Dotaz: a zase router

[moky]

Dobry den, viem, ze sa toho o routovani popisalo vela, ale proste si neviem rady. Mam nasledovne nastaveny router:

dve sietovky
eth0 - 10.0.0.22, netmask 255.0.0.0,
eth1 - 192.168.1.1, netmask 255.255.255.0
eth0 je pripjene k ADSL routeru s adresou 10.0.0.1 (brana do internetu)
- firewallove pravidla su vsetky ACCEPT
- echo 1 > /proc/sys/net/ipv4/ip_forward
klienti su napriklad 192.168.1.15, netmask 255.255.255.0
Z routera sa dopingujem vsade..ale od klienov nikam..moja routovacia tabulka:

192.168.1.0 * 255.255.255.0 U 0 0 0 eth1
10.0.0.0 * 255.0.0.0 U 0 0 0 eth0
127.0.0.0 * 255.0.0.0 U 0 0 0 lo
default 10.0.0.1 0.0.0.0 UG 0 0 0 eth0

A moja otazka znie.. aka ma by default gw na klientoch? Kde robim este chybu? Dakujem (ospravedlnujem sa za neprehladnost routovacej tabulky)

Odpovědi

[Michal Čihař]

Na klientech musí být gateway 192.168.1.1.

[wake]

krom toho by jeste bud melo byt mela byt - na ADSL modemu route pro 192.168.1.0/24 na 10.0.0.22 (predpokladam, ze modem NATuje) anebo - na vasem routeru SNAT nebo MASQUERADE vseho z eth1 na 10.0.0.22

[moky]

takto? :

iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

[wake]

anebo:
iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source 10.0.0.22

[moky]

hmm..

nejde..

ma napadlo, ako zistim, ze ci mam podporu v jadre?

[wake]

ls /lib/iptables | grep SNAT

[wake]

jak nejde ?

[wake]

ne "jak nejde ?" jako "jak, nebehate ?" ale "jak nejde ?" jako "jakym zpusobem (jste zjistil, ze) doslo k nefunkcnosti prikazu ?"

[David Jaša]

[hates]

pravdepodobne mas inet pripojeny na eth0 (10.x.x.x) tak ten prikaz by vypadal takhle:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
nebo
iptables -t NAT -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to 10.x.x.x

proste to musis prekladat az na sitovce pres kterou to jde do inetu a ne na te na ktere jue pripojena vnitrni sit

[wake]

dobra poznamka ;) ja jsem opsal co mam v /var/lib/iptables/active ;)

[moky]

jasneee..

:))

dakujem, a ja uz som isiel pomalicky rozoberat komp.. :)

ALe este by som chcel docielit jednu vec.. chcel by som aby vsetka komunikacia http bola presmerovana na squida.. teda na port 3128.. predpokladam, ze sa to da spravit pomocou PREROUTING nejako takto:

iptables -t nat -A PREROUTING -p tcp --dport 80 -i eth1 -j REDIRECT --to-port 3128

rozmyslam spravne?

vdaka

[wake]

misto --to-port 3128 dejte --to-destination 192.168.1.1:3128. urcite nechete/nemate squida pristupneho zvenku ;)

[wake]

a jeste pred -j dejte -m owner ! --cmd-owner squid. za "squid" si dosadte usera, pod kterym vam bezi squid ;)

[moky]

toto mi to vypisalo:

iptables v1.2.7a: Unknown arg `--to-destination' Try `iptables -h' or 'iptables --help' for more information.

[wake]

omluva: misto SNAT je DNAT.

[moky]

dakujeeem..

a ja som sa bal spytat.. :)

[wake]

... a man iptables by vam taky neukous hlavu, ze jo...

[moky]

no to nieje iste..

[hates]

co bych tam jeste ale navic udelal tak defaultne zahazovat vsechno na forward (tj DROP) a nastavit tam stavovy firewall. je to bezpecnejsi reseni. navody najdes na webu treba firewall od petricka je dobre okomentovany a funguje spolehlive. na sve siti ho vyuzivam upraveny take a zatim jsem nenasel problem. jedine co me na nem stve tak logovani protoze na siti jsou stanice s win a kvuli jejich broadcastum mam plny log. ale to se da taktez osetrit.