Dotaz: chyba routeru

[mrneo]

zdraviim udelal jsem si router... nechal jsem markovat packety na ip adresach kterym chci omezovat net... nevedel by jste pls v cem mam chybu ? nektere ip totoz jedou na plne rychlosti zde je muj rc.local #nastaveni ip_forward = 1 echo 1 > /proc/sys/net/ipv4/ip_forward ##nastaveni interface
ifconfig eth0 192.168.0.1 netmask 255.255.255.0
ifconfig eth1 10.92.9.16 netmask 255.255.255.0 broadcast 10.92.9.255
route add default gw 10.92.9.1 dev eth1

##nastaveni packetu na markovani pri output interface eth1
iptables -t mangle -A OUTPUT -j DROP
iptables -t mangle -F OUTPUT

#nastaveni packetu na markovani pri forward interface eth1
iptables -t mangle -F FORWARD
iptables -t mangle -A FORWARD -d 192.168.0.1 -i eth1 -j MARK --set-mark 1
iptables -t mangle -A FORWARD -d 192.168.0.2 -i eth1 -j MARK --set-mark 1
iptables -t mangle -A FORWARD -d 192.168.0.5 -i eth1 -j MARK --set-mark 2
iptables -t mangle -A FORWARD -d 192.168.0.4 -i eth1 -j MARK --set-mark 2
iptables -t mangle -A FORWARD -d 192.168.0.22 -i eth1 -j MARK --set-mark 2
iptables -t mangle -A FORWARD -d 192.168.0.15 -i eth1 -j MARK --set-mark 3
iptables -t mangle -A FORWARD -d 192.168.0.16 -i eth1 -j MARK --set-mark 4
iptables -t mangle -A FORWARD -d 192.168.0.69 -i eth1 -j MARK --set-mark 6
iptables -t mangle -A FORWARD -d 192.168.0.133 -i eth1 -j MARK --set-mark 5
iptables -t mangle -A FORWARD -d 192.168.0.248 -i eth1 -j MARK --set-mark 6

##nastaveni iptables na all ACCEPT a masquerade
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j ACCEPT
iptables -A OUTPUT -j ACCEPT
iptables -A FORWARD -j ACCEPT
iptables -A POSTROUTING -t nat -o eth1 -j MASQUERADE
iptables -A PREROUTING -t nat -j ACCEPT
iptables -A OUTPUT -t nat -o eth1 -j ACCEPT

##zalozeni tc tabulek
tc qdisc del dev eth0 root
tc qdisc add dev eth0 root handle 1:0 htb

##nastaveni class pro 1:1, 1:11-15
tc class add dev eth0 parent 1:0 classid 1:1 htb rate 4000kbit
tc class add dev eth0 parent 1:1 classid 1:11 htb rate 1500kbit ceil 1500kbit
tc class add dev eth0 parent 1:1 classid 1:12 htb rate 512kbit ceil 512kbit
tc class add dev eth0 parent 1:1 classid 1:13 htb rate 512kbit ceil 512kbit
tc class add dev eth0 parent 1:1 classid 1:14 htb rate 512kbit ceil 512kbit
tc class add dev eth0 parent 1:1 classid 1:15 htb rate 512kbit ceil 512kbit
tc class add dev eth0 parent 1:1 classid 1:16 htb rate 512kbit ceil 512kbit

##nastaveni qdisc pro parenty 1:11-16
tc qdisc add dev eth0 parent 1:11 handle 11:0 sfq perturb 10
tc qdisc add dev eth0 parent 1:12 handle 12:0 sfq perturb 10
tc qdisc add dev eth0 parent 1:13 handle 13:0 sfq perturb 10
tc qdisc add dev eth0 parent 1:14 handle 14:0 sfq perturb 10
tc qdisc add dev eth0 parent 1:15 handle 15:0 sfq perturb 10
tc qdisc add dev eth0 parent 1:16 handle 16:0 sfq perturb 10

##nastaveni filteru pro flowid 1:11-16
tc filter add dev eth0 parent 1:0 protocol ip handle 1 fw flowid 1:11
tc filter add dev eth0 parent 1:0 protocol ip handle 2 fw flowid 1:12
tc filter add dev eth0 parent 1:0 protocol ip handle 3 fw flowid 1:13
tc filter add dev eth0 parent 1:0 protocol ip handle 4 fw flowid 1:14
tc filter add dev eth0 parent 1:0 protocol ip handle 5 fw flowid 1:15
tc filter add dev eth0 parent 1:0 protocol ip handle 6 fw flowid 1:16

Odpovědi

[Pinky]

http://lartc.org/howto/
tady se píše že nelze použít masquerade a mark najednou
odkaz na opravu sice nefunguje, ale jenutné vypnout ???
echo 0 > /proc/sys/net/ipv4/conf/all/rp_filter
z čehož vzniká bezpečnostní problém. Nic jiného mne nenapadá kromě toho že
##nastaveni packetu na markovani pri output interface eth1 iptables -t mangle -A OUTPUT -j DROP iptables -t mangle -F OUTPUT ---- tenhle řádek zruší účinek toho předchozího.
a podobných věcí tam máš výc.
PS: syntax nemám zažitou takže jsem ji zkouknul jen jedním okem :)

[Michal Kubeček]

Vypnutí rp_filter není žádný bezpečnostní problém, naopak jeho zapnutí znamená hromadu problémů s jakoukoli netriviální konfigurací sítě…