Routing w obie strony

matim · n00b Joined: 28 Aug 2005 Posts: 23

Witam,
Przeszukiwałem całe forum gentoo ale rozwiązania które znalazłem mi nie pomogły, a raczej nie uda mi się dokładnie zadać pytania na ogólnym dziale z siecią związanym, więc postanowiłem poszukać pomocy u rodaków

.

Moja sieć wygląda mniej więcej tak

internet <---> sieć1 <---> router <---> sieć2

Na routerze jest Gentoo, i aktualnie iptables jest ustawione do Maskaradowania kompów z sieci drugiej do pierwszej i internetu. Potrzebuję jednak sposobu by umożliwić pojedyńczym komputerom z sieci pierwszej dostępu przez sam adres ip do komputerów z sieci drugiej. Na przykład by komputer podłączony w sieci pierwszej mógł bezpośrednio pingować komputer w sieci drugiej. Sytuacja odwrotna działa, jednak gdy ustawię regułki w routerze na odwrót, by maskowały specyficzne adresy z sieci pierszej do drugiej, to niestety nic się nie dzieje.

Aktualnie wszystko w tabeli filter ma domyślnie Accept bez wyjatków, zaś w tabeli nat POSTROUTING jest na Deny, a wpisy sa do pojedyńczych komputerów w stylu
iptables -t nat -A POSTROUTING -s 192.168.0.7 -j MASQUERADE

Czy wie ktoś jak zrobić by routing zaczął działać również w druga stronę??

Pozdrawiam

sebas86 · Posted: Thu Sep 08, 2005 6:08 am Post subject:

A czemu ten router siedzi pomiędzy dwoma sieciami lokalnymi? Maskowanie w tym wypadku jest troche dziwne i chyba nawet zbędne. Ale jeśli to sieci lokalne i maskowanie jest niezbędne to po co znowu pingować maszyny po drugiej stronie? Maskowanie ma właśnie zapewnić, że za pomocą jednego ip z połączenia może korzystać kilka różnych maszyn i nie da się tego ominąć mając do dyspozycji tylko jeden ip.

Zawsze możesz ustawić alias i przekierowywać z niego cały ruch na wybrany komputer ale to jest wtedy bezsensu.

czestmir · n00b Joined: 30 Jan 2004 Posts: 38 Location: RH16 1LS

w tej konstrukcji to ja czegoś nie rozumiem
czy sieć1 jest lokalna (bo jeżeli tak to konstrukcja logiczna jest dla mnie cokolwiek nie zrozumiał)
jeżeli już to powinno wyglądać tak

milosz · n00b Joined: 21 Aug 2005 Posts: 7

Według mnie problem nie tkwi na routerze tylko w komputerach sieci1.
Komputery sieci1 mają ustawioną bramę domyślną jako jakiś router Twojego dostawcy internetu, a on nie ma pojęcia o Twojej drugiej sieci i dla tego nie może przerzucać do niej pakietów. A skoro między siec1 i siec2 jest router to Twoje sieci mają zapewne inne IP. I dlatego też działa w drugą stronę, bo Twój rouer, który jest bramą dla sieci2 zna adresy z sieci1.
Rozwiązanie... jeśli w sieci1 są komputery na linuxie, to dodać trasę stałą do sieci2 przez router...
jeśli Win98, to chyba można było ustawić więcej niż jedną bramę,
W winXP w ustawienia sieci wejdź w protokół TCP/IP i potem we właściwośiach masz Advanced, a tam możesz ustawić więcej niż jedną bramę. Może to pomoże, ale nigdy w praktyce nie sprawdzałem ;P
Chyba, że masz dostęp do routera, który jest twoją bramą do sieci, to można na nim ustawić trasę do Twojej sieci2, ale wątpię, ąeby się usługodawca zgodził.

Inna rzecz, to że NAT "zasłania" adresy w Twojej sieci2. Jeśli komputer jest za nat'em, to on musi rozpocząć połączenie, żeby NAT wiedział co ma zrobić w wchodzącymi z zewnątrz pakietami. Jak chcesz dostęp do któregoś konkretnego komputera z sieci2 to ustaw dla niego forwardowanie portów? Po co tam NAT?

Pozdrawiam.

P.S.
Też nie wiem jaki jest sens takiego ustawienia sieci. Nie lepiej tak jak proponuje Czestmir

matim · n00b Joined: 28 Aug 2005 Posts: 23

Więc przybliżę problem troszkę bardziej. Sprawa ma się dokładniej tak.

qermit · Veteran Joined: 02 Feb 2005 Posts: 1032

Moim zdaniem najlepiej by było podlączyć Access Pointa 1 do serwera1.

matim · n00b Joined: 28 Aug 2005 Posts: 23

Niestety, nie zrozumiałem.

czemu miałoby to służyć?

Chcę by komputer podłączony do sieci1 mógł nawiązać połączenie z komputerem z sieci2...

qermit · Veteran Joined: 02 Feb 2005 Posts: 1032

(po dłuższym namyśle)no właściwie jest to raczej niepotrzebne, bo można zdefiniować odpowiednie regułki, które będą wracać pakiety z serwera1 do swicza, a przez niego do routera w sieci 2 (o ile możesz się połączyć do routera)
_________________
"A co ty masz w swoim LinuXie?" - Dr Qermit

matim · n00b Joined: 28 Aug 2005 Posts: 23

Może mi się wydaje, ale ty chyba myślisz o dostępie do sieci2 zza serwera1?
Mi rozchodzi się jedynie o lokalny (znaczy bez pośrednictwa internetu) routing, z sieci1 do sieci2, przy czym jedynym problemem jest konieczny router. Tylko jak go ustawić, by maskował pakiety też w drugą stronę?

sebas86 · Posted: Thu Sep 08, 2005 6:55 pm Post subject:

matim · n00b Joined: 28 Aug 2005 Posts: 23

Router to komp który właśnie staram się ustawić, a że to forum Gentoo, to taki właśnie jest na nim system :-].
Dokładniej to jest to chyba jeszcze wersja 1.4 po aktualizacjach z internetu, z dwoma kartami sieciowymi Realteka 8139 i sterownikami do nich wkompilowanymi w kernel. Czekam na propozycje rozwiązania problemu...

Pozdrawiam

sebas86 · Posted: Fri Sep 09, 2005 5:51 am Post subject:

czestmir · n00b Joined: 30 Jan 2004 Posts: 38 Location: RH16 1LS

A więc tak rozwiązanie kolegi @qermit jest jak najbardziej słuszne

mbar · Veteran Joined: 19 Jan 2005 Posts: 1990 Location: Poland

Ja myślę, że należy wyłączyć maskaradę i zdefiniować trasy route (+ewentualnie NAT) ręcznie. W końcu maskarada jest potrzebna tak naprawdę tylko wtedy, gdy wyjściowy (publiczny) adres IP jest zmienny.

matim · n00b Joined: 28 Aug 2005 Posts: 23

sebas86:

Hym, trasy są ustawione. Z poziomu routera mogę pingować kopmutery i z sieci1 i z sieci2, ale samo ustawienie tras nie pozwala mi pingować z sieci1 do sieci2, ono jest możliwe dopiero po dodaniu komend z -j MASQUERADE. Z Linux-NET-HOWTO uczyłem się jak to działa, ale u mnie nie jest tak jakbym chciał.

czestmir:

odpowiedzi:
1. dostępu do internatu z sieci2 nie mogę blokować na serwerze1 bowiem AP2 nie przekazuje adresów MAC i nie mozna zidentyfikować komputerów z sieci2
2. router jest właśnie po to, by zablokować dostęp osobom z sieci2, co nie może być zrobione za APekiem
3. możliwe że to właśnie trasowanie jest problemem, ale to tak jak pisalem wyżej
4. faktycznie, ale awarii nie wliczam w rachubę, jeszcze się nie zdarzyło

I ciągle próbuję ustawić to tak jak powinno...

mbar:

tak również sprawdzałem, trasy wsyzstkie są, a maskarada to odmiana NATu, której właśnie używam. Bez żadnych regułek NATowych ruch przez router stoi w miejscu

-------------------
Zaczyna denerwować mnie ta konfiguracja, i zaczynam myśleć o tym by router mial alias sieciowy i przekazywał z niego cały ruch na dany komputer w sieci2. Tylko muszę przeszperać sieć....

sebas86 · Posted: Fri Sep 09, 2005 7:46 am Post subject:

A możesz pokazać z jakich regułek korzystasz i jak masz ustawione urządzenia sieciowe?

czestmir · n00b Joined: 30 Jan 2004 Posts: 38 Location: RH16 1LS

Nie wiem co to za sieć ale odpowiec sobie na kilka pytań

1. Czy musisz mieć autoryzacje hostów po MAC
2. Czy wszystkie hosty z siec2 nie mają mieć internetu

Pingowanie z rutera sieć1 i sieć2 nic nie znaczy
musisz dodać trase routowania sieć1 <--> sieć2
Router z zasadzy działania zawsze będzie widził obie sieci

mbar · Veteran Joined: 19 Jan 2005 Posts: 1990 Location: Poland

Właśnie, i wklej nam w końcu tabelę rutingu.

matim · n00b Joined: 28 Aug 2005 Posts: 23

Tak, właśnie konieczna jest autoryzacja po MACach. Tylko wybrane komputery z sieci2 mają nie mieć internetu. Trasy ustawiałem oczywiście też na komputerach zarówno w sieci1 jak i w sieci2, i jak pisałem na początku z sieci2 do sieci1 wszystko jest w należytym porządku, jedynie z sieci1 do sieci2 nic nie działa.
-------------------
Więc, tabela routingu na serwerze:

sebas86 · Posted: Sat Sep 10, 2005 7:02 am Post subject:

Jak na mój gust tablica routingu dziwnie wygląda, co w ogóle ma oznaczać 0.0.0.0? I czemu potem to jest przekierowywane na bramę domyślną?

matim · n00b Joined: 28 Aug 2005 Posts: 23

Hym, to jest właśnie wpis odpowiadający za bramę domyślą
route add default gw 192.168.0.1
a zamiast defualt pokazuje 0.0.0.0 bo wyżej zamieściłem wynik wywołania "route -n"
Nie to jest problemem...

sebas86 · Posted: Sat Sep 10, 2005 8:17 am Post subject:

Hm, ja myślę jednak, że właśnie tablica routingu coś psuje. Podobną sytuacje mam u siebie, mam trzy kompy połączone szeregowo i ostatni jako jedyny ma dostęp do sieci, więc siedzi na nim maskarada. Sęk tylko w tym, że na drugim też muszę mieć maskarade inaczej nie działa przekierowywanie pakietów wychodzących na Internet z tego pierwszego i w ogóle do bramki

1 <-> 2 <-> 3 <-> Internet

Mam poustawiane trasy dobrze (tak mi się przynajmniej zdaje) i wygląda na to, że trasowanie po prostu nie działa.

matim · n00b Joined: 28 Aug 2005 Posts: 23

A moim zdaniem to nie trasowanie. U mnie w końcu serwer ma "w zasięgu" wszystkie komputery, zarówno po jednej jak i po drugiej stronie, czyli wie gdzie przekazywać pakiety, tylko że w jedną stronę on nie chce tego robić. Uważam że chodzi o regułki iptables, ale gdzie co i jak, nie udało mi się jeszcze dowiedzieć...
U mnie sytuacja składa się na podobną, bowiem dostęp do internetu przechodzi tak jakby przez dwa połączone szeregowo komputery, sieci są tak na dokładkę...

Czy robił ktoś kiedyś taki routing w obie strony routera? Bo tracę nadzieję ...