61 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]
Kettler пишет:

Но если ручками без SNAT или MASQUERADE работать не будет. Проверенно не раз.

УМВР, без nat'а и snat'а. Например http://linuxforum.ru/viewtopic.php?pid=176106#p176106 из этого скрипта маскарад выкинь и две подсети только форвард = доступ из одной в другую будет, проверял не раз.

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

62 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Ок. Так когда вы пытаетесь раздать инет зачем вы пользуетесь маскардинг?
Подумаешь тут eth1 и eth2. А если инет например eth1 и ppp0?
Ведь тоже обычные две сети ток с разными подсетями.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

63 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
newzenon пишет:
Kettler пишет:

Но если ручками без SNAT или MASQUERADE работать не будет. Проверенно не раз.

УМВР, без nat'а и snat'а. Например http://linuxforum.ru/viewtopic.php?pid=176106#p176106 из этого скрипта маскарад выкинь и две подсети только форвард = доступ из одной в другую будет, проверял не раз.

Согласен может и будет. Токо в этой теме на 3 страницах не сказал сделать.

 Консоль:
echo "1" > /proc/sys/net/ipv4/ip_dynaddr

Чтоб было. А это свойственно и SNAT или MASQUERADE

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

64 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Маскарад только для раздачи интернета. Для доступа из одной локальной подсети в другую локальную он не нужен.

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

65 Ответ от Kettler (26.01.2012 11:34:23 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Я молчу. Пускай ТС проверит мой вариант и там видно будет.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

66 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]
echo "1" > /proc/sys/net/ipv4/ip_dynaddr

Это нужно только. если ip внешний динамический.

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

67 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
newzenon пишет:

Маскарад только для раздачи интернета. Для доступа из одной локальной подсети в другую локальную он не нужен.

В чём различие от доступа в интернет и от доступа в локальную сеть?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

68 Ответ от zenon (26.01.2012 11:53:52 отредактировано zenon)

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

NAT - это трансляция (подмена) адресов. Сказать почему нельзя делать NAT? Потому что тогда все запросы из одной подсети в другую будут иметь в IP адресе отправителя - IP адрес шлюза.

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

69 Ответ от bormant

  • bormant
  • bormant
  • Модератор
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,532
  • Репутация : [ 206 | 1 ]
Kettler пишет:
newzenon пишет:

Маскарад только для раздачи интернета. Для доступа из одной локальной подсети в другую локальную он не нужен.

В чём различие от доступа в интернет и от доступа в локальную сеть?

В необходимости "белого" ip для доступа в Интернет? У выходящих со шлюза в Интернет пакетов "серый" адрес частной сети подменяется на "белый" маршрутизируемый адрес шлюза. Если в локальной сети адреса "белые", достаточно было бы только маршрутизации.

+ Kettler

70 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Что то в голове бардак  ac . Надо покурить.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

71 Ответ от unlimited (27.01.2012 10:47:50 отредактировано unlimited)

  • unlimited
  • Пользователь
  • Неактивен
  • Откуда: Юг
  • Зарегистрирован: 30.08.2011
  • Сообщений: 192
  • Репутация : [ 0 | 0 ]
Kettler пишет:

Бррр вставлю свои 5 копеек.
На жлюзе сделай как говорит newzenon

 Консоль:
iptables -I FORWARD 1 -i eth0 -o eth1 -j ACCEPT
iptables -I FORWARD 1 -i eth1 -o eth0 -j ACCEPT

И после этого вот эти команды. Всё надо делать в консоли. Ну пока для теста MASQUERADE а потом уже можно SNAT.

 Консоль:
iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE
iptables --table nat --append POSTROUTING --out-interface eth1 -j MASQUERADE

И бежим проверять пинги между подсетями.

Если нет покажи вывод.

 Консоль:
ifconfig
route -n

спасибо огромное!
подсети пингуются.
пошел читать маны

новичок

72 Ответ от Kettler (27.01.2012 10:47:30 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Хех) И где тут здравый разум тогда.
Что и требовалось доказать.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

73 Ответ от unlimited (27.01.2012 10:54:07 отредактировано unlimited)

  • unlimited
  • Пользователь
  • Неактивен
  • Откуда: Юг
  • Зарегистрирован: 30.08.2011
  • Сообщений: 192
  • Репутация : [ 0 | 0 ]

Kettler , если не трудно по содержимому:
iptables -I FORWARD 1 -i eth0 -o eth1 -j ACCEPT
iptables -I FORWARD 1 -i eth1 -o eth0 -j ACCEPT

и

iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE
iptables --table nat --append POSTROUTING --out-interface eth1 -j MASQUERADE

благодарю

новичок

74 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Что именно?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

75 Ответ от unlimited

  • unlimited
  • Пользователь
  • Неактивен
  • Откуда: Юг
  • Зарегистрирован: 30.08.2011
  • Сообщений: 192
  • Репутация : [ 0 | 0 ]

по всем четырем вышеуказанным)))

новичок

76 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Позже. Токо после перезагрузки правила исчезнут. Я не знаю как в SUSE ставиться в автозагрузку.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

77 Ответ от unlimited

  • unlimited
  • Пользователь
  • Неактивен
  • Откуда: Юг
  • Зарегистрирован: 30.08.2011
  • Сообщений: 192
  • Репутация : [ 0 | 0 ]
Kettler пишет:

как в SUSE ставиться в автозагрузку.

упс блин. действительно-как же?

новичок

78 Ответ от aliaksei1818

  • Откуда: Беларусь
  • Зарегистрирован: 26.02.2011
  • Сообщений: 958
  • Репутация : [ 65 | 0 ]
unlimited пишет:

упс блин. действительно-как же?

cat /etc/sysconfig/SuSEfirewall2

 Консоль:
## Type:    string
#
# Do you want to load customary rules from a file?
#
# This is really an expert option. NO HELP WILL BE GIVEN FOR THIS!
# READ THE EXAMPLE CUSTOMARY FILE AT /etc/sysconfig/scripts/SuSEfirewall2-custom
#
#FW_CUSTOMRULES="/etc/sysconfig/scripts/SuSEfirewall2-custom"
FW_CUSTOMRULES=""

Дополнительно - http://doc.xboct.org/html/cha.security.firewall.html:

doc.xboct.org пишет:

FW_CUSTOMRULES (firewall)
Uncomment this variable to install custom rules. Find examples in /etc/sysconfig/scripts/SuSEfirewall2-custom

..

79 Ответ от unlimited

  • unlimited
  • Пользователь
  • Неактивен
  • Откуда: Юг
  • Зарегистрирован: 30.08.2011
  • Сообщений: 192
  • Репутация : [ 0 | 0 ]

поместить строки
iptables -I FORWARD 1 -i eth0 -o eth1 -j ACCEPT
iptables -I FORWARD 1 -i eth1 -o eth0 -j ACCEPT
iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE
iptables --table nat --append POSTROUTING --out-interface eth1 -j MASQUERADE

в FW_CUSTOMRULES=""???

новичок

80 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

 Консоль:
nano /etc/sysconfig/SuSEfirewall2

Убираем комментарий # перед строкой "FW_CUSTOMRULES="/etc/sysconfig/scripts/SuSEfirewall2-custom"
После.

 Консоль:
nano /etc/sysconfig/scripts/SuSEfirewall2-custom

И туда

 Консоль:
iptables -I FORWARD 1 -i eth0 -o eth1 -j ACCEPT
iptables -I FORWARD 1 -i eth1 -o eth0 -j ACCEPT
iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE
iptables --table nat --append POSTROUTING --out-interface eth1 -j MASQUERADE

После ребут и проверяем.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

81 Ответ от UTiM

  • UTiM
  • Пользователь
  • Неактивен
  • Откуда: Moscow
  • Зарегистрирован: 22.02.2010
  • Сообщений: 101
  • Репутация : [ 3 | 0 ]

Вместо прописывания пары правил в фаервол - все равно прописали в фаервол, только через костыль в "ручном" режиме.  Не ищут люди легких путей...  ag

82 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
UTiM пишет:

Вместо прописывания пары правил в фаервол - все равно прописали в фаервол, только через костыль в "ручном" режиме.  Не ищут люди легких путей...  ag

Это самый правильный путь!!! А вот ваши всякие гуи как раз и костыль.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

83 Ответ от UTiM

  • UTiM
  • Пользователь
  • Неактивен
  • Откуда: Moscow
  • Зарегистрирован: 22.02.2010
  • Сообщений: 101
  • Репутация : [ 3 | 0 ]

Все на ассемблер!
Вообще-то это не гуй, а скрипт, генерирующий правила iptables из правил, заданных в более "человеческом" виде.   Особенно это важно, когда число правил переваливает за пару десятков... Если разработчики Suse предусмотрели данный механизм - то наверное думали, что делали. По сути не надо пытаться SuSEFirewall заставлять генерить нужные правила, а просто использовать для настройки сети. Как это делается - вот подробный пример без лишнего флуда: http://unixforum.org/index.php?showtopic=111464  - почитайте, если не лень.

84 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

UTiM, бесспорно, может Suse Firewall и удобная штука, может разработчики. и продумали все от и до... Оно вам там в Suse видней.
Но мне надстройки над надстройками всегда казались лишним, что Shorewall, что Arno's Iptables Firewall или UFW - Uncomplicated Firewall.
Сравнение с ассемблером тут слишком избыточно. Правила iptables пишутся довольно понятно, а вот вникать в обертки оберток, не зная как на самом деле работает iptables вызывает большую путанницо. Хотя это только мое мнение.

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

85 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
newzenon пишет:

Правила iptables пишутся довольно понятно, а вот вникать в обертки оберток, не зная как на самом деле работает iptables вызывает большую путанницо.

+1.

UTiM пишет:

Все на ассемблер!

асм тут не причём. iptables тоже обёртка на самом деле.после знакомства с мануалом там нет никаких сложностей. Да и манул есть на русском. http://www.opennet.ru/docs/RUS/iptables/ Читайте.

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)

86 Ответ от UTiM

  • UTiM
  • Пользователь
  • Неактивен
  • Откуда: Moscow
  • Зарегистрирован: 22.02.2010
  • Сообщений: 101
  • Репутация : [ 3 | 0 ]

Знать основы безусловно надо и полезно. Но пользоваться - тем, чем удобнее в конкретном случае. Сознательное усложнение задачи допустимо только в учебных целях или если по другому ее решить невозможно. В повседневной практике (если это не шлюз, где всем все можно)- и правил iptables слишком много -  их редактирование превращается в тихий кошмар. Или просто надо сделать быстро. Вот тут и нужны надстройки.

87 Ответ от inTime (28.01.2012 04:31:28 отредактировано inTime)

  • inTime
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.11.2011
  • Сообщений: 254
  • Репутация : [ 2 | 0 ]

Ну и где уважаемые модераторы с плашкой [ФЛЕЙМ] в этом холиваре?

По существу- не нравиться SuSEFirewall - не используй. А лучше выбери другой дистрибутив. В сообществе SUSE давно уже сложилось свое мнение, что должно быть в дистрибутиве, а что нет.

88 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
UTiM пишет:

Все на ассемблер!
Вообще-то это не гуй, а скрипт, генерирующий правила iptables из правил, заданных в более "человеческом" виде.   Особенно это важно, когда число правил переваливает за пару десятков... Если разработчики Suse предусмотрели данный механизм - то наверное думали, что делали. По сути не надо пытаться SuSEFirewall заставлять генерить нужные правила, а просто использовать для настройки сети. Как это делается - вот подробный пример без лишнего флуда: http://unixforum.org/index.php?showtopic=111464  - почитайте, если не лень.

За пару десятков?  ag  ag  ag  Вам показать мои скрипты?
И я в них как рыба в воде.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

89 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
Kettler пишет:

Вам показать мои скрипты?

да. пригодятся.

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)

90 Ответ от UTiM (28.01.2012 14:41:06 отредактировано UTiM)

  • UTiM
  • Пользователь
  • Неактивен
  • Откуда: Moscow
  • Зарегистрирован: 22.02.2010
  • Сообщений: 101
  • Репутация : [ 3 | 0 ]

Уважаемые знатоки iptablesa - по теме:
Вы разрешили хождение пакетов из eth0 в eth1 и наоборот. И этого достаточно.

iptables -I FORWARD 1 -i eth0 -o eth1 -j ACCEPT
iptables -I FORWARD 1 -i eth1 -o eth0 -j ACCEPT

А вот накой вы включили на обоих интерфейсах маскарадинг?

iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE
iptables --table nat --append POSTROUTING --out-interface eth1 -j MASQUERADE

Работать оно так будет конечно. Шлюз будет прятать аипишники из обох сетей - но зачем и от кого? (Адреса сетей не совпадают) В лучшем случае вы в последствии получите лишний и малопонятный геморой с хождением некоторых типов трафика.

Типа рулить умеем, но зачем и куда ехать не понимаем?