Dotaz: Domácí internetová brána - kudy kam?

[pilifs]

Zdravím ve spolek,
nějak se nemohu s tím popasovat
Stav je takový:
2 PC, server má dvě síťovky eth0 (do internetu) a eth1 do vnitřní sítě. Klient je připojen přímo na eth1 serveru (křížový kabel). Ping a spojení na server mi funguje (apache na serveru). Bohužel s klienta se nedostanu ven na internet. Ping např. na google.com skončí jako "unknown host". Pokud použiju ale jeho IP tak to projde. To platí také pro prohlížeč. I když ne některé adresy se ani přes IP v prohlížeči nedostanu (root.cz).
Na klientovi mám nastavenou IP 198.168.1.10 a bránu 198.168.1.1. Na serveru mám IP pro eth1 198.168.1.1. Masky adres na 255.255.255.0

Routovací tabulka:
-------------------------------------
Adresát Brána Maska Přízn Metrik Odkaz Užt Rozhraní
10.0.0.0 * 255.255.255.0 U 0 0 0 eth0
198.168.1.0 * 255.255.255.0 U 0 0 0 eth1
default 10.0.0.138 0.0.0.0 UG 0 0 0 eth0

Provedl jsem tyto operace:
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Popravdě řečeno některým věcem tak úplně nerozumí, takže jsem se pokusil aplikovat to co jsem přečetl z dřívějších příspěvků nebo různých článků.
Distribuci mám CentOS 4

Odpovědi

[zabza]

Bohužel s klienta se nedostanu ven na internet. Ping např. na google.com skončí jako "unknown host". Pokud použiju ale jeho IP tak to projde. To platí také pro prohlížeč. I když ne některé adresy se ani přes IP v prohlížeči nedostanu (root.cz).

potřebujete nastavit DNS ... na tom "klientovi" nastavte uplně stejné DNS jako na tom serveru...

PS: přes IP adresu se nedostanete na virtual hosty (tj. např ten root.cz)

[pilifs]

Hmm, je fakt že jsem to na klientovi neměl.
Ale, ted jsem to nastavil na 10.0.0.138 což je adresa modem/routeru, ta je také nastavena na serveru (jak v DNS tak v bráně pro eth0) a nic se nezměnilo. Stále přes IP v pohodě, ale překlad nejede a nejede

[vencour]

Co vám vrátí příkaz $ cat /etc/resolv.conf?

[pilifs]

Vrátí mi:
; generated by /sbin/dhclient-script
nameserver 192.168.1.1
Předpokládám že by tam mělo být 198.168.1.1 což je adresa mého serveru. Jak se to dá změnit?

[pilifs]

Tak jsem to zeditoval přímo v tom konfiguráku, ale nepomohlo to.

[Igor]

Zkuste pingnout na ip dns serveru, ktere vam dodal (nebo urcite doda, pokud si o to reknete) vas poskytovatel internetu. Pokud ping bude fungovat, nastavte stejne dns servery na svem pc.

[vencour]

Ok. A co je obsahem toho skriptu /sbin/dhclient-script? Co do něj něco dopsat nebo zvolit jinou metodu pro starání se o síť?

[pilifs]

DNS jsem samozřejmě zkusil nastavit i na to co mám od poskytovatele. Ping na něj jde, ale překlad adres stále nefunguje.
Skript "/sbin/dhclient-script" jsem žádný nenašel, můžete mi upřesnit jeho umístění? Pokud se má, ale jednat přidělování adres (DHCP), tak toto na serveru spuštěné nemám. IP mám nastavené na pevno - ručně.

[vencour]

Sám jste uvedl, že obsahem souboru /etc/resolv.conf je i text generated by /sbin/dhclient-script?

[pilifs]

Jo máte pravdu. Asi jsem se ještě úplně neprobral.
Skript jsem našel, ale je na můj vkus trochu až příliš komplikovaný. 500 řádků je na mne opravdu hodně.
Nemůže být problém v tom, že klienta jsem měl původně připojeného přímo na net úřes eth0. Teď jak jsem si nachystal server, tak jsem rozhraní eth0 deaktivoval a používám nyní pro připojení na server eth1

[Igor]

No, rekl bych, ze mate neco jinak, nez jste popsal.

[pilifs]

Uff. Takže ještě jednou jsem si to prošel.
Na server se připojuji přes eth0, IP mám 198.168.1.10 masku 255.255.255.0 bránu 198.168.1.1

V souboru resolv.conf mám:
nameserver 194.149.105.18 # DNS poskytovatele
nameserver 10.0.0.138 # adresa modemu/routeru
nameserver 198.168.1.1 # adresa serveru

V soubor host.conf:
-------------------------
order hosts,bind

Další nastavení na klientovy neznám. Je na tomto něco špatně? Nebo jsem něco vynechal?

[Luboš Doležel (Doli)]

Příkaz

host www.seznam.cz 194.149.105.18

vám vypíše co?

[pilifs]

[root@worklinux ~]# host www.seznam.cz 194.149.105.18
;; connection timed out; no servers could be reached

[Luboš Doležel (Doli)]

Možná bych se podíval na ten server třeba do Etherealu, jestli server ten UDP paket (=ten požadavek) přeNATuje a pošle k cíli.

[pilifs]

a na serveru:
[root@server ~]# host www.seznam.cz 194.149.105.18
Using domain server:
Name: 194.149.105.18
Address: 194.149.105.18#53
Aliases:

www.seznam.cz has address 212.80.76.3

[#Tom]

Struktura sítě je, nepletu-li se, taková:

[ PC ] -> [ SERVER ] -> [ MODEM/ROUTER ] -> [ ISP ]

Pokud je přes server připojeno jedno PC přímo do síťové karty, jistě není třeba používat DHCP. Tedy ani na PC není dobré spouštět DHCP klienta, potom také zůstane v /etc/resolv.conf platná adresa DNS serveru. To může být klidně toto:

nameserver 147.251.27.2

Je však lepší, když použijete nějaký síťově bližší server od poskytovatele, nebo klidně i vlastní.

Nastavení iptables na serveru doporučuju toto:

modprobe ip_nat_ftp # dovoluje překlad adres pro pasivní FTP protokol
		
echo 1 > /proc/sys/net/ipv4/ip_forward # je třeba zapnout přeposílání paketů
		
iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE # toto známe

# teď trochu firewallu 
iptables -A INPUT -i lo -j ACCEPT # pro lokální spojení
# z vnějšku nesmí přijit nic s adresami pro mistní síťě
iptables -A INPUT -i eth0 -s 10.0.0.0/8 -j DROP
iptables -A INPUT -i eth0 -s 172.16.0.0/12 -j DROP
iptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP

# tímto se povolí všechna spojení z místní sítě
iptables -A INPUT -i eth1 -j ACCEPT

# příchozí spojení jsou jinak povolena jen tehdy, pokud je naváže sám server
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# a všechno ostatní neprojde
iptables -A INPUT -j DROP

Nastavení směrování se na serveru obvykle udělá samo, nastavuje-li se jeho "vnější" adresa (před routerem) pomocí DHCP. Ale ručně to jde nastavit také.

Nastavení u klienta je dobré udělat ručně, není důvod, aby se měnilo. Výše uvedené nastavení je smysluplné až na DNS.

[pilifs]

Tak jsem z toho tak trochu zoufalý
Strukturu sítě mám přesněě tak jak jste uvedl. Provedl jsem na serveru Vámi uvedené kroky (za DNS jsem si dosadil vlastní) a jsem staále ve stejném stavu. Na klientovi nastavení asi špatné mít nebudu. Zkusil jsem se přes server připojit z Windows a chová se to stejně - přes IP se dostanu všude, ale přes jméno nemám šanci.
Přece to nemůže být tak komplikované. Někde jsem asi musel udělat nějakou botu. Ale kde?
Na serveru mám nastavené adresu DNS jako adresu modem/routeru - 10.0.0.138. Je to správně?
Dále mám u rozhraní eth1, které jde do vnitřní sítě nastaveno IP 198.168.1.1 maska 255.255.255.0 a bránu 10.0.0.138. Je to taky správně?

[Michal Karas]

DNS nastav stejnou jako na serveru. Tedy adresu DNS poskytovatele. Mělo by to být 194.149.105.18, jak už jsi tady jednou psal.

[pilifs]

Stále se mi nedaří.
No nic. Dám si pauzu a zkusím to někdy příště.

[chipak]

Ten probl0m je ve Firewallu, až na to přídu, tak dám vědět:)

[chipak]

Tak je problem opravdu v iptables,prenastavil jsem si podminky, podle tohoto clanku: http://www.root.cz/clanky/linux-jako-internetova-gateway-4/ a vse bezi jak ma ;)

[diverman]

nemas blbe toto? 198.168.1.1 ? nema tam byt 192?