • Репутация : [ 0 | 0 ]

Спасибо ребята!) буду пробовать!) кстати а зачем POSTROUTING 1 ? да и бывает когда с виртуальными интерфейсами работаешь такого рода ошибки выдает но правила все равно применяет)
Warning: wierd character in interface `eth1:1' (No aliases, :, ! or *).

17 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Если делать
iptables -t nat -A POSTROUTING -o eth1:1 -s 192.168.1.200 -j SNAT --to-source xxx.xxx.xxx.xxx
то пишешь в конец и как неправильный пример (не сработает правило)
iptables -t nat -A POSTROUTING -o eth1:1 -s 192.168.1.0/24 -j SNAT --to-source xxx.xxx.xxx.xxx
iptables -t nat -A POSTROUTING -o eth1:1 -s 192.168.1.200 -j SNAT --to-source xxx.xxx.xxx.xxx
Поэтому делаешь
iptables -t nat -I POSTROUTING 1 -o eth1:1 -s 192.168.1.200 -j SNAT --to-source xxx.xxx.xxx.xxx
Чтоб стало первым

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

18 Ответ от sagvir

  • sagvir
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.03.2011
  • Сообщений: 188
  • Репутация : [ 0 | 0 ]

Спасибо Кеттлер ты как всегда превосходен)

19 Ответ от sagvir

  • sagvir
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.03.2011
  • Сообщений: 188
  • Репутация : [ 0 | 0 ]

Кстати правила не работают) скажем если весь трафик перебросить с одной сети во внешний интерфейс то да, или по портам:
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -p tcp --dport 4439 -j SNAT --to-source xxx.xxx.xxx.xx
то работает а для одного айпи из этой подсети не пашет.
iptables -t nat -A POSTROUTING -o eth1 -s 192.168.1.200 -j MASQUERADE на другом серваке работает на том что сейчас тестирую нет..странно даже) там и там статически айпи прописываю

20 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
sagvir пишет:

Кстати правила не работают) скажем если весь трафик перебросить с одной сети во внешний интерфейс то да, или по портам:
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -p tcp --dport 4439 -j SNAT --to-source xxx.xxx.xxx.xx
то работает а для одного айпи из этой подсети не пашет.
iptables -t nat -A POSTROUTING -o eth1 -s 192.168.1.200 -j MASQUERADE на другом серваке работает на том что сейчас тестирую нет..странно даже) там и там статически айпи прописываю

http://linuxforum.ru/viewtopic.php?pid=191524#p191524

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.