Dotaz: IP Aliasing - NAT 1:1

[-= Spec =-]

Zdravim,

mam problem. Namapoval jsem verejnou IP pomoci IPTALES na pc uvnitr site LAN. Z internetu vse funguje dobre. Problem je kdyz se chci z nejakejho PC uvnitr LAN dostat na tu promapovanou verejnou IP. Pak me to hazi vzdycky na router, na kterem je nastevene to mapovani, ale uz ne na server uvnitr site.

Existuje zpusob jak nejak jednoduse promapovat verejnou IP na PC uvnitr LAN tak, aby ta IP fungovala jak z venku z internetu, tak i z dalsich PC uvnitr v te siti?

Za rady predem dik

Odpovědi

[Michal Kubeček]

Existuje zpusob jak nejak jednoduse promapovat verejnou IP na PC uvnitr LAN tak, aby ta IP fungovala jak z venku z internetu, tak i z dalsich PC uvnitr v te siti?

Ano. Začněte tím, že kliknete nahoře na tlačítko FAQ…

U vašeho řešení je problém pravděpodobně v tom, že požadavek od klienta ve vnitřní síti je sice přeložen a přemapován na server v téže síti, ale odpověď už nejde přes router, který dělal překlad adres, takže přijde s jinou zdrojovou adresou, než klient očekával. Pomineme-li (zdaleka nejvhodnější) řešení, spočívající v přesunutí serveru do demilitarizované zóny (tj. mimo segment vnitřní sítě, kde jsou klienti), používají se dva nepříliš hezké workaroundy. První spočívá v tom, že kromě cílové adresy přeNATujete i zdrojovou, aby odpověď šla zpátky přes router a byla správně přeložena. Druhý spočívá v tom, že klientům z vnitřní sítě dostávají na dotaz na příslušné doménové jméno jako odpověď rovnou skutečnou IP adresu serveru (keywords: BIND, views).

[-= Spec =-]

Díky za odpověď. Ten článek nahoře ve FAQ jsem si stáhnul a vytiskl už před tím než jsem se do mapování veřejné IP pustil. Takže o něm vím.:) Vím také, že se pakety z vnitřní sítě na routeru přemapují správně a dostanou se na server (který má tu veřejnou IP), ale že se již pakety nedostanou zpět se správnou adresou. Co ale právě nevím je to jaké je to správně pravidlo v IPTABLES na to přeNATování i té zdrojové adresy. Zkoušel jsem nějaká pravidla, která fungují, ale zase mi zablokovaly routování do ostatních LAN rozsahů.:(

Nevěděl by někdo příklad takového pravidla, které by fungovalo správně?

Díky

[Michal Kubeček]

To záleží na konkrétní konfiguraci. Spíš bych vás ale chtěl odradit od toho, aby server přístupný z Internetu byl umístěn v lokální síti. Tím by většina podobných problémů odpadla a bylo by to i bezpečnější.

[Michal Kubeček]

Dodatek: titulek dotazu je zavádějící. Termín IP aliasing nemá s obsahem dotazu nic společného - označoval se tak mechanismus používaný v jádrech řady 2.0 pro realizaci více IP adres na jednom síťovém rozhraní.

[-= Spec =-]

Tak už jsem to vyřešil.:) Ale i tak díky za rady. Pro ukázku:

Z Inetu:

$IPTABLES -t nat -A PREROUTING -i eth1 -d MapovanaIP -j DNAT --to-destination LANIPserveru

$IPTABLES -t nat -A POSTROUTING -o eth1 -s LANIPserveru -m state --state NEW -j SNAT --to MapovanaIP

$IPTABLES -t nat -A POSTROUTING -o eth1 -j SNAT --to IPRouteru

Z LAN:

$IPTABLES -t nat -A PREROUTING -i eth0 -d MapovanaIP DNAT --to-destination LANIPserveru

$IPTABLES -t nat -A POSTROUTING -o eth0 -d ! 10.0.0.0/8 -j SNAT --to IPRouteru

To záleží na konkrétní konfiguraci. Spíš bych vás ale chtěl odradit od toho, aby server přístupný z Internetu byl umístěn v lokální síti. Tím by většina podobných problémů odpadla a bylo by to i bezpečnější.

To je asi pravda...zatim to jinak nejde..mozna casem to predelam.:)