1 Тема от pavlar (30.10.2012 11:14:01 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

У меня две сетевые карты одна смотрит в интернет eth0 а другая локальная сеть eth1. Поставил я NAT  но возникла проблема. Пинг с компа внутренней сети  на сетевую карту  внешней сети проходит  - а дальше не пускает. Но с компа на котором стоит NAT интернет виден.
Я посмотрел Iptables -t nat -L  В CHAIN POSTROUTING вроде нормаkьно SNAT ALL  -- 192.168.... anywhere to :194.44....

Только в CHAIN OUTPOUT (POLICy ACCEPT) ничего не прописано а в CHAIN PREROUTING (POLICY ACCEPT) тоже ничего не прописано

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

2 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

Приведите правила ната целиком, а не непонятно что

Сайт alexfinn

3 Ответ от pavlar

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

Так я привел выше.

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

4 Ответ от kisil (30.10.2012 11:19:27 отредактировано kisil)

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

Форвард пакетов нужно разрешыть
echo 1 > /proc/sys/net/ipv4/ip_forward

Да и что там у вас делаетса в FORWARD цепочке

Trouble  in WINDOWS reboot, trouble in UNIX be root.

5 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

Ну если Вы считаете, что это нормально описание...

Сайт alexfinn

6 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]
pavlar пишет:

Так я привел выше.

Ну да, там всё понятно bx
А  почему бы просто не показать вывод команд

iptables-save
cat /proc/sys/net/ipv4/ip_forward
Был, был и весь вышел...

7 Ответ от pavlar

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

# Generated by iptables-save v1.4.7 on Tue Oct 30 09:23:24 2012
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [3405:397031]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Tue Oct 30 09:23:24 2012
# Generated by iptables-save v1.4.7 on Tue Oct 30 09:23:24 2012
*nat
:PREROUTING ACCEPT [16762:1489844]
:POSTROUTING ACCEPT [28:1963]
:OUTPUT ACCEPT [28:1963]
-A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 194.44.31.236
COMMIT
# Completed on Tue Oct 30 09:23:24 2012

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

8 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]

IMHO, правил в FORWARD цепочке таблицы filter не хватает.
Гляньте, как сделано здесь — http://www.ibm.com/developerworks/ru/li … ml#gateway
Да, и

Lupo Alberto пишет:

cat /proc/sys/net/ipv4/ip_forward

Был, был и весь вышел...

9 Ответ от pavlar (30.10.2012 11:58:05 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906
Lupo Alberto пишет:

IMHO, правил в FORWARD цепочке таблицы filter не хватает.
Гляньте, как сделано здесь — http://www.ibm.com/developerworks/ru/li … ml#gateway
Да, и

Lupo Alberto пишет:

cat /proc/sys/net/ipv4/ip_forward

Стоит 1 Да я в общем-то так и делал как в вашей ссылке только сайт был на английском языке и написано что должно работать.    А про фильтры ничего не было написано. Не могу понять

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

10 Ответ от pavlar

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

Я вот так делал http://www.revsys.com/writings/quicktips/nat.html

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

11 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

И что не работает???
А покажыте но
iptables -S

Trouble  in WINDOWS reboot, trouble in UNIX be root.

12 Ответ от pavlar

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

13 Ответ от pavlar (30.10.2012 12:15:19 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

Вот и я репу почесал: почему пинг с компа внутренней сетки на сетевую карту внешней сети идёт (и SSH работает) а дальше не идёт, хотя интернет с НАТовского компа работает ab Вроде получается что внешняя сетевая карта каким-то невероятным способом  фильтрует пакеты  ab

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

14 Ответ от pavlar (30.10.2012 12:29:04 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

Но что интересно  Skype  с компа внутренней сети частично  работает ( хотя кружочек подключения всё время вертится и зелёная птичка не становится а значит я где то- у себя в кэше сообшения размещаю)  а Интернет не работает, да и как ему без пинга работать

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

15 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

покажите вывод

iptables -L -n -v

и 

iptables -L -n -v -t nat

Сайт alexfinn

16 Ответ от pavlar

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
 5516  583K ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
  105  6460 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
  251 15060 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
 2053  929K REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
26059 1576K REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 12434 packets, 1522K bytes)
 pkts bytes target     prot opt in     out     source               destination
Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

17 Ответ от pavlar

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906
Chain PREROUTING (policy ACCEPT 69403 packets, 6304K bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain POSTROUTING (policy ACCEPT 779 packets, 49271 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 SNAT       all  --  *      eth0    192.168.1.0/24       0.0.0.0/0           to:194.44.31.236

Chain OUTPUT (policy ACCEPT 779 packets, 49271 bytes)
 pkts bytes target     prot opt in     out     source               destination
Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

18 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

и еще вопрос: пинговали внешние ресурсы по айпи или по имени?

Сайт alexfinn

19 Ответ от pavlar (30.10.2012 13:15:22 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906
alexfinn пишет:

и еще вопрос: пинговали внешние ресурсы по айпи или по имени?

По IP. Получаю сообщение Destination Host Prohibited

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

20 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

хм, пока у меня только один вариант - добавить правило в FORWARD

-A FORWARD -o eth0 -s 192.168.1.0/24 -j ACCEPT 
-A FORWARD -i eth0 -d 192.168.1.0/24 -m state --state RELATED,ESTABLISHED -j ACCEPT

примерно как-то так

Сайт alexfinn

21 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]
pavlar пишет:

По IP. Получаю сообщение Destination Host Prohibited

попробуйте все же добавить правила в FORWARD

Сайт alexfinn

22 Ответ от pavlar (30.10.2012 13:28:28 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906
alexfinn пишет:

хм, пока у меня только один вариант - добавить правило в FORWARD

-A FORWARD -o eth0 -s 192.168.1.0/24 -j ACCEPT 
-A FORWARD -i eth0 -d 192.168.1.0/24 -m state --state RELATED,ESTABLISHED -j ACCEPT

примерно как-то так

Всё равно если пингуешь любой внешний адрес получаешь  Destination Host Prohibited. Такое вчечатление что где то прописан запрет на все внешние ip кроме ip сетевой карты

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

23 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]
pavlar пишет:

-A FORWARD -j REJECT --reject-with icmp-host-prohibited

похоже на это...
поставьте это правило последним

Сайт alexfinn

24 Ответ от pavlar

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906
pavlar пишет:

-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

Так он у меня прописан но похоже не работает

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

25 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

Я имел в виду, что сначала прописать

alexfinn пишет:

-A FORWARD -o eth0 -s 192.168.1.0/24 -j ACCEPT
-A FORWARD -i eth0 -d 192.168.1.0/24 -m state --state RELATED,ESTABLISHED -j ACCEPT

а уже после них:

pavlar пишет:

-A FORWARD -j REJECT --reject-with icmp-host-prohibited

Сайт alexfinn

26 Ответ от pavlar (30.10.2012 13:40:41 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906
alexfinn пишет:

Я имел в виду, что сначала прописать

alexfinn пишет:

-A FORWARD -o eth0 -s 192.168.1.0/24 -j ACCEPT
-A FORWARD -i eth0 -d 192.168.1.0/24 -m state --state RELATED,ESTABLISHED -j ACCEPT

а уже после них:

pavlar пишет:

-A FORWARD -j REJECT --reject-with icmp-host-prohibited

Да всё равно не работает. Я даже себе не представляю где можно так гениально запретить все внешние адреса при переходе с внутренней карты на внешюю?

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

27 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

тогда как вариант убрать для эксперимента

pavlar пишет:

-A FORWARD -j REJECT --reject-with icmp-host-prohibited

Сайт alexfinn

28 Ответ от pavlar (30.10.2012 13:52:28 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

Набрал Iptables -L --line-numbers затем iptables -D FORWARD 1 ` Удалилось но никакого эффекта. А если перегрузить iptables то это правило снова появляется

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

29 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

так закомментируйте правило в конфиге

Сайт alexfinn

30 Ответ от pavlar (30.10.2012 14:04:01 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906
alexfinn пишет:

так закомментируйте правило в конфиге

Всё рвно Prohibited У меня какой-то к тому же какой-то  ip6table и прописаны ipv6 icmp6 а ipv4 и в помине нет  ab

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"