Dotaz: Domaci sit: problem s proxy_arp

[JF]

pokusil jsem se si vyrobit domaci router a nejak jsem se zaseknul. Prosim alespon o nejaky nastin co delam spatne. Uz jsem den hledal ruzne namety, ale na nic jsem neprisel.

Cela konfigurace funguje a dokonce pisi z teto konfigurace. Nejvice mi vadi, ze pri stahovani delsiho souboru nez 1MB se stahovani zasekne. Hledam nejakou chybu a nemohu ji najit.

Snazil jsem se snifovat komunikaci na routeru. Stahovani bezi skvele az do okamziku prijmu ARP paketu na eth0. Pak se bezici stahovani zasekne a po chvili zase nahodi.

Kdyz pustim paralelne ping, tak se okamzite spojeni nahodi a neni poznat zadny vypadek.

Zkousel jsem kernely 2.4 a 2.6. 2.6 ze zasekne po delsi dobe, ale popisovany jev se mi s nim stava take. Dale jsem zkousel menit MAC (driver na SIS900 skutecne dava 0) adresu sveho pocitace, ale chova se to stale stejne.

Kdyz vytahnu router, tak se stahovani nezasekne. To jsem take overil. Ping vsemi smery chodi.

pokusna sit:
10.23.22.1 (gateway u providera)
|
10.23.22.18 (tohle je wifi AP od Dlinku)
|
10.23.22.16 (eth0 muj pokusny router)
10.23.22.16 (eth1)
|
10.23.22.17 (pocitac na stole)

Pohled z koncoveho pocitace:
Rozhraní: 10.23.22.17 on Interface 0x3000003
internetová adresa fyzická adresa typ
10.23.22.16 00-48-54-02-88-35 dynamický


Pohled z routeru:
root@router:~# arp
Address HWtype HWaddress Flags Mask Iface
10.23.22.17 ether 00:00:00:00:00:00 C eth1
10.23.22.1 ether 00:0E:2E:22:B4:CB C eth0


Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
router.dvourame * 255.255.255.255 UH 0 0 0 eth0
10.23.22.1 * 255.255.255.255 UH 0 0 0 eth0
10.23.22.17 * 255.255.255.255 UH 0 0 0 eth1
loopback * 255.0.0.0 U 0 0 0 lo
default 10.23.22.1 0.0.0.0 UG 1 0 0 eth0


dekuji za jakykoliv namet.

Odpovědi

[Petr Šobáň]

Nějak nerozumím tomuto ?

| 10.23.22.16 (eth0 muj pokusny router) 10.23.22.16 (eth1) |

Proč mají rozhraní eth0 a eth1 stejnou IP ?

[Jaroslav Fojtík]

Dekuji za namet. Tohle jsem take zkousel a zda se, ze se stejnym vysledkem.

Ted jsem prekonfiguroval druhe ethernetove rozhrani na ip adresu 10.23.22.19 a deje se uplne totez.

Neco delam blbe, ale co to netusim. Fatalni chyba to neni, protoze to bych pres router nemohl vubec komunikovat. O to je to zakernejsi.

Prijde mi na eth0: ARP request for 10.23.22.1 from 004854135172 to 000e2e22b4cb on eth0

Odpovi se: ARP request from 10.23.22.1 from 000e2e22b4cb to 004854135172 on eth0

no a tim se zastavi jakekoliv stahovani. "Neco" treba ping ho zase neznamym zpusobem obnovi.

Koukam do tech nasnifovanych logu a tusim problem. Router odpovida pouze ze sve MAC adresy a nenamaha se s prepinanim.

Pokud dostene gateway proti 2 dotazum 2 ruzne IP adresy a 2 stejne MAC adresy, tak ten druhy zaznam zahodi. Mozna, ze to je ten problem nejakym zpusobem tu kartu donutit aby se chovala promiskuitne. Mozna ne, ale vypada to tak.

[Petr Šobáň]

Na jedné síti nemůžete mět dvě stejné MAC.

Proč pro dvě různé sítě oddělené routerem nepoužijete rozdílné IP a pořád cpete vše na jednu síť.

Pokud to uděláte budete mít o 99% míň práce a většinou to potom chodí s default nastavením.

[JF]

Ja vubec nechci 2 stejne MAC adresy. Presne to chci naopak. Podle mych experimentu se zda, ze se muj PC a router perou o jedine misto v ARP tabulce na geatway.

Jo kdybych si udelal novou sit, tak bych musel v CZ free o to pozadat a problemy by byly uplne jinde. Odesilani mailu pripojeni k internetu atd je vazano na sit a tim bych poskytovatele neprosto znechutil.

Chci, aby kdyz odpojim router, se vse chovalo "skoro" stejne jako pred tim.

[Petr Šobáň]

Proč bys měl žádat o nějaké jiné IP ?

Prostě máš nějaké přidělené ne a ty tě stačí a jedním drátem jseš připojen k poskytovateli a jaké IP použiješ ve své místní síti je mu ukradené.

Znáte NAT ?

>Chci, aby kdyz odpojim router, se vse chovalo "skoro" stejne jako pred tim.

A proč tam pak ten router cpete ? Tak tam dejte switch a máte po problému. (Router potřebuje pro sebe minimálně 2 IP )

[JF]

Zatim to testuji a pripadalo mi ARP jako uspokojive reseni. Jak jsem predeslal, tak jsem nic takoveho nekonfiguroval.

A to se opravdu neda nakonfigurovat ARP na routeru, aby komunikoval ven a pokazde predstiral jinou MAC adresu?

Ja se to ucim konfigurovat. Asi to tim switchem zatim skonci.

Chtel jsem udelat jeste par dalsich vylepseni, jejichz popis by zatemnil to na co se vlastne ptam. Myslel jsem si, ze odladeny router pak bude mit jeste eth2 a bude mi delat zalozni pripojeni k jinemu AP po CZfree. Takze kdyz by teoreticky zbuchlo jedno pripojeni, me by to od internetu neodrizlo. A navic jako tresnicku na dortu by skutecne routoval z jedne site do druhe. Tohle uz nelze realizovat switchem. No a pak by mel ty adresy skutecne odlisne. Tohle ted nechci resit.

[Petr Šobáň]

A to se opravdu neda nakonfigurovat ARP na routeru, aby komunikoval ven a pokazde predstiral jinou MAC adresu?

Proč by měl předstírat pokaždé jinou MAC ?

Přece musí druhé straně pouze zdělit že určitá MAC adresa se má poslat na rozhraní toho routeru s MAC XXXYYYZZZZ a ta MAC routeru je pořád stejná.

Router to potom předá na druhé rozhraní kde jsou zase jiné MAC adresy.....

[JF]

Ja se vzdy snazim zjistit, co si od nejake technologie mohu dovolit a podle toho co zjistim se dale rozhodnu.

No myslel jsem, ze mozna je na gateway nejaky security fix, ktery nedovoli 2 IP adresam sdilet jednu MAC adresu. Nevim, jestli je neco takoveho mozne.

Tohle mohu poznat jedinym zpusobem. Poprosim poskytovatele o poslani vypisu z ARP na gateway - pokud tam bude jen IP routeru nebo jen IP meho pocitac, tak je to blbe. Jinak mam blbe neco jineho.

Ping ma takovou vlastnost, ze pred poslanim sveho paketu posle ARP request. Data transfer tohle nedela a po navazani spojeni uz da pokoj.

Hloupe je, ze jsem dosel docela daleko, cele to funguje az na tuhle principialni mouchu.

Jedine mohu zapnout NAT, pak ostatni pocitace za nim uplne zmizi a gateway uz bude kominikovat vyhradne s rozhranim routeru.

Takovy switch pro vice pocitacu je take dobre reseni. Nejlevnejsi switch stoji kolem 260Kc + DPH a je od konfigurace routovani pokoj.

dekuji za odpovedi

[Petr Šobáň]

Asi problém je že vaše arp tabulka si drží IP+MAC pokud pošlete stejnou MAC s jinou IP tak se původní záznam smaže a založí nový s MAC+IP no a potom se samozřejmně zblbne routování a po pingu to se zase přepíše a zase to chodí OK.

[JF]

To myslim je ono. Jde o to, ze je zblbnuta tabulka na gatewayi, kterou nemam pod kontrolou.

A navic ten zaznam nema vubec nic spolecneho s routerem ale s DLinkem, ktery by mel byt transparentni.

Podle posledni moji reakce na konci teto diskuse to vypada, ze router je bez chyb (obcas se hleda chyba tam kde neni) a nekde se neco spraska dal cestou.

Spoji se (MojeIP + MAC Dlinku) a kdo to udela nemam pod kontrolou. Router takovou asociaci vubec ani udelat nemuze. K teto asociaci by ani jinak nemelo dojit, mozna je chybny firmware v Dlinku, mozna je blbe neco dal, mozna gateway neco nepochopi.

Neznate nejaky jiny fix, nez ta prasarna, co jsem popsal na konci diskuse? Je to fuj, ale kdyz to udelam, tak vse funguje jak ma.

[Jiří J.]

Prijde mi na eth0: ARP request for 10.23.22.1 from 004854135172 to 000e2e22b4cb on eth0

Odpovi se: ARP request from 10.23.22.1 from 000e2e22b4cb to 004854135172 on eth0

"Váš" PC neodpoví pomocí ARP reply? Při dynamické ARP cache by měl

[JF]

Tohle je pouze komunikace mezi routerem a gateway. Muj PC se o ni ani nedozvi. Jedinym nasledkem je, ze se asi perou o ARP zaznam v gateway.

Kdyz dam trvaly ping z routeru na gateway, tak z PC nemohu pristupovat k internetu. A kdyz dam trvaly ping na PC, tak internet funguje. To trochu podporuje moji teorii, ze se ARP nechova promiskuitne jak by mel. ARP proxy ma spojit 2 segmenty site do jednoho a to transparentne bez vyse uvedene neprijemnosti. Proto jsem ji tam chtel dat - do budoucna totiz planuji vyrazeni AP a vse by delalo jen PC.

No asi by se to dalo resit switchem, paketu moc neni. Ten router s ARP se mi libil vic.

Mozna se vyjadruji spatne, kdyz tak me opravte.

[Jiří J.]

Co driver? používáte pořád tu stejnou verzi?
Možné řešení: zkuste nastavit statickou ARP cache, ovšem pokud je problém ve firmwaru síťovky či v ovladači, problém to asi nevyřeší, za pokus to stojí :)

arp -a
man arp

[JF]

Tohle uz jsem take zkousel, bohuzel chovani je uplne stejne. http://unix.kropes.cz/howto:proxy_arp

arp -i eth0 -Ds 10.23.22.17 eth0 pub
arp -i eth1 -Ds 10.23.22.1 eth1 pub
arp -i eth1 -Ds 10.23.22.18 eth1 pub
(a pak jsem jeste pro jistotu vypnul dynamicke proxy_arp na kartach)

Ktery driver? Myslite ten v routeru? Kdyz ono to na 90% funguje a pri surfovani nejsou ani vypadky poznat.

Bez symetrickeho proxy ARP mi to vubec nefunguje. ARP paket je broadcast a ten jednoduse neprojde pres router. Kdyby se podarilo povolit pruchod pro broadcast pakety, tak bych mel take od ARP pokoj.

Jeste vyzkousim ten druhy namet zmenit IP adresu druheho rozhrani. Ja mam od poskytovatele v CZ free pouze 3 (CZ free) adresy na hrani a myslel jsem si, ze pocitaci staci jedna IP adresa. (Tohle delam poprve v zivote.)

[Jiří J.]

Tak dvě karty se stejnou IP a s různými MAC adresami nejsou zrovna šťastné řešení

[Michal Kubeček]

Pokud nejsou ve stejném segmentu, není v tom žádný velký problém, jen je potřeba být trochu opatrnější při nastavení směrování.

[Michal Kubeček]

Nešlo by zobrazit výpisy pomocí 'ip route' a 'ip neigh'? V tomhle se moc nevyznám. Jak realizujete tu proxy ARP, statickou položkou nebo dynamicky?

[JF]

Dekuji za odpoved:

root@router:~# ip route
10.23.22.18 dev eth0 scope link
10.23.22.1 dev eth0 scope link
10.23.22.17 dev eth1 scope link
10.23.22.0/26 dev eth0 proto kernel scope link src 10.23.22.16
10.23.22.0/26 dev eth1 proto kernel scope link src 10.23.22.19
10.23.22.0/26 dev eth2 proto kernel scope link src 10.23.22.20
127.0.0.0/8 dev lo scope link
default via 10.23.22.1 dev eth0 metric 1


root@router:~# ip neigh 10.23.22.17 dev eth1 lladdr 00:00:00:00:00:00 DELAY 10.23.22.1 dev eth0 lladdr 00:0e:2e:22:b4:cb REACHABLE

Zacinam tusit kde je chyba. Pri pohledu do sniffu router odpovida neustale z jedne MAC adresy eth0 a podle teorie ARP by se mel chovat promiskuitne. Ale stejne netusim co s tim - viz vyse. A to by vysvetlovalo pozorovane chovani, chvilku ma gateway (tam nemohu) jednu IP adresu a chvilku druhou. Moc se v tom nevyznam, ale odhaduji, ze by to mohlo odstrelit probihajici transfer dat.

[Michal Kubeček]

Pokud chcete nastavit stejnou adresu na dvou rozhraních, neměl byste u obou nastavovat rozsah, jinak nebude systém vědět, kam má ty pakety vlastně směrovat. Zkuste se pro inspiraci podívat na příklad, který je tady ve FAQ.

[JF]

Dekuji moc. Zda se, ze router je naprosto v poradku a problem je uplne nekde jinde. Problem byl stale, jen se s pripojenim routeru zvyraznil. 000e2e22b4cb je MAC od brany
001195bf540b je MAC od DLINKu
004854135172 je MAC od moji eth0 routeru

Z nejakeho duvodu se neustale prohazuji tyhle posledni 2 adresy. ARP vehementne vyzaduje 10.23.22.17 od 001195bf540b. A to nedostane. Dlink je switch a tak posle vsechno dal. (ted mam kartu v promiskuitnim modu, takze to chyta).

Zejmena z poslednich 4 radek je to jasne videt. Napada me jediny opras nastavit si stejnou MAC na eth0 jako ma DLINK. Pak bych problem zamaskoval. ARP request for 10.23.22.17 (1500 bytes) from 000e2e22b4cb to 001195bf540b on eth0
ARP request for 10.23.22.17 (1500 bytes) from 000e2e22b4cb to 001195bf540b on eth0
IGMP (46 bytes) from 10.23.22.58 to 224.0.0.22 on eth0
IGMP (46 bytes) from 10.23.22.58 to 224.0.0.22 on eth0
IGMP (46 bytes) from 10.23.22.58 to 224.0.0.22 on eth0
ARP request for 10.23.22.17 (229 bytes) from 000e2e22b4cb to ffffffffffff on eth0
ARP reply from 10.23.22.17 (229 bytes) from 004854135172 to 000e2e22b4cb on eth0
ARP request for 10.23.22.17 (1500 bytes) from 000e2e22b4cb to 001195bf540b on eth0
ARP request for 10.23.22.17 (1500 bytes) from 000e2e22b4cb to 001195bf540b on eth0
ARP request for 10.23.22.17 (60 bytes) from 000e2e22b4cb to 004854135172 on eth0
ARP reply from 10.23.22.17 (60 bytes) from 004854135172 to 000e2e22b4cb on eth0


[Michal Kubeček]

Ještě mne při pohledu na obrázek napadá jeden možný problém: co je zač ten D-Link, router nebo bridge?

[JF]

DWL2100-AP. No ja si myslim, ze je to switch. Ma jedinou IP adresu na konfiguraci a chova se jako prodlouzeny drat do vzduchu (tedy to tak alespon vypada). Routovat mezi sitemi neumi.

[JF]

Takhle delam arp:

route add -host 10.23.22.17 dev eth1
route add -host 10.23.22.18 dev eth0
route add -host 10.23.22.1 dev eth0
echo 1 > /proc/sys/net/ipv4/conf/eth0/proxy_arp
echo 1 > /proc/sys/net/ipv4/conf/eth1/proxy_arp


a to staticke jsem natukal z prikazove radky viz vyse.
echo 0 > /proc/sys/net/ipv4/conf/eth0/proxy_arp
echo 0 > /proc/sys/net/ipv4/conf/eth1/proxy_arp

[JF]

Odsnifovana komunikace ARP: ARP request for 10.23.22.17 (110 bytes) from 000e2e22b4cb to 004854135172 on eth0
ARP reply from 10.23.22.17 (110 bytes) from 004854135172 to 000e2e22b4cb on eth0
│ ARP request for 10.23.22.1 (40 bytes) from 004854135172 to 000e2e22b4cb on eth0
│ ARP reply from 10.23.22.1 (40 bytes) from 000e2e22b4cb to 004854135172 on eth0


A ted to napisi prehledne:
ARP request for 10.23.22.17 (110 bytes) from {ETH0_sit} to {gateway} on eth0
ARP reply from 10.23.22.17 (110 bytes) from {gateway_MAC} to {ETH0_MAC} on eth0
ARP request for 10.23.22.1 (40 bytes) from {ETH0_MAC} to {gateway_MAC} on eth0
ARP reply from 10.23.22.1 (40 bytes) from {gateway_MAC} to {ETH0_MAC} on eth0


Asi budu muset neco nastudovat o ARP, ale 10.23.22.17 by se doufam nemelo tvarit jako eth0. Pomuze to k vyreseni, nebo jsem zas do neceho zabrednul?

[macrek]

V tvojom pripade je na gatewayi u poskytovatela pravdepodobne 3 IP adresam pridelena jedna MAC adresa (to vsak nie je problem). Pretoze ten D-Link je pravdepodobne bridge, za ktorym su vsetky pocitace videne pod jednou MAC adresou. (tak je to riesene u ovislinku, a to iste bude IMHO aj pri D-Linku - mozno sa mylim). Spravit ochranu vysielaca na kombinaciu IP/MAC nieje problem, ale kedze vsetky tvoje ipecky su za jednou MAC, tak by ta to nemalo zaujimat (IMHO taka ochrana tam nie je). Skor tam je ochrana na konkretnu MAC adresu zariadenia ktora sa moze na dany vysielac naasociovat.

V tvojom pripade by som asi tiez pouzil NATko namiesto arp_proxy, prides sice o moznost vidiet ostatne pocitace v sieti (nekamenovat), ale zjednodusi to tvoj problem a usetris jednu ipecku :)

[JF]

Kez by tomu tak bylo. Pred chvilkou jsem o neco vyse napsal tohle:

ARP request for 10.23.22.17 (1500 bytes) from 000e2e22b4cb to 001195bf540b on eth0
ARP request for 10.23.22.17 (1500 bytes) from 000e2e22b4cb to 001195bf540b on eth0
ARP request for 10.23.22.17 (60 bytes) from 000e2e22b4cb to 004854135172 on eth0
ARP reply from 10.23.22.17 (60 bytes) from 004854135172 to 000e2e22b4cb on eth0


a z toho vyplyva, ze si gateway kazdou chvilky mysli, ze ma 10.23.22.17 jinou MAC adresu. To odpovida pozorovanemu chovani. Prenos souboru spadne, pokud si gateway mysli, ze eth0 je 001195bf540b (nespravne). A pak se zase nahodi, kdyz se gateway opravi na 004854135172.

[macrek]

mozes napisat este aj ktore rozhranie v tvojej topologii ma ktoru MAC adresu ?

[JF]

A to uz sem sem jednou psal:
000e2e22b4cb je MAC od brany
001195bf540b je MAC od DLINKu
004854135172 je MAC od moji eth0 routeru


[macrek]

a tento vypis znamena nieco ine:
ARP request sa posiela vsetkym strojom (jeho cielom je zistit ktorej MAC adrese patri dana IP adresa), preto tam je 3x. Na takuto poziadavku sa ozyva len stroj, ktoremu dana IP adresa patri. V tvojom pripade sa ozval 22.17 s 004854135172.

[JF]

Kde, ze je 3x?? Nejak to nechapu. Tahle vseobecna vyzva je vsem strojum. Tu tam take mam. Pak uz chodi ARP request pouze na presne definovanou adresu.

ARP request for 10.23.22.17 (229 bytes) from 000e2e22b4cb to ffffffffffff on eth0

[JF]

Udelal jsem nejvetsi prasarnu, nastavil routeru stejnou MAC adresu jako ma DLINK. Prekvapive zacala sit fungovat a prenos souboru nepada. Uz jsem pres to prenesl pres 40MB absolutne bez problemu.

Nasledky jsou zrejme, nikdo zvenku se nedostane na router. A nikdo zevnitr se nedostane na Dlink. To se dalo cekat. Ostatni routy jsou bez problemu.

Uznavam, ze je to hnuj, ale budu to resit s poskytovatelem, ktery si zbastlil najakou gateway a ta se chova divne. Hlavne, ze se podarilo najit pricinu problemu.

[JF]

2 stejné MAC mi dělaly více škody než užitku. Jednou za 3 vteřiny si pingnout způsobí méně škody. Nakonec jsem do rc.local napsal toto:

route add default gw 10.23.22.1 dev eth0 metric 1

modprobe ip_tables
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_MASQUERADE
iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE

#otravuj GW
killall ping
nohup ping -i 3 10.23.22.1 > /dev/null &

Sice to funguje, ale nadšen z toho nejsem. Zajímavé je, ze pouhe načtení modulů situaci zlepšilo. Zapomětlivá gateway na mě nezapomene. Jestě, že mám Linux na routeru. S komerčním routerem bych tohle neudělal.