1 Тема от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Был спор в какой то теме типо я не прав.
Хорошо я соглашусь что я не прав если вы укажите на мою ошибку!

На шлюзе имеем туннель соединённый с другим сервером. Будем считать сервер  <<<---- клиент.
Выводы с клиента.

 Консоль:
~# ifconfig tun0
tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
          inet addr:192.168.200.2  P-t-P:192.168.200.1  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:498 errors:0 dropped:0 overruns:0 frame:0
          TX packets:504 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:500
          RX bytes:182352 (178.0 KiB)  TX bytes:72586 (70.8 KiB)

 Консоль:
~# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.213.1.63     10.213.17.254   255.255.255.255 UGH   0      0        0 eth1
80.252.130.254  10.213.17.254   255.255.255.255 UGH   0      0        0 eth1
10.213.14.55    10.213.17.254   255.255.255.255 UGH   0      0        0 eth1
192.168.200.1   0.0.0.0         255.255.255.255 UH    0      0        0 tun0
10.255.255.13   10.213.17.254   255.255.255.255 UGH   0      0        0 eth1
10.255.255.13   10.213.17.254   255.255.255.255 UGH   0      0        0 eth1
10.255.255.13   0.0.0.0         255.255.255.255 UH    0      0        0 ppp0
192.168.128.0   10.213.17.254   255.255.255.0   UG    0      0        0 eth1
10.213.17.0     0.0.0.0         255.255.255.0   U     0      0        0 eth1
10.123.123.0    0.0.0.0         255.255.255.0   U     0      0        0 eth0
0.0.0.0         0.0.0.0         0.0.0.0         U     0      0        0 ppp0
0.0.0.0         10.213.17.254   0.0.0.0         UG    0      0        0 eth1


 Консоль:
~# ping 192.168.200.1
PING 192.168.200.1 (192.168.200.1) 56(84) bytes of data.
64 bytes from 192.168.200.1: icmp_seq=1 ttl=64 time=0.523 ms
64 bytes from 192.168.200.1: icmp_seq=2 ttl=64 time=0.520 ms
^C

Всё как бы отлично.
Ставим в Iptables Forward ACCERT  и включаем маршрутизацию.

 Консоль:
cat /proc/sys/net/ipv4/ip_forward
1
iptables -P FORWARD ACCEPT

За данным шлюзом есть комп находящийся в сети 10.123.123.0/24

Подключение по локальной сети - Ethernet адаптер:

 Консоль:
   DNS-суффикс этого подключения . . :
   IP-адрес  . . . . . . . . . . . . : 10.123.123.253
   Маска подсети . . . . . . . . . . : 255.255.255.0
   Основной шлюз . . . . . . . . . . : 10.123.123.1

Так почему я не могу с данного клиента увидеть 192.168.200.1 пока не включу SNAT?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

2 Ответ от CyberDaemon

  • CyberDaemon
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.03.2010
  • Сообщений: 459
  • Репутация : [ 3 | 0 ]

А можно посмотреть iptables -L всё что относится только к цепочки FORWARD ?
И я бы tcpdump' ом посмотрел, что делается на шлюзе при пинге.

3 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

 Консоль:
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
TCPMSS     tcp  --  anywhere             anywhere            tcp flags:SYN,RST/S                                                                              YN TCPMSS clamp to PMTU
ACCEPT     all  --  10.213.1.63          110.123.123.253
ACCEPT     all  --  10.123.123.253       10.213.1.63
ACCEPT     all  --  10.213.1.63          110.123.123.253
ACCEPT     all  --  10.123.123.253       10.213.1.63
DROP       all  --  anywhere             anywhere            state INVALID
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTAB                                                                              LISHED
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere            multiport dports po                                                                              p3,smtp,imap2,aol,imaps,ftp,ftp-data,imap2,ssmtp
ACCEPT     tcp  --  anywhere             anywhere            multiport sports po                                                                              p3,smtp,imap2,aol,imaps,ftp,ftp-data,imap2,ssmtp
ACCEPT     tcp  --  anywhere             radio.flex.ru       multiport dports 80                                                                              00,https
ACCEPT     tcp  --  svc.flex.ru          anywhere            multiport sports 80                                                                              00,https
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere


 Консоль:
tcpdump -vv host 10.123.123.253 | grep 192.168.200.1
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
08:22:35.210048 IP (tos 0x0, ttl 128, id 1186, offset 0, flags [none], proto ICMP (1), length 60) 10.123.123.253 > 192.168.200.1: ICMP echo request, id 512, seq 8704, length 40
08:22:40.383436 IP (tos 0x0, ttl 128, id 1204, offset 0, flags [none], proto ICMP (1), length 60) 10.123.123.253 > 192.168.200.1: ICMP echo request, id 512, seq 8960, length 40

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

4 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Применяю SNAT

 Консоль:
iptables --table nat --append POSTROUTING --out-interface tun0 -j SNAT --to-source 192.168.200.2

 Консоль:
Обмен пакетами с 192.168.200.1 по с 32 байт данных:

Ответ от 192.168.200.1: число байт=32 время<1мс TTL=63
Ответ от 192.168.200.1: число байт=32 время<1мс TTL=63
Ответ от 192.168.200.1: число байт=32 время<1мс TTL=63

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

5 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Мне теперь это спать не даёт  ac  если должно то почему не пашет.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

6 Ответ от CyberDaemon

  • CyberDaemon
  • Пользователь
  • Неактивен
  • Зарегистрирован: 03.03.2010
  • Сообщений: 459
  • Репутация : [ 3 | 0 ]
Kettler пишет:

Мне теперь это спать не даёт  ac  если должно то почему не пашет.

Ещё раз, такой же tcpdump, только -i tun0

7 Ответ от KRUTO

  • KRUTO
  • Пользователь
  • Неактивен
  • Зарегистрирован: 14.11.2011
  • Сообщений: 272
  • Репутация : [ 5 | 0 ]

Kettler,
Если честно, не совсем понятно, как оно будет без SNAT работать? В этом же суть NAT,

Kettler пишет:

За данным шлюзом есть комп находящийся в сети 10.123.123.0/24

не могу сейчас попробовать, но если этому компу добавить еще маршрут  192.168.200.0 через интерфейс  "10.123.123.1"?

8 Ответ от Kettler (10.02.2012 15:01:17 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
KRUTO пишет:

Если честно, не совсем понятно, как оно будет без SNAT работать? В этом же суть NAT

И я был того же мнения пока меня в какой то теме не хотели переубедить.

KRUTO пишет:

не могу сейчас попробовать, но если этому компу добавить еще маршрут  192.168.200.0 через интерфейс  "10.123.123.1"?

Смысла нету! Если на компе в сети 10.123.123.0/24  был ещё поднят VPN например то есть вариант с маршрутом а так неа.

Вот та  тема где пытались переубедить
http://linuxforum.ru/viewtopic.php?id=19743

А теперь молчат.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

9 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
CyberDaemon пишет:
Kettler пишет:

Мне теперь это спать не даёт  ac  если должно то почему не пашет.

Ещё раз, такой же tcpdump, только -i tun0

Да не вопрос ток когда организация закончит работать а точнее после 6.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

10 Ответ от KRUTO

  • KRUTO
  • Пользователь
  • Неактивен
  • Зарегистрирован: 14.11.2011
  • Сообщений: 272
  • Репутация : [ 5 | 0 ]

Kettler,
Я так понял, они там настраивают дистрибутив, в котором прописаны скрипты поднятия NAT... С другой стороны, конечно, если всем компам внутренней подсети раздать белые адреса, то SNAT не нужен... Что-то там разговор ни о чем...

11 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Щас тестить буду в другом плане) глянем.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

12 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

На свои вопросы ответы нашол сам. Всем спс! Удаляйте тему.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

13 Ответ от Kettler (10.02.2012 16:55:04 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Блин Xlin  ag  тебе бы мне сеть переделать  ag  ag  ag
Я просто щас вспомнил надо бы переделать систему  smile .

У меня основная проблема была в маршрутизации.
Выходные займусь на переделку сети.

Я счастлив) что всё будет ещё красивее. А то уже скоро контор 10 будет вот и надо будет все объединить и мониторинг через Zabbix

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

14 Ответ от KRUTO

  • KRUTO
  • Пользователь
  • Неактивен
  • Зарегистрирован: 14.11.2011
  • Сообщений: 272
  • Репутация : [ 5 | 0 ]

Kettler,
Проясни ситуацию??? Интересно стало

+ Kettler

15 Ответ от Kettler (10.02.2012 22:11:20 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Грубо говоря на клиенте

 Консоль:
tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
          inet addr:192.168.200.2  P-t-P:192.168.200.1  Mask:255.255.255.255

За ним сеть 10.123.123.0/24

Значиться на сервере куда конектиться tun0 за ним сеть 192.168.0.0/24
Для того что бы увидели друг друга мало ток разрешить форвард. На самом деле всё элементарно просто руки и времени не хватало.

На клиенте где у нас 192.168.200.2
в iptables пишим

 Консоль:
iptables -A INPUT -s 192.168.0.0/24 -j ACCEPT
iptables -A OUTPUT -d 192.168.0.0/24 -j ACCEPT
iptables -A FORWARD -s 192.168.0.0/24 -d  10.123.123.0/24 -j ACCEPT
iptables -A FORWARD -s 10.123.123.0/24 -d 192.168.0.0/24  -j ACCEPT

И пишим маршрут

 Консоль:
route add 192.168.0.0/24 gw 192.168.200.1

На сервере тоже самое


 Консоль:
iptables -A INPUT -s 10.123.123.0/24 -j ACCEPT
iptables -A OUTPUT -d 10.123.123.0/24 -j ACCEPT
iptables -A FORWARD -s 192.168.0.0/24 -d  10.123.123.0/24 -j ACCEPT
iptables -A FORWARD -s 10.123.123.0/24 -d 192.168.0.0/24  -j ACCEPT

И пишим маршрут

 Консоль:
route add 192.168.0.0/24 gw 192.168.200.2

После чего всё стало хорошо. Это наброски ток на самом деле надо всё делать жёстче.
Может я и ступил где то ну и что с кем не бывает.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

16 Ответ от KRUTO (11.02.2012 08:04:26 отредактировано KRUTO)

  • KRUTO
  • Пользователь
  • Неактивен
  • Зарегистрирован: 14.11.2011
  • Сообщений: 272
  • Репутация : [ 5 | 0 ]

Kettler,
Это к слову о маршрутах  wink
Кстати, у меня так и связаны 2 сети в моей конторе

17 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
KRUTO пишет:

Kettler,
Это к слову о маршрутах  wink
Кстати, у меня так и связаны 2 сети в моей конторе

Да тут всего хватает. Лан пошол все конторы объединять.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

18 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Блин Xlin    тебе бы мне сеть переделать

Ну и так все работало )) Но без маскарада на подсети лучше )) реальные ip радуют.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

19 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
--=XliN=-- пишет:

Блин Xlin    тебе бы мне сеть переделать

Ну и так все работало )) Но без маскарада на подсети лучше )) реальные ip радуют.

угу

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.