Dotaz: Nftables přístup z LAN do VLAN

[Beetljuice]

Zdravím všechny. Trochu se peru s nftables na jedné naší GW. Mám tam několik VLAN. Potřebuji z LAN (eno2) přistoupit do VLAN (vlan10), ale komunikace neprojde. Z GW do VLAN vše pingnu. Čekal jsem, že v "Chain Forward" bude stačit :
iifname eno2 oifname vlan10 accept
případně
ip saddr 192.168.0.0/16 ip daddr 10.10.0.0/24 accept
ale nic, (komunikace) ping z LAN do té VLANy neprojde. Je potřeba dopsat ještě něco? Dík za nasměrování.

---

---

Odpovědi

[ewew]

Máš povolený /proc/sys/net/ipv4/ip_forward a /proc/sys/net/ipv4/conf/X/forwarding ? Máš nastavené routovacie pravidlo pre daný smer ?

Ak to nebude ten prípad tak si pozri tento obrázok

[Beetljuice]

ip_forward samozřejmě zapnutý mám. Routování ale ne. Co by tam mělo být za pravidlo?

[Petr Tomášek]

Ja vidim ten forward povoleny jen jednim smerem. Pust si tcpdump na prichozim i odchozim rozhrani a otestuj ping z obou smeru kam az to projde.

[Beetljuice]

Tak ještě úprava. V síti je více VLAN. Provoz mezi nimi není nijak blokovaný. Tzn. není problém se připojit z LAN na jakékoliv zařízení ve VLAN a visí na "access" portu konkrétní VLANy. Můj problém souvisí s přístupem na L3 switch, který je nastaven na MGMT VLAN10. Není mi jasné, že z brány se na něj dopingnu, ale z jiného PC ne. Je tedy nutné se připojit na switchy do portu patřící VLAN10 a pak se na něj samozřejmě připojím. Řekl bych, že je to tak správně, jen jsem se do toho zamotal a zmátl mě ten přístup z GW. Holt nejsem síťový guru.

[X]

Takze je to vyresene? Nejake schema zapojeni by nebylo? Protoze ten popis je hodne matouci.

[Beetljuice]

No já to jako vyřešené neoznačoval a ani to nemůžu odznačit.
Nějaké větší schéma asi není potřeba. Prostě linuxová GW (WAN,LAN,VPN10 apod.) Síť do hvězdy. L3 switche které mají IP adresu z rozsahu VLAN10. Kamera, která má IP adresu z rozsahu VLAN50. PC umístěné v LAN. Z PC se dostanu v pohodě na kameru. Na switch nikoliv. Z brány se dostanu samozřejmě na oboje. Řekl bych, že to nějak souvisí s tím L3 switchem.

[X]

Zkusit to klasicky. Na routeru pustis tcpdump a overis, ze ICMP prijde z LAN rozhrani a odejde na VLAN rozhrani a zaroven ze prijde odpoved na VLAN rozhrani a odejde na LAN rohrazni. Vcetne spravne zdrojove a cilove IP. Pokud nektera z techto situaci nenastane rychle zjistis, kde hledat dal.

[Beetljuice]

ping z LAN (eno2) na switch ve VLAN10

tcpdump --interface eno2 icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eno2, link-type EN10MB (Ethernet), capture size 262144 bytes
14:52:05.505346 IP 192.168.3.252 > 10.10.0.30: ICMP echo request, id 1, seq 572, length 40
14:52:05.506505 IP 192.168.3.252 > 10.10.0.30: ICMP echo request, id 1, seq 572, length 40

tcpdump --interface vlan10 icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on vlan10, link-type EN10MB (Ethernet), capture size 262144 bytes
14:52:52.017079 IP 192.168.3.252 > 10.10.0.30: ICMP echo request, id 1, seq 576, length 40
14:52:57.016210 IP 192.168.3.252 > 10.10.0.30: ICMP echo request, id 1, seq 577, length 40

ping z LAN (eno2) na kameru ve VLAN50

tcpdump --interface vlan50 icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on vlan50, link-type EN10MB (Ethernet), capture size 262144 bytes
14:55:59.083055 IP 192.168.3.252 > 10.50.0.143: ICMP echo request, id 1, seq 588, length 40
14:55:59.088223 IP 10.50.0.143 > 192.168.3.252: ICMP echo reply, id 1, seq 588, length 40

tcpdump --interface eno2 icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eno2, link-type EN10MB (Ethernet), capture size 262144 bytes
14:56:19.326078 IP 192.168.3.252 > 10.50.0.143: ICMP echo request, id 1, seq 592, length 40
14:56:19.326100 IP 192.168.3.252 > 10.50.0.143: ICMP echo request, id 1, seq 592, length 40
14:56:19.331294 IP 10.50.0.143 > 192.168.3.252: ICMP echo reply, id 1, seq 592, length 40
14:56:19.331304 IP 10.50.0.143 > 192.168.3.252: ICMP echo reply, id 1, seq 592, length 4

[X]

No vidis. Hned je videt, ze ICMP request v poradku prisel i odesel, ale od 10.10.0.30 se nevraci zadna odpoved. Problem je tedy jinde.