Dotaz: negace masquerade

[bob77]

Zdravim Potřeboval by jsem poradit s drobnosti mám na vnitřní síťové kartě několik neveřejných virtualnich siti u kterych se provádi maškarada plus jednu síť s veřejnýma IP. Jak zapsat aby se mi prováděla maškaráda u všech sítí s vyjímkou těch veřejných. v současnosti to píšu takto:

-A POSTROUTING -s 192.168.1.1/24 -o eth1 -j MASQUERADE -A POSTROUTING -s 192.168.2.1/24 -o eth1 -j MASQUERADE ..atd celkem 20 sítí.

chtěl bych to nějak takhle: -A POSTROUTING -s eth0 -o eth1 -j MASQUERADE !-A POSTROUTING -s veřejná ip -o eth1 -j MASQUERADE no a právě s tou negací si nejsem jistej jak se píše poradí někdo.

Odpovědi

[Michal Kubeček]

Jestli ty veřejné sítě nejsou adresovány nějak nahodile, tak by mělo stačit najít nějaký rozumně malý rozsah, který je obsahuje všechny. Třeba

  iptables -A POSTROUTING -s 192.168.0.0/20 -o $EXTIF -j MASQUERADE

K tomu řešení bych se přikláněl, příliš univerzální pravidlo je časovaná bomba, protože na něj snadno zapomenete a později budete překládat věci, u kterých o to vůbec nestojíte. Pokud byste na tom mermomocí trval, pak pro jednu adresu

  iptables -A POSTROUTING -s ! $DMZIP -o $EXTIF -j MASQUERADE

pro více

  iptables -A POSTROUTING -s $DMZIP1 -j RETURN
  ...
  iptables -A POSTROUTING -s $DMZIP9 -j RETURN
  iptables -A POSTROUTING -o $EXTIF -j MASQUERADE

[bob77]

Děkuji jdu to zkusit.

[Zdeněk Štěpánek]

Zdravim

Zapomel jsi na "-t nat", ja bych to udelal takhle, jen mala modifikace vyse uvedeneho.

iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -o eth0 -j MASQUERADE

Pravidlo plati jen pro pakety se zdrojovou IP v rozsahu 192.168.0.0/16, zbytek proklouzne bez povsimnuti.

Zdenek