Настоятельно просим вас при общении соблюдать Правила форума и законы РФ. Наша тематика вне политики, поэтому воздержитесь от обсуждения ситуации на Украине и связанных с ней событий, независимо от того, какую сторону вы поддерживаете.
Также напоминаем, что наш форум находится в доменной зоне .ru, физически расположен на российских серверах и мы соблюдаем действующее законодательство России. Любые сообщения о политике будут удаляться.
Linux Forum → Red Hat Linux, Fedora, CentOS → Где прописывать routing в NAT ?
Страницы 1
Чтобы отправить ответ, вы должны войти или зарегистрироваться
Может кто подскажет где и как в настройках iptables прописывать несколько подсеток которые я выделил жирным шрифтом . В Windows server я их прописыал так
Routing and Remoute Access >General> Interface : 10.44.1.1 , Type: Dedicated , IP Address : 10.44.1.1;10.44.2.1;10.44.3.1;10.44.4.1 , Administartive Status:Up
Вы как-то разберитесь. Вам именно файрвол нужен или роутер?
PS Если точно определитесь, мы Вам точно поможем.
Вы как-то разберитесь. Вам именно файрвол нужен или роутер?
PS Если точно определитесь, мы Вам точно поможем.
NAT как роутер который прописывается в iptables. Я NAT настроил
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i eth1 -j ACCEPTа как туда добавить 4 локальных подсетки 10.44.1.1;10.44.2.1;10.44.3.1;10.44.4.1 они все подключениы к 10.44.1.1 а развязывются между собой аппаратно свичами . Мне надо чтобы человек с а дресом скажем 10.44.4.32 мог видеть интернет. Сейчас все адреса с 10.44.1.1 (1-254) в интернет входят
pavlar
Ну, подождите с iptables. Роутер как настраивали?
Да очень просто роутер в линуксе настраивали. У нас не роутер типа Cisco а простой комп.
Сетевая карта eth0 (194.44....)смотрит в интернет а eth1 (10.44.1.1) карта локальной сетки. А настройка NAT
# Generated by iptables-save v1.4.7 on Mon Oct 29 14:24:09 2012
*nat
:PREROUTING ACCEPT [219:21980]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s 10.44.1.1/255 -o eth0 -j SNAT --to-source 194.44......
COMMIT
# Completed on Mon Oct 29 14:24:09 2012
# Generated by iptables-save v1.4.7 on Mon Oct 29 14:24:09 2012
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [26:2050]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -o eth0 -s 10.44.1.1/255 -j ACCEPT
-A FORWARD -i eth0 -d 10.44.1.1/255 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Mon Oct 29 14:24:09 2012. Сейчас NAT работает на локальную сеть 10.44.1.1 а мне надо чтобы он пускал и 10.44.2.1, ...3.1,...4.1 Раньше у меня на каждую подсеть стояла своя сетевая карта и свой свич. Но поскольку виндовый серевер это позовляет мы соеднинли между собой все свичи прописали роутинг (см.начало темы), и пустили всё на одну карту 10.44.1.1. Теперь я хочу узнать как это сделать в линуксе
Так вопрос и завис. У меня NAT работает только на конкретный диапазон адресов для одной локальной сетевой карты. Например либо 10.44.1.1 либоj 10.44.2.1 и тд а совместить несколько диапазонов в одной карте как в Винде мне никак не удаётся. Может как-то с маской пошаманить? А виндовый роутер накрылся и теперь я пока работаю с одним диапазоно в линуксе
Вы настройки интернета от прова как получаете статически или динамически???
А попробуйте так
iptables -t nat -A POSTROUTING -s 10.44.1.0 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.44.2.0 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.44.3.0 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.44.4.0 -o eth0 -j MASQUERADEА ларчик просто открывался. Надо было просто установить маску 255.255.0.0 
-A FORWARD -o eth0 -s 10.44.1.1/255 -j ACCEPT -A FORWARD -i eth0 -d 10.44.1.1/255 -m state --state RELATED,ESTABLISHED -j ACCEPT -A FORWARD -j REJECT --reject-with icmp-host-prohibited
Ну и форвардинг разрешыте для остальных сетей.
Ну или так, это даже и правельнее.
Всё хорошо работает только вот после перезагрузки приходится следующую строку вручную набирать, может кто подскажет как её записать чтообы она стартовала автоматически а то без неё никак
iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADEСейчас у меня iptables имеет следующий вид ( я лишь добавил к предыдущему iptables строку с интерфейсами , а без неё даже с маской 255.255.0.0 NAT не работает на интерфейсы 2.1, 3.1, 4.1))
# Generated by iptables-save v1.4.7 on Mon Oct 29 14:24:09 2012
*nat
:PREROUTING ACCEPT [219:21980]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s 10.44.1.1/255 10.44.2.1/255 10.44.3.1/255 10.44.4.1/255 -o eth0 -j SNAT --to-source 194.44.31.236
COMMIT
# Completed on Mon Oct 29 14:24:09 2012
# Generated by iptables-save v1.4.7 on Mon Oct 29 14:24:09 2012
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [26:2050]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Mon Oct 29 14:24:09 2012В /etc/sysconfig/iptables-config IPTABLES_MODULES_UNLOAD, IPTABLES_SAVE_ON_STOP, and IPTABLES_SAVE_ON_RESTART стоит 'yes'.
В общем нашел для CentOS в /etc/rc.local надо прописать
iptables-restore < /etc/sysconfig/iptables.saveВсё работает и после перезагрузки
Всё хорошо работает только вот после перезагрузки приходится следующую строку вручную набирать, может кто подскажет как её записать чтообы она стартовала автоматически а то без неё никак
...
Всё работает но после редактирования /etc/rc.local и перезагрузки iptables и iptables.save приняли такой вид
iptables
# Generated by iptables-save v1.4.7 on Tue Dec 18 18:14:02 2012
*nat
:PREROUTING ACCEPT [438:24520]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Tue Dec 18 18:14:02 2012iptables.save
# Generated by iptables-save v1.4.7 on Tue Dec 18 16:52:54 2012
*nat
:PREROUTING ACCEPT [1935:116567]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Tue Dec 18 16:52:54 2012Интереса ради хочу узнать куда делись исходные iptables и itables,save?
service iptables save
Ну а что этот сервис говорит. Может это он переписывает вашы настройки
service iptables save
Ну а что этот сервис говорит. Может это он переписывает вашы настройки
# Generated by iptables-save v1.4.7 on Wed Dec 19 08:13:27 2012
*nat
:PREROUTING ACCEPT [110448:6848470]
:POSTROUTING ACCEPT [22:2154]
:OUTPUT ACCEPT [317:21863]
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Wed Dec 19 08:13:27 2012Ничего не понимаю. Все подробные настройки слизало как корова языком но если всё работает значит исходные настройки находятся где-то в закодированном виде. Я так понимаю четыре одинаковые маскарадные строки это мои 4 интерфейса 10.44.1.1 10.44.2.1 10.44.3.1 10.44.4.1
А покажыте но вот такой вывод
iptables -S
А покажыте но вот такой вывод
iptables -S
iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPTНу так у вас никаких правил нету.
Ну так у вас никаких правил нету.
Вчера до изменения в rc.local у меня было как приведено ниже хотя я подозреваю что не все строки были значимы . Например я забыл поменять внешний IP(сейчас у меня другой) но NAT всё равно работал . Я вчера даже порт ssh поменял, настройки исчезли но я по этому порту сейчас вхожу
#
Generated by iptables-save v1.4.7 on Mon Oct 29 14:24:09 2012
*nat
:PREROUTING ACCEPT [219:21980]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s 10.44.1.1/255 10.44.2.1/255 10.44.3.1/255 10.44.4.1/255 -o eth0 -j SNAT --to-source 194.44.31.236
COMMIT
# Completed on Mon Oct 29 14:24:09 2012
# Generated by iptables-save v1.4.7 on Mon Oct 29 14:24:09 2012
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [26:2050]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Mon Oct 29 14:24:09 2012Значит не стоит их писать в rc.local пользуйтесь service iptables save
Значит не стоит их писать в rc.local пользуйтесь service iptables save
Привезут блок питания из ремонта буду на другом компе настраивать попробую service iptables save. Меня интересует куда и в каком виде rc.local запихнул настройки с точки зрения повторяемости эксперимента, чтобы можно было повторить настройки
Нескажу. 
Просто таким дистром не пользуюсь, потому внятного ответа дать не могу
Настройки iptables, если делались дистрибутивными инструментами, хранятся в /etc/sysconfig/iptables.
Настройки iptables, если делались дистрибутивными инструментами, хранятся в /etc/sysconfig/iptables.
Здесь без бутылки не разобраться. rc.local (коим я возпользовался чтобы сохранить настройки iptables) обращается на /sbin/iptables-restore тот в свою очередь на /sbin/iptables-multi а дальше я не пошёл : работает ну и фиг с ним
Еще раз по service iptables:
1. Настраиваете правила фаервола в том виде, в котором они вам нужны
2. запускаете от рута: service iptables save
Всё
Если нужно изменить правила фаервола - начинаем с пункта 1, завершаем пунктом 2
Если нужно проверить как эти правила будут обрабатываться стартовыми скриптами:
Команда service iptables save сохраняет правила фаервола в /etc/sysconfig/iptables (см пост выше от alexfinn). Кроме того, скрипт /etc/init.d/iptables (тот самый service iptables) использует файл /etc/sysconfig/iptables.save для сохранения предыдущих настроек фаервола. Т.е. это файл бэкапа. Логика следующая:
* проверяется, существует ли файл /etc/sysconfig/iptables
* если существует - копируем его в /etc/sysconfig/iptables.save
Страницы 1
Чтобы отправить ответ, вы должны войти или зарегистрироваться
Linux Forum → Red Hat Linux, Fedora, CentOS → Где прописывать routing в NAT ?
Форум работает на PunBB, при поддержке Informer Technologies, Inc
