route ili iptables ????

Moje da e mnogo elementarno no ne go znam i za tova pitam :) !!!

Problema e slednia:

1. Parvo izpolzvam redhat 8.0
2. Mashinata e s dva eth - a
2.1 eth0 -> IP adress ot ISP (213.220.140.2)
2.2 eth1 -> IP adress ot vatreshan mreja (192.168........)

Vsichko varvi bezproblemno.

Kade e pitaneto mi?

Nalaga mi se da rutiram IP adress 213.220.140.10 ot adresite koito mi se davat ot ISP no sled eth1, t.e vanshen adress vav vatreshnata mreja.

Vsichko stava lesno s route add ........ , no ne moje da se vijda saita i ne varvi poshtata ot van kam mashinata 213.220.140.10

Ne izpolzvam maskirane na mrejata kam tova IP i vapreki vsichko izliza s IP 213.220.140.2, zashtoto predpolagam e zadaden default gw 213.220.140.2

Molia vi za savet kakvo da napravia.
Blagodaria na tezi koito shte drasnat redche!

IP -tata sa samo primer!

ISP ---->eth0 (213.220.140.2) ---> linux -----> eth1 (192.168.....) ---->eth0 (213.220.140.10)

NB! Na eth1 (192.168......) se rutira cialata grupa s netmask 255.255.255.0kakto i oshte tri pod mreji


neshto takova!

POMAGAITE!!!!!

Zna4i edin ot vazmojnite varianti e sledniat:

1. Suzdava6 virtualno mrejovo ustroistvo (v slu4aia eth0:0), za6toto van6nata karta e eth0.
komandata za sazdavane e:
ifconfig eth0:0 213.220.140.10
kato tuk triabva da zadade6 i pravilna netmaska
2. Posle 4rez DNAT i SNAT na iptables moje6 da prehvarlia6 vsi4ki zaiavki kam tozi ip idres (... ... ... 10) kum niakoi ot vatre6nite si kompiutri

Eto naprimer savsem beglo kak bi izglejdalo tova

Zna4i na gateway komputera ima6
eth0 - s ip adres 213.220.140.2 (1-vi realen IP)
eth0:0 - s ip adres 213.220.140.10 (2-ri realen IP)
eth1 - s ip adres 192.168.0.1 (vatre6na mreja)

Da re4em 4e iska6 na novia realen ip adres da otgovaria kompiutar ot lokalnata mreja s IP adres naprimer 192.168.0.5, togava iptables nastroikite bi triabvlalo v ob6ti linii da izglejdat taka:

iptables -t nat -A PREROUTING -p tcp -d 213.220.140.10 -j DNAT --to-destination 192.168.0.5
iptables -t nat -A PREROUTING -p udp -d 213.220.140.10 -j DNAT --to-destination 192.168.0.5

iptables -t nat -A POSTROUTING -p tcp -d 192.168.0.5 -j SNAT --to-source 192.168.0.1
iptables -t nat -A POSTROUTING -p udp -d 192.168.0.5 -j SNAT --to-source 192.168.0.1

Mislia 4e tova bi svar6ilo rabota.
Edinstveniat veroiaten problem, za koito se se6tam v momenta e ako eventualno dostav4ikat ti ima problem da asociira dva realni IP adresa na edin i sa6t client (t.e. na edin i sa6t MAC adres), estestveno ako po tozi na4in se upravliava razdavaneto na IP adresite.

provaidera ti triabva da rutira vtoroto ip do tvoita mashina
demek kam 213.220.140.2

Maki maki, maki
Ne shte i ne shte!
Nai veroiatno ISP - to mi e kazal che na 1 IP otgovaria samo edin mac adress!
Gadno!
Davaite drugi saveti tova ne stava!
Moga i da prenaredia mrejata ako e neobhodimo , ili da sloja oshte edna mrejova karta, ...........
veche ne znam kakvo da pravia!
Vse pak blagodaria za pomoshtta!

така като чета - ти си направил всичко както трябва. т.е. на сървера имаш route add 213.220.140.10 eth1

за да върви както трябва това обаче, трябва исп-то ти да укаже, че това ип е зад гейт, т.е. не се вижда директно от неговата машина.

между другото, като пуснеш от някой looking glass traceroute към въпросното ип - докъде стига? докъдето стига - там трябва да оправиш рутингите. друг възможен проблем - маскирал си всичко живо, включително и това ип. и се чудиш що не ти отговаря

TANSTAAFL! There AiNt Such Thing As A Free Lunch

Blagodaria za saveta
Okaza se che naistina ISP - to mi triabva da prerutira ip - to za da stane kakto tribva ! Inache ne sam maskiral vsichko! ::)))

Problemat se re6ava s IPTABLE, s ROUTE ne se pravi NAT.
Zna4i, po-gore v tazi tema v postingite vidiah, 4e sa ti napisali priemren skript i e obiasnen, ako ne uspee6 da se spravi6 kaji kade si zakasal. Ako ti triabvat o6te primeri sa6to. Ina4e prosto triabva da napravi6 NAT na interfeisite ot vatre6nia kam van6nia.

Iasno mi e che ne se pravi NAT s route! Blagodaria ti za otdelenoto vreme!
I vednaga kazvam kakvo se poluchava:
Problema ne e v rutiraneto na ip - to, a v tova che na tova IP - triabva da ima pusnati sendmail, named, i httpd, koito da robotiat sami sled router - a.
s iptables - rutiram IP - to no ne rabotiat service -ite .
T.e router - a se zapicha i ne iska da rutira obratno.

Moje bi tribvashe da napisha che imam spirane na vsichki paketi na vanshen interface:


## PUskane na connection-tracking modulite -
insmod ip_conntrack
insmod ip_conntrack_ftp

## Sazdavame veriga block koiato spira vsichko ot van na vatre
iptables -N block
iptables -A block -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A block -m state --state NEW -i ! eth0 -j ACCEPT
iptables -A block -j DROP

## Preskachame kam tazi veriga ot INPUT i FORWARD verigite
iptables -A INPUT -j block
iptables -A FORWARD -j block


i ot vreme na vreme se nalaga da puskam gornia skript, a vinagi sam v rejim firewall, koito e konf - nat po slednia nachin !!
PS - IP - tata sa smeneni ot saobrajenia za sigurnost!


### KONFIGURIRANE NA ZSHTITNA STENA
IPT=/sbin/iptables

# Our IP space
OURNET="192.168.1.0/24"
OURBCAST="192.168.1.255"
OURDEV="eth1"

# Out
OUTADDR="0/0"
OUTDEV="eth0"

# TCP Services
TCPIN="ssh ftp"
TCPOUT="smtp www ftp ftp-data irc ssh telnet"

#UDP Services
UDPIN="domain"

# ICMP Services
# 0 Echo Reply
# 3 Destination Unreachable
# 4 Source Quench
# 5 Redirect (change route)
# 8 Echo Request
# 11 Time Exceeded
# 12 Parameter Problem
# 13 Timestamp Request
# 14 Timestamp Reply
# 15 Information Request
# 16 Information Reply
# 17 Address Mask Request
# 18 Address Mask Reply

ICMPIN="0 3 11"
ICMPOUT="8 3 11"

###########################

# Chisti rulez wyw whodqshtata tablitza
$IPT -F FORWARD
# Otkazwane na whodqsht dostyp
$IPT -P FORWARD deny

# Ignorira polucheni datagrams
$IPT -A INPUT -i $ANYDEV -j DROP

# Spoof protection
$IPT -A FORWARD -s $OURNET -i $ANYDEV -j DROP

# Smurf protection
$IPT -A FORWARD -m multiport -p icmp -i $ANYDEV -d $OURNET -j DENY

# Priemane na fragmenti
$IPT -A FORWARD -f -j ACCEPT

# TCP datagramz ACK (+)
$IPT -A FORWARD -m multiport -p tcp -d $OURNET --dports $TCPIN /
! --tcp-flags SYN,ACK ACK -j ACCEPT
$IPT -A FORWARD -m multiport -p tcp -s $OURNET --sports $TCPIN /
! --tcp-flags SYN,ACK ACK -j ACCEPT

# TCP Incoming
$IPT -A FORWARD -m multiport -p tcp -i $ANYDEV -d $OURNET $TCPIN /
--syn -j ACCEPT

# TCP Outgoing
$IPT -A FORWARD -m multiport -p tcp -i $OURDEV -d $ANYADDR /
--dports $TCPOUT --syn -j ACCEPT

#UDP Incoming
$IPT -A FORWARD -m multiport -p udp -i $ANYDEV -d $OURNET /
--dports $UDPIN -j ACCEPT
$IPT -A FORWARD -m multiport -p udp -i $ANYDEV -s $OURNET /
--sports $UDPIN -j ACCEPT

# UDP Outgoing
$IPT -A FORWARD -m multiport -p udp -i $OURDEV -d $ANYADDR /
--dports $UDPOUT -j ACCEPT
$IPT -A FORWARD -m multiport -p udp -i $OURDEV -s $ANYADDR /
--sports $UDPOUT -j ACCEPT

# ICMP Incoming
$IPT -A FORWARD -m multiport -p icmp -i $ANYDEV -d $OURNET /
--dports $ICMPIN -j ACCEPT

# ICMP Outgoing
$IPT -A FORWARD -m multiport -p icmp -i $OURDEV -d $ANYADDR /
--dports $ICMPOUT -j ACCEPT

### KRAI na ZASHTITNA STENA ###########


A nai loshoto e che na mashinata chieto IP mi se nalaga da rutiram imam okolo 120 pop3 klienta :(((
t.e. ................ ne mi se govori, a i telefona mi e izkluchen!

Molia vi pomagaite.
Blagodaria vi!

2. Mashinata e s dva eth - a
2.1 eth0 -> IP adress ot ISP (213.220.140.2)
2.2 eth1 -> IP adress ot vatreshan mreja (192.168........)
chuvali li ste za proxy_arp ?

znachi imash:
1: route add -host 213.220.140.10 dev eth1
2: sysctl -w net.ipv4.conf.eth0.proxy_arp=1
3: sysctl -w net.ipv4.conf.eth1.proxy_arp=1
4: arp -i eth1 -Ds 213.220.140.10 eth1 pub

ako predpochitash da ne polzvash sysctl, redove 2 i 3 mojesh da zamenish sys:
echo 1 > /proc/sys/net/ipv4/conf/eth0/proxy_arp
echo 1 > /proc/sys/net/ipv4/conf/eth2/proxy_arp
no az lichno predpochitam sysctl, i opisvam neshtata c /etc/sysctl.conf kakto sledva:
net.ipv4.conf.eth1.proxy_arp = 1
net.ipv4.conf.eth0.proxy_arp = 1

v opisaniq po gore method, kogato otkym eth0 interface-a pristigne arp request, pitasht za mac address-a na 213.220.140.10, otgovoryt shte e mac addressa na eth0 kartata, t.e. vsichki paketi prednaznacheni za 213.220.140.10 SHTE pristignat na toq interface, sled koeto syglasno routing-a te shte budat preprateni kym eth1, ottam kym 213.220.140.10,
tova e, uspeh

the lord of destruction

po opisania po-gore na4in 4rez DNAT i SNAT sam prehvarlil zaiavki za FTP i WWW kam vatre6en kompiutar. Problema e edinstveno asociiraneto na IP adresa s MAC adres ot strana na IP to. Clienta daje i da si napravi proxy-arp, ili NAT, ili ROUTE, daje ako 6te i kola maska da si napravi, ako ISP-to ti ne kaje na negovia server po niakakkuv na4in 4e 2-ta IP adresa saotvetstvat na edin i sa6t MAC adres, to cialata rabota niama da trugne.
Drugia variant e da si pusne6 o6te edin kabel

seo !!!!
Tova deto si go napisal e hubavo i raboti !
Probval sam go, no togava problema e che ne moga da pusna CBQ - to :)
Nali razbirash rabota root i kakvoto tam se setish .......no i parichki triabvat za tozi net!
Vse pak ti blagodaria za UROKA!!!
Napravil si go perfektno.

nqma problem s cbq-to
pri mene ima takiva, na nqkolko mashinki koito sa proxy arp-ta
primer, ednata e s 4 ethernet-a, kym vseki ethernet ima proizvolen broi ip-ta, kato vsichkite ip-ta sa ot edna mreja
ne pravq shaper-a kakto si go pravqt "po umnite" s "tc class.." i t.n., prosto polzvam cbq.init, problema tuka e che trqbva dobre da pomislish koe e vhoden, izhoden interface, kyde i kak shte slagash filtri po src-ip i dst-ip :>

the lord of destruction