Dotaz: kernel 2.20.11 a nat

[Mirek Dusin]

Cau, mam debian unstable a presel sem z jadra 2.17.1 na 2.20.1 ale nefunguje nat tabulka. Vypise se toto:

poca:/home/mirek# iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE; iptables v1.3.6: can't initialize iptables table `nat': Table does not exist (do you need to insmod?) Perhaps iptables or your kernel needs to be upgraded.

V konfigu stareho jadra (2.6.17) je polozka IP_NF_NAT ktera nejspis:) zamena podporu NAT. U noveho jadra ale tato polozka chybi a nenasel jsem podporu NATu ani nikde jinde.

A otazka je co udelat pro to aby nat fungoval:)

Predem dekuji

Odpovědi

[neaktivni]

a) Nepouzivat Debian Unstable b) pouzit vlastni jadro

[michich]

Unstable za to nemůže. A vlastní jádro je právě ten důvod, proč problém vzniknul

[jm]

Cau, mam debian unstable a presel sem z jadra 2.17.1 na 2.20.1 ale nefunguje nat tabulka.

[Mirek Dusin]

....diky za radu:/

[Mirek Dusin]

btw to jadro sem si zkompiloval sam ale de o to ze tam neni ani moznost vybrat si ze chces pouzivat NAT

[Petr Šobáň]

1.) Jádro 2.20.x a 2.16.x neznam jadra jsou řady 2.6.x nebo stare 2.4.x

2.) U jader 2.6.20 je nat trochu jinde (je tam trochu jinak překopané to menu) takže pokud jsi použil starou konfiguraci tak použij make menuconfig a projdi si to a nastav znovu věci kolem iptables.

[*]

nejuzitecnejsi a nejkratsi proces je v tomdle pripade zkopirovat .config do noveho stromu a v novem strome dat "make oldconfig"

[jm]

nejuzitecnejsi a nejkratsi proces je v tomdle pripade zkopirovat .config do noveho stromu a v novem strome dat "make oldconfig"

No, to je prave presne to, co nefunguje.

[Petr Šobáň]

Ano přesně toto nefunguje pokud použijete starý config jednoduše proto že tam jsou změny a hromada modulů je jinak propojená - nepřeloží se hromada modulů pro iptables, nat atd.....

Jak jsem psal musíte použít make menuconfig a nakonfigurovat věci kolem nat a iptables znovu.

[Petr Šobáň]

Jsem zapoměl dodat:

Postupovat musíte stylem vemu starý config překopíruji, použiji make oldconfig a potom make menuconfig a přidat požadovanou podporu kolem iptables, nat atd....

[jm]

starý config překopíruji, použiji make oldconfig a potom make menuconfig a přidat požadovanou podporu kolem iptables, nat atd....

No, ono ani tohle zrovna moc dobre nefunguje; proste recyklovat .config mezi ruznymi verzemi jadra je blbost. Jinak to dopadne tak, ze v menuconfig jsou ruzne polozky zahadne neviditelne, nedostupne, nelze je zakazat/povolit apod.

[Petr Šobáň]

To zase záleží na jiných položkách které musíš povolit

Prostě z něčeho se vyjít musí a pak se to při velkých změnách musí projít a v případě že položka se nedá nastavit najít nadřízenou položku a tu povolit.

[jm]

No, vidim, ze si nerozumime. Reknu to teda jinak - make oldconfig nefunguje korektne mezi ruznymi verzemi jadra. Cim vic se ty verze lisi, tim vetsi pravdepodobnost, ze vytvori paskvil.

[petr_p]

A zrovna v tomto pripade to je opravene jiz od nejake 2.6.20.X. Oldconfigem jsem prechazel na dvacitkove jadro, NAT jsem mel zapnuty uz v 19 a byl jsem dotazan, zda chci NF_CONNTRACK. Dal jsem ano a pak po po proskakani vsech novych NF_netfilter polozek jsem dostak dotaz na NF_IP_CONNTRACK a po kladne odpovedi dotaz na "Full NAT". Tam take stacilo dat ano a jadro se prelozilo presne podle mych prestav.

[Petr Šobáň]

Já taky přesunuji starý config a nikdy mě to paskvil neudělalo.

Jestli to nebude tím že to vždy procházím ještě menuconfigem a dívám se zda tam nejsou blbosti a případně je opravím a skontroluji nové volby co jsou v nové verzi jádra.

[petr_p]

Netreba. Zrovna vcera jsem migroval jedno Gentoo na 2.6.20 jen pomoci oldconfigu a vsecho dopadlo vyborne.

(Jen me nastval CTc, jak chova k paketum presahujicim MTU, ale to je jina kapitola.)

[*]

mtu je vlastnost linkove vrstvy a obe starny ji musi mit stejnou jinak to proste fungovat nebude.

pokud chces jumbo frame, tak je musi umet poskytovatel.

[petr_p]

CTc na pakety delsi jak MTU(PPPoE) s DF bitem smerovane z Inetu pres DSL odpovida ICMP Packet to Big podle nalady. Tj. nekdy ano, nekdy ne. Tedy vetsinou vubec.

[*]

nechapu. jestli jsou to nove volby bez zaznamu v configu, tak se bude oldconfig ptat.

jedina moznost je, ze se presunuly stare volby do stareho nopotrebneho pod-menu, ktere mel kazdy vyhozne z konfigu.

takze obvykla chyba mezi klavesnici a zidli, kdyz nevidite nat volby pri oldconfigu?

[T]

make menuconfig
a zapnout:
Networking -> Networking options -> Network packet filtering framework -> IP Netfilter Configuration -> IP tables support

[Mirek Dusin]

Jo ale tam mam vsechno jako moduly .. to by snad melo stacit ne? ... a je to 2.6.20.1

[Jiří J.]

Jak píše pan Šobáň o něco výše, iptables/nefilter je jedna z docela překopaných věcí v možnostech konfigurace jádra (od 2.6.20), taky jsem se s tím "kdysi" trochu natrápil (použil jsem starý .config) - je prostě třeba si to důkladně projít celé, spousta věcí jde "nastavit" nově, zase více možností, jak si přilepšit/pohoršit

[Andy]

nerad bych se mylil ale nebyly ty zmeny uz v 2.6.18?

[Petr Šobáň]

Nebyly protože originál config po make oldconfig mě prošel vždy až u jádra 2.6.20 se mě to seklo kdy se mě nepřeložilo hromada modulů a iptables začaly házet chyby.

[Dali]

Používám sice Gentoo, ale mohlo by to být stejné. V jádrech 2.6.20 se skutečně řeší NAT (conntrack) jiným způsobem, nicméně je možné zapnout starý způsob.

Networking->Networking options->Networking packet filtering framework (Netfilter) ---> Core Netfilter Configuration -> < M > Netfilter connection tracking support -> pod tím je Netfilter connection tracking support --> a zde vybrat Layer 3 Dependent Connection tracking (OBSOLETE)

Potom samozřejmě Networking->Networking options->Networking packet filtering framework (Netfilter) ---> IP: Netfilter Configuration

znovu vše zapnout, protože to zde bude vypadat trochu jinak, než s novým způsobem conntracku.

Stačí pochopitelně vše jako moduly.

zatím taky nemám čas studovat nová pravidla pro nastavení firewallu

[LFCIB]

Pro nová jádra byste měl použít iptables 1.3.7, konkrétně s '̈́nat' jsem pak problém neměl.

[jiri.b]

teda rada 2.17.1 a 2.20.1 je dost hustaaaaaaaaaaaaaaaaaa :)