Portál AbcLinuxu, 19. dubna 2024 10:18
Ale ted chci se dostat z 192.168.4.50 (treba) prave na ten 192.168.5.2, jak to muzu udelat ???
Na 192.168.5.1 se dostanu, takze dale mi pravdepodobne chyby nejaka routa ...
192.168.4.0/24 --- eth0(router)eth2 --- 192.168.5.0/24ak na vsetkych kompoch v sieti 192.168.4.0/24 nastavis ako default branu 192.168.4.1 a v sieti 192.168.5.0/24 192.168.5.1 tak by to malo chodit, samozrejme musis mat zapnuty ip forwarding
na eth0 jsem udelal alias:
ifconfig eth2:0 192.168.5.1 netmask 255.255.255.0 up
1. IP aliasing fungoval naposledy (pouze?) v jádrech řady 2.0 a takové, předpokládám, nepoužíváte.
2. ani kdybyste opravdu jádro řady 2.0 měl, zmíněný příkaz vám rozhodně neudělá alias na eth0. Informace, zda se jedná o stejný fyzický segment nebo ne, je ale poměrně důležitá.
3. Na úrovni směrování dost těžko můžete zajistit, aby se šlo z počítače A "dostat" na B, ale ne naopak. Uvědomte si, že kromě velmi speciálních případů je komunikace vždy obousměrná. Pokud chcete něco takového docílit, budete muset směrování nastavit normálně a ošetřit to (stavovým) paketovým filtrem.
4. V dotazu také chybí podstatná informace, jak vypadá směrovací tabulka toho 192.168.4.50.
5. Obecná rada: když máte problémy se síťovou komunikací, nestačí konstatovat, že "se tam nedostanete". Většinou je potřeba zjistit, co přesně se vám ztrácí (který směr) a kde.
takto vypada ifconfig:
eth0 Link encap:Ethernet HWaddr 00:0E:2E:5B:4B:B4
inet addr:192.168.4.1 Bcast:192.168.4.255 Mask:255.255.255.0
inet6 addr: fe80::20e:2eff:fe5b:4bb4/64 Scope:Link
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1
RX packets:366585380 errors:8 dropped:1 overruns:1 frame:0
TX packets:399009900 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:1722599362 (1.6 GiB) TX bytes:3072561675 (2.8 GiB)
Interrupt:5 Base address:0xc400
eth0:0 Link encap:Ethernet HWaddr 00:0E:2E:5B:4B:B4
inet addr:192.168.5.1 Bcast:192.168.5.255 Mask:255.255.255.0
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1
Interrupt:5 Base address:0xc400
eth1 je verejna ip, ta nas ted nezajima. Pouzivam jadro 2.6.17.13 a ten alias, jak uz jsem rikal funguje. Protoze z venku (eth1 -> eth0 -> eth0:0 -> 192.168.5.2 to jede, jen se ten 5.2 nevidi na 4.0/24 siti, tak jsem to ale puvodne chtel. Jestli se do da (ten alias) udelat lepe. OK ...
dale: ip route:
XXX.XXX.XXX.XXX/29 dev eth1 proto kernel scope link src XXX.XXX.XXX.XXX 192.168.5.0/24 dev eth0 proto kernel scope link src 192.168.5.1 192.168.4.0/24 dev eth0 proto kernel scope link src 192.168.4.1 127.0.0.0/8 dev lo scope link default via XXX.XXX.XXX.XXX dev eth1ad 3) ano, je mi znamo, ale nevim jak to resit. Vim, ze je to oboustranna zalezitost, ale jak rikam, nevim jak na to. Jeste potrebujete nejake vypisy ?
iptables -A PREROUTING -i eth0 -s 192.168.4.50 -d 192.168.5.2 -j DNAT --to-destination 192.168.5.2Pokud vám jde o routing celého subnetu 192.168.4.0/24 na 192.168.5.0/24, pak by to možná šlo řešit
iptables -A PREROUTING -i eth0 -s 192.168.4.0/24 -d 192.168.5.0/24 -j DNAT --to-destination 192.168.5.1-192.168.5.254což je nepraktické, protože se to ve druhém subnetu chová jako HUB (tj. pošle to všem), takže tudy asi ideální cesta nevede (pokud je v 192.168.5.0/24 jen ten 192.168.5.2, tak by to šlo docela dobře řešit kombinací obou řešení) ... Jinak co se týče bodu 3, asi jsem nepochopil... chcete, aby mohly packety proudit jen z jednoho do druhého subnetu, ale opačně ne? Případně obousměrně, ale aby vždy jen jedna strana mohla začínat spojení? Něco o stavovém firewallu zná i Google..
iptables -A PREROUTING -i eth0 -s 192.168.4.50 -d 192.168.5.2 -j DNAT --to-destination 192.168.5.2dostanu:
iptables: No chain/target/match by that nameA na ten alias se to taky neda pouzit, na ten to asi nejde vseobecne:
Warning: wierd character in interface `eth0:0' (No aliases, :, ! or *). iptables: No chain/target/match by that name
iptables: No chain/target/match by that name
Protože tam chybí '-t nat'. Ale tu odpověď raději ignorujte.
A na ten alias se to taky neda pouzit, na ten to asi nejde vseobecne:
Warning: wierd character in interface `eth0:0' (No aliases, :, ! or *). iptables: No chain/target/match by that name
To je právě to, co se vám snažím vysvětlit: žádné aliasy už osm a půl roku neexistují, ať se vám příkaz ifconfig snaží tvrdit cokoli…
Uff, to už je dneska myšlení lidí tak strašně zdeformované všudypřítomnými maškarádami, že si nedokážou představit komunikaci mezi dvěma segmenty přes jeden router bez překládání adres? A jaký má vlastně podle vás smysl překládat paketům s cílovou adresou 192.168.5.2 cílovou adresu na 192.168.5.2???
Pouzivam jadro 2.6.17.13 a ten alias, jak uz jsem rikal funguje.
Nefunguje, IP aliasing se opravdu od řady 2.2 nepoužívá, rozhraní má prostě přiřazeno určitý počet adres (nula a více). Já vím, zní to jako bazírování na slovíčkách, ale problém je, že ifconfig vám vnucuje představu, že tam existuje nějaké virtuální rozhraní eth0:0 - a to není pravda.
Jeste potrebujete nejake vypisy?
Napadají mne dva možné důvody, proč ta komunikace mezi rozsahy nefunguje. Buď máte zakázaný IP forwarding (co ukáže 'cat /proc/sys/net/ipv4/ip_forward'?) nebo je špatně nastaveno směrování na tom 192.168.4.50 (jak vypadá jeho směrovací tabulka?). Případně ještě příliš restriktivní pravidla netfilteru. Opravdu by pomohlo, kdybyste zjistil (tcpdump, wireshark), které pakety se ztrácejí a kde.
Nefunguje, IP aliasing se opravdu od řady 2.2 nepoužívá, rozhraní má prostě přiřazeno určitý počet adres (nula a více). Já vím, zní to jako bazírování na slovíčkách, ale problém je, žeDobry. Ale jak si mam vysvetlit, ze to PC (192.168.5.2) co ma nastaveno:ifconfigvám vnucuje představu, že tam existuje nějaké virtuální rozhraníeth0:0- a to není pravda.
IP 192.168.5.2 maska: 255.255.255.0 brana: 192.168.5.1se dostane do internetu a funguje na mem i presmerovani na RDP ???? Samozrejme kdyz shodim alias tak to PC je odrizle, tzn. Alias MUSI fungovat .... IP forward je SAMOZREJME zaply, je to router s natem a nejsem LAMA.
root@router:~# cat /proc/sys/net/ipv4/ip_forward 1Na tomto routeru dale bezi firewall - striktni, 2x openvpn v balanced modu a 2x ISP s multiroutingem, moje vlastni prace. Napada me jina vec, v Iptables ridim samozrejme WAN + WAN2 a tu LAN, jenze ta LAN je vedena jako eth0 a kdyz mam na eth0 nejaka pravidla, vztahuje se to nejak na ten alias eth0:0 ?? Asi je ten alias blbost, asi by byla lepsi dalsi sitovka, problem je, ze ten router ma uptime 124 dnu a musi bezet 24 hodin a nemuzu ho vypnout ani na 5 vterin ....
Ale jak si mam vysvetlit, ze … Samozrejme kdyz shodim alias tak to PC je odrizle, tzn. Alias MUSI fungovat .... vztahuje se to nejak na ten alias eth0:0 ??
A jsme u kamene úrazu: na jádrech 2.0 se skutečně vytvořil virtuální interface eth0:0 a tomu se nastavila ta druhá adresa. Od řady 2.2 žádný virtuální interface eth0:0 neexistuje, to je jen fikce, kterou se vám snaží vsugerovat obsolentní příkaz ifconfig. Máte jen interface eth0 a na něm dvě adresy. Takže pakety, o které vám jde, mají vstupní i výstupní interface eth0 (ale pořád se jedná o chain FORWARD). Pravidlo, které je povolí, bude tedy vypadat nějak takto:
iptables -A FORWARD -i eth0 -o eth0 -s 192.168.4.0/24 -d 192.168.5.0/24 -j ACCEPT
Když k tomu přidáte povolení ESTABLISHED (a případně RELATED) paketů (které tam nejspíš máte), měl byste být schopen iniciovat komunikaci ze "čtyřkového" rozsahu do "pětkového", ale ne naopak.
16:49:54.546698 IP svaca-desktop.local > 192.168.5.2: ICMP echo request, id 44859, seq 2, length 64 16:49:55.546901 IP svaca-desktop.local > 192.168.5.2: ICMP echo request, id 44859, seq 3, length 64ping neprojde ...
Takze jsem zkusil:
iptables -A FORWARD -i eth0 -o eth0 -s 192.168.4.0/24 -d 192.168.5.0/24 -j ACCEPTa to nefungovalo ani jednim smerem, nelenil jsem a pridal jsem:
iptables -A FORWARD -i eth0 -o eth0 -s 192.168.5.0/24 -d 192.168.4.0/24 -j ACCEPTA pohoda, funguje to obema smery ...
Takze vyreseno.
Jinak chapu vasi averzi k: ifconfig, a pod. starym prikazum, ale jak jste videl vypisuje to i ip addr show. Jedu na Slackware.
nicmene, to funguje a ten alias proste zije ...
Jeste jednou diky ...
root@router:~# ip addr show eth0
2: eth0: BROADCAST,MULTICAST,PROMISC,UP,10000> mtu 1500 qdisc pfifo_fast qlen 1000
link/ether 00:0e:2e:5b:4b:b4 brd ff:ff:ff:ff:ff:ff
inet 192.168.4.1/24 brd 192.168.4.255 scope global eth2
inet 192.168.5.1/24 brd 192.168.5.255 scope global eth2:0
inet6 fe80::20e:2eff:fe5b:4bb4/64 scope link
valid_lft forever preferred_lft forever
Kdyz jsem zadaval post, tak jsem myslel ze LAN je eth0, ale ona je eth2, takze "spravne je to takto - s opravou:
root@router:~# ip addr show eth0
2: eth0: BROADCAST,MULTICAST,PROMISC,UP,10000> mtu 1500 qdisc pfifo_fast qlen 1000
link/ether 00:0e:2e:5b:4b:b4 brd ff:ff:ff:ff:ff:ff
inet 192.168.4.1/24 brd 192.168.4.255 scope global eth0
inet 192.168.5.1/24 brd 192.168.5.255 scope global eth0:0
inet6 fe80::20e:2eff:fe5b:4bb4/64 scope link
valid_lft forever preferred_lft forever
Nechame tu LAN na eth0 at v tom eni maglais ...
18.7.2007 20:28
Luboš Doležel (Doli) | skóre: 98
| blog: Doliho blog
| Kladensko
Tiskni
Sdílej:
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.