Dotaz: 2 veřejná rozhraní

[Milan Uhrák]

Dobrý den,

protože si nejsem jist, zda tomu správně rozumím, chtěl bych vás požádat o pomoc / radu.

Na serveru (bráně) byly 2 NICky, jedna vnitřní a jedna s veřejnou IP. Přidal jsem tam třetí kartu, protože ...

O2 nám přidělilo také nějaké veřejné IP adresy, tak jsem je požádal, aby v dodaném Cisco routeru jednu veřejnou IP přidělili na MAC této třetí karty.

Toto připojení od O2 (používané zejména pro jejich IP telefony) nehodlám (vzhledem k poměru propustností s linkou od ISP ) používat na běžný provoz, spíše jako nouzový kanál v případě, že padne to primární připojení.

Nastavil jsem na té třetí kartě parametry, které mi O2 sdělila, ale nejsem si jist, jak vyřešit routování.

Když totiž ze serveru pinkám na IP brány, kterou jsem dostal od O2, tak se pakety vracejí (0.01 ms), když pinkám z jiného stroje na tu bránu, tak se vracejí taky( 2-15 ms), ale ping přímo na IP serveru přidělenou O2, nevrací (asi minutu) vůbec nic.

ping 90.181.150.10
PING 90.181.150.10 (90.181.150.10) 56(84) bytes of data.
^C
--- 90.181.150.10 ping statistics ---
97 packets transmitted, 0 received, 100% packet loss, time 96000ms

Firewall na tom serveru zatím neběží.

Tak nevím, mám tu přidanou síťovku nějak zahrnout do routování, (a hlavně tedy jak - protože pokud tam už jedna default brána je, tak si nejsem jist, jak to pořešit, aby se to nehádalo), nebo hledat problém někde jinde ?

předem díky Milan

---

---

Odpovědi

[Petr Šobáň]

To je jednoduché prostě dvě default nejdou prostě musíš nastavit jaké IP půjdou přes tu druhou veřejnou IP - síťovku.

Ovšem nevím proč by jsi měl mít na serveru víc síťovek - všechny veřejné IP můžeš mít na jedné síťovce která bude připojená do internetu.

Pokud tam máš druhý kabel k jinému ISP a nechceš to využívat není problém testovat ping a když neprojde tak přehodit default na tu druhou.

[Milan Uhrák]

ano, mam tady 2 dráty, jeden od ISP, druhy od O2. připojení od O2 bych považoval za nouzové, ale připojeno by mělo být nastálo.

Takže když mi nechodí pingy na to O2 připojení, nevím, jestli je příčinou routování nebo nějaký jiný problém... ani nevím, jak to zjistit.

[citanus]

pro informaci tomudle zapojeni se rika multihoming, google je pak sdilnejsi.

Pokud maji byt obe linky aktivni zaroven, a server ma odpovidat na obouch verejnych rozhranich, tak musis nastavit spravne routovani. Pravde podobne mas ted konfiguraci ve stavu kdy tvuj system komunikuje ven jen pres jedno rozhrani, pravdepodobne "prvni", ktere se konfigurovalo jako default. Tj kdyz se snazis dopingnout na O2 WAN IP, tak tvuj system se snazi odpovedet z ISP_WAN_IP. A takova odpoved za beznych okolnosti nikdy nedorazi. Abys to rozchodil, tak musis spravne nastavit routy a jejich pravidla. Zaklad je nakonfigurovat to aby system odpovidal pres rozhrani na kterem trafik obdrzi..:

Nejdriv je treba zalozit v /etc/iproute2/rt_tables vlastni routovaci tabulky pro ISP a pro O2. A nastavit jim defaultni routy ven.

ip route add ISP_WAN_NET/MASK dev ISP_WAN_IFACE src ISP_WAN_IP table ISP
ip route add default via ISP_WAN_GW table ISP
ip route add O2_WAN_NET/MASK dev O2_WAN_IFACE src 02_WAN_IP table O2
ip route add default via 02_WAN_GW table O2

je treba nastavit defaultni routovaci tabulku. Tady rekneme, ze se system bude routovat trafik z brany pridelene danemu ifacu.

ip route add ISP_WAN_NET dev ISP_WAN_IFACE src ISP_WAN_IP
ip route add O2_WAN_NET dev O2_WAN_IFACE src 02_WAN_IP

Pak je treba jeste nastavit defaultni gateway

ip route add default via ISP_WAN_GW

takhle nejak zajistis aby veskerej prichozi trafik byl zodpovezenej z ifacu a ip na kterej prisel

ip rule add from ISP_WAN_IP table ISP
ip rule add from O2_WAN_IP table O2

ip route add LAN_NET     	dev LAN_IFACE table ISP_WAN_IP
ip route add O2_WAN_NET     dev O2_WAN_IFACE table ISP_WAN_IP
ip route add 127.0.0.0/8 	dev lo   table ISP_WAN_IP

ip route add LAN_NET     	dev LAN_IFACE table 02_WAN_IP
ip route add ISP_WAN_NET    dev ISP_WAN_IFACE table 02_WAN_IP
ip route add 127.0.0.0/8 	dev lo   table 02_WAN_IP     

pak se da jeste ruzne resit balancing wan linek. Muzes udelat failover defaultni wan link. A kvanta jinych veci.,.

[pavlix]

Mimochodem...

[citanus]

doufam ze Vam to projde, aktualne je to v rhelu velmi neprehledne. Clovek musi editovat mraky souboru aby to sprovoznil, pripadne upravil konfiguraci.

[Milan Uhrák]

Omlouvám se za pozdní reakci, ale pár dnů se tady nic nedělo, domníval jsem se, že už to tady uschlo a odpovědi se nedočkám ...

Děkuji všem, kdo se snažili pomoct. hodně mně nakoplo "multihoming" - konečně pojem, který dává v googlu odpověď. A pak také - RTFM. Pravda, nevěděl jsem z které strany to mám začít číst, ale s tím Multihoming-em mě už google navedl.

Jelikož tu mám rozjetý Shorewall, který mi přijde lidštější než zápisy IP a současně řeší přehledně firewall, dnat a podobný čachry, (a hlavně mám s nim už nějaké zkušenosti) našel jsem schůdnou konfiguraci pro 2 IPSka, z nichž jedno je nouzové, ale přitom aktivní. Po chvilce trápení a RTFM je konfigurace bez chyb, až budu mít čas to naostro vyzkoušet, tak uvidím, jak se mi povedlo to splácat.

Milan

[necojakolinux]

Není v těch posledních 6 řádcích chyba ? Nemá to být takhle ?

ip route add LAN_NET     	dev LAN_IFACE table ISP
atd ...

[Michal Kubeček]

Má. A routy pro 127.0.0.0/8 jsou zbytečné, protože ta je už v tabulce local (255), která se prohledává jako první.

[necojakolinux]

Hmm , tak jsem postupovala podle návodu + další návody na internetu , a když to spustím tak dostanu tohle :

Database /etc/iproute2/rt_tables is corrupted at ip route add 10.00.00.0/24 dev eth0 src 10.00.00.122 table ISP

Výpis z rt_tables

#
# reserved values
#
255     local
254     main
253     default
0       unspec
300     ISP
301     O2

.. pak následuje ten řádek který to vypisuje

Ve výpisu z ip route je :

...
default via 10.0.0.138 dev eth2  metric 100 
default via 10.00.00.1 dev eth0  metric 100

takže jsou vlastně obě rozhraní ve stejné tabulce :/. A připojení e mi zvenku detekuje jako z eth2 /napřkl. mojeip.cz/

Někde mám malou chybičku a nějak nemohu přijít na to kde .

[Michal Kubeček]

Číslo tabulky je osmibitové, takže 300 a 301 je moc.

[necojakolinux]

Dala jsem tam tedy 10 a 11 ale výsledek je stejný . :/

[necojakolinux]

Ještě mě napadlo jestli informace o jádru nebude mít nějakou roli .

2.6.32-53-generic-pae

[Michal Kubeček]

Můžete sem (jako přílohu ke komentáři, ne copy&paste) dát přímo ten soubor, o kterém příkaz tvrdí, že je "corrupted"? (Ten opravený, samozřejmě.)

[necojakolinux]

Příloha:

• rt_tables.txt (776 bytů)

IP adresy jsem pozměnila . Když dám třeba příkaz ip route show table main .. takto vypíše výše uvedou hlášku

[Michal Kubeček]

Ty příkazy tam nemají co dělat, rt_tables (ne rt_tables.txt) je jen tabulka pro převod mezi jmény tabulek a čísly, která jim odpovídají. Příkazy je potřeba spustit, ne přidat na konec tabulky.

A pro příště:

IP adresy jsem pozměnila

Když někdo píše, že chce ten soubor, o kterém příkaz hlásí, že je v něm chyba, tak chce právě ten soubor. Ne nějaký náhodně pozměněný, aby pak marně hloubal, co je v něm špatně, protože ta chyba tam vlastně není (což se v tomto případě naštěstí nestalo).

Ještě jedna poznámka: odvykněte si přidávat náhodně nuly na začátek čísel, jinak jednoho dne zažijete nemilé překvapení:

mike@lion:~> ping -n 10.010.104.122
PING 10.010.104.122 (10.8.104.122) 56(84) bytes of data.
From 149.44.162.82 icmp_seq=1 Destination Host Unreachable

[necojakolinux]

Každopádně děkuji za rady , já se ráda učím .

ad1) :) rt_tables.txt je tam proto že jsem to uložila ve win . A ten jaksi soubory bez přípon nemá rád. Jsem připojena na ten počítač přes ssh /putty/ ad2) Já se mylně domnívala, že se to zapisuje do rt_tables

ad3) přidávání náhodných nul jsem nepochopila , já nikam na začátek nuly nepřidala

Dala jsem to tedy do samostatného spustitelného souboru . /načte se i po startu/ Teď jsou výpisy po spuštění toho souboru :

#ip route show table ISP
...
default via 10.010.104.1 dev eth0

#ip route show table O2
...
default via 10.0.0.138 dev eth2

Teď se konečně vzdáleně připojím přes obě rozhraní k počítači přes ssh . Ještě jednou děkuji . Alice

[Michal Kubeček]

#ip route show table ISP
...
default via 10.010.104.1 dev eth0

Hm… jestli tohle opravdu píše příkaz ip, tak je něco v nepořádku. Mimochodem, správná hodnota je 10.10.104.1 nebo 10.8.104.1?

[necojakolinux]

Ne, je tam úplně jiné číslo, ale to je jedno /psala jsem že jsem IP změnila/ . :) , tudíž je ta IP nesmysl.

[Michal Kubeček]

Úžasné… takže já se jako blbec snažím vymyslet, jak je možné, že příkaz ip vypisuje nesmysly, dokonce jsem se díval i do gitového logu, jestli tam není oprava nějaké podobné chyby, a pak se dozvím, že on je vlastně nevypisuje a že jste si je vymyslela, přestože jste v jednu chvíli tvrdila, že

já nikam na začátek nuly nepřidala

a ten falešný výpis pošlete přímo v odpovědi na příspěvek, ve kterém jasně píšu

Když někdo píše, že chce ten soubor, o kterém příkaz hlásí, že je v něm chyba, tak chce právě ten soubor. Ne nějaký náhodně pozměněný, aby pak marně hloubal, co je v něm špatně, protože ta chyba tam vlastně není (což se v tomto případě naštěstí nestalo).

Ale co, vy stejně považujete utajení svých neveřejných IP adres za tak zásadní, že si ze mne stejně dál děláte legraci, posíláte své výmysly a vydáváte je za výstup příkazu.

Takže se nedivte, až bude příště žádat o radu s obfuskovanými konfiguračními soubory a výpisy příkazů, že se na vás ostatní raději vykašlou, než by se nechali vodit za nos.

[necojakolinux]

No třeba, kdyby jste se tak nerozohňoval hned po ránu a POŘÁDNĚ si přečetl od začátku že IP jsou smyšlená, tak bychom tuhle zbytečnou debatu dál nevedli. IMHO od začátku snad bylo jasné, že na IP adrese to nestojí . Trochu míně testosteronu by to chtělo ... nádech .... výdech ...

[Michal Kubeček]

Tak tohle už je opravdu neuvěřitelná drzost. Zbytečně a nesmyslně plýtvat časem někoho, kdo se vám snaží pomoci a pak mu ještě vynadat a tvářit se, že je to vlastně jeho chyba. No nic, tuhle chybu už (aspoň ve vašem případě) opakovat nebudu…

[necojakolinux]

?? Opravdu Vás nechápu. Buď jste vstal ráno levou nohou, nebo máte jiný problém. Nikdo Vám tu nenadává, já osobně jsem Vám poděkovala za pomoc. Jak píšu .. nádech .. výdech ..

[Michal Kubeček]

Zkuste se raději místo bádání nad tím, kterou nohou jsem vstal, a doporučování dechových cvičení zamyslet nad sebou a svým přístupem k těm, kdo se vám snaží pomoci, a jejich času.

Obfuskovat konfigurační soubory a výpisy není obecně dobrý nápad a v případě, že po vás někdo výslovně požaduje neobfuskované, už vůbec ne. Tím, jak jste tvrdila "já jsem tam tu nulu nenapsala" (což nebyla pravda) a později se divila, že jsem vám to uvěřil, jste tomu ovšem nasadila korunu. Za takových okolností jsou řeči o testosteronu a vstávání levou nohou buď projevem do nebe volající ignorance nebo ještě větší drzosti.

[necojakolinux]

Přečtěte si prosím, po sobě od začátku co píšete. A nevydávejte svoje "tvrzení" za moje. Ale jak jde vidět, jste velice fixovaný sám na sebe. Tím bych asi ukončila tuto zbytečnou diskusi.

[Michal Kubeček]

Ne, větu "já nikam na začátek nuly nepřidala" jsem si opravdu nevymyslel.

Gratuluji, právě jste získala místo na mém blacklistu, což není tak úplně snadné.

[citanus]

Michale mate u me 5 bludistaku za trpelivost..

[pavlix]

Ne že bych chtěl obhajovat tuto nevděčnou a zakomplexovanou bytost, ale opravdu je to až tak těžké? ;)

[Michal Kubeček]

Docela ano. Momentálně tam mám dvanáct položek a nejméně polovina už je tam tak dlouho, že si ani nevzpomínám, kdo to vlastně byl. Obykle je potřeba troll kalibru Dvojitého Wéčka, aby mi stál za přidání na blacklist. To, že se s někým pravidelně hádám v diskusích, rozhodně nestačí. :-)

[pavlix]

No já že jsem před se před časem zcela jistě stal adeptem ;).

Rozmlať jí klávesnici.

[pavlix]

No to je moc hezké. Takže ty jsi sem vůbec nepřišla pro pomoc, ale hledat do koho bysis kopla, chápu to dobře? Tak si posluž a užij si ten pocit.

[pavlix]

No třeba, kdyby jste se tak nerozohňoval hned po ránu a POŘÁDNĚ si přečetl od začátku že IP jsou smyšlená, tak bychom tuhle zbytečnou debatu dál nevedli. IMHO od začátku snad bylo jasné, že na IP adrese to nestojí. Trochu míně testosteronu by to chtělo ... nádech .... výdech ...

Čuchám čuchám kritický nedostatek soudnosti. Někdo si tady zvykl na to, že ostatní lidé jsou tu jen od toho, aby je využil a odkopl.

[alkoholik]

<flame>Njn, zenska.</flame>
:^)

[pavlix]

Znám i takové chlapy. Ale faktem je, že po testosteronové narážce se za tenhle komentář nemusíš stydět :).

[necojakolinux]

to pavlix : Nepřišla jsem sem vůbec hádat. Nemám už vůbec žádný důvod do někoho kopat. Když jsem postupovala podle návodu na internetu ZDE , tak tam je to zapsané v rt_tables . Jelikož se to učím požádala jsem o pomoc, zde na abclinuxu. To, že jsem tam změnila IP bylo vlastně stejně zbytečné, protože jsem změnila or. IP 10.222.104.1 na 10.010.104.1 .Což vlastně stejně nemělo žádný smysl. Jak píšu , učím se to a tak jsem měla strach, abych nezveřejnila něco co by mě později mrzelo. Reakce /pozdější/ pana Kubečky se mi zdály neadekvátní. Což vyústilo k neplodné diskusi .

[pavlix]

Reakce /pozdější/ pana Kubečky se mi zdály neadekvátní.

Michalovy reakce byly zcela jistě podrážděné, nicméně nemám pocit, že by kde v rámci neformální diskuze překročil únosnou mez. Nicméně z jeho reakcí bylo patrné, že je ochotný investovat svůj drahocenný čas do řešení cizího problému a to podle mě vždy zasluhuje úctu ze strany toho, kdo takové pomoci chce využít.

V tvých reakcích ovšem na místo úcty k věnovanému času vidím postupně nemístné spílání, shazování jeho účasti, podrážděnost... to je od tazatele poněkud nemístné. Následuje sexistická poznámka (to je řevu, když si něco takového dovolí muž) a hraní si na psychologa svého spoludiskutujícího, což už jsou zcela zjevné urážky.

Jestli se Michal skutečně špatně vyspal, má blbou náladu a přesto měl před těmi urážkami chuť pomáhat v poradně, tak za to zaslouží obdiv, nikoliv debilní poznámky o tom, že je fixován sám na sebe či jakékoli jiné urážky.

Lidi, kteří si přijdou do poradny pro radu, mají to štěstí, že natrefí na jednoho nebo více lidí, kteří tématu rozumějí, a následně jim začnou nadávat a vytahovat na ně nějaké psychologické hry, jsou jenom směšní. Pokud tohle dokážeš pochopit, vyhraješ. Pokud ne, nemám další zájem si o tom povídat ;).

[necojakolinux]

Mea culpa, mea maxima culpa ... více již nemám síly k tomu co dodat ..

[pavlix]

Nádech... výdech... a začít znova. Dát tomu víc vlastní snahy a přemýšlet než něco napíšu ;).

[necojakolinux]

Jedno Vám chlapi ale napsat musím :) . A teď to opravdu myslím v dobrém. Četla jsem si celé odpoledne Vaše příspěvky /pavlix,Kubeček/ v internetových diskusích a musím uznat, že každopádně víte o čem jste psali. Našla jsem ještě spousty dobrých věcí, které jste publikovali. Opravdu mi to pomohlo k dořešení dual WAN připojení mého malého serveru. Docela mě to to mrzí, že to na poprvé nedopadlo lépe. Přeji Vám pěkné svátky a silvestra /bez výpadku ISP a pod :)/

[pavlix]

Gratuluju a rovněž přeju pěkné svátky a přidávám drobnou poznámku že ne úplně vše, co napíšu, myslím doslova, asi tušíš, co mám namysli.