Dotaz: Routovani ve stejne siti

[Daniel Tihelka]

Ahojte,

potrebuju nastavit pocitac, aby fungoval jako firewall. Problem je ale topologie site, kterou nemuzu zmenit, adresy mam taky pridelene.

Situace vypada nasledovne:

        eth0  .1.76     .1.77 eth1
---------------> firewall  ------------> pocitac .1.78
sit:                            |------> pocitac .1.79
192.168.1.0/                    |------> pocitac .1.80
255.255.255.0                   |------> ...     .1.81 

V prvni rade mi jde o nastaveni routovani. Pokud tomu dobre rozumim, melo by stacit na pocitaci "firewall" zadat neco takoveho:

route add -host 192.168.1.78 dev eth1
route add -host 192.168.1.79 dev eth1
...
route add default gw 192.168.1.1

a hotovo. Problem ale je, ze kazde nahozeni site (zkousel jsem primo ifconfig-em) prida do route sit, takze vypis route pak vypada takhle:

Destination   Gateway      Genmask        Flags Metric Ref        Iface
192.168.1.78  0.0.0.0      255.255.255.0  UH    0      0        0 eth1
192.168.1.79  0.0.0.0      255.255.255.0  UH    0      0        0 eth1
192.168.1.0   0.0.0.0      255.255.255.0  U     0      0        0 eth1
192.168.1.0   0.0.0.0      255.255.255.0  U     0      0        0 eth0
127.0.0.0     127.0.0.1    255.0.0.0      UG    0      0        0 lo
0.0.0.0       192.168.1.1  0.0.0.0        UG    0      0        0 eth0

a to nefunguje - z libovolneho pocitace nepingnu branu ani nic jineho. Problem asi jsou 2 zaznamy 192.168.1.0, ukazujici na ruzne rozhrani.

Nemate s takovym pripadem nahodou nekdo skusenosti? Muze to vubec fungovat? Nebo se musi neco specialniho nastavit v jadre - /proc/sys/net/ipv4/conf/eth0/forwarding je jasne, ale co /proc/sys/net/ipv4/conf/eth0/proxy_arp? Nebo na to jit uplne jinak?

Diky moc za podnety, Dan

Odpovědi

[thingie]

Tohle je pěkně blbé. Hlavně proto, že nechceme router, potřebujeme se poprat s nějakým bridgem nebo něčím takovým. http://linux-net.osdl.org/index.php/Bridge námět, nic víc o tom nevím.

[thingie]

A ty adresy by nešlo rozdělit na víc sítí?

[Zdenek]

Potrebujete pouze arp proxy, zadne routovani.

[houska]

To by bylo mozna jednodussi nez ten bridge jak jsem psal ...

[houska]

jestli to nechces precislovat ... coz by si zaslouzilo (ktery prase to navrhovalo?)
tak asi bridge - jsou tam navody, vysvetleni a odkazy na dalsi info

[Filip Jirsák]

Nedávejte tomu eth1 masku 255.255.255.0 ale asi 255.255.255.255 – tím pádem se nevytvoří routa pro celou síť 192.168.1/24 na eth1, ale jen pro 192.168.1.77.

Mimochodem, ifconfig a route jsou už několik (skoro desítek let zastaralé, nahradil je balík iproute2 (příkaz ip). Nejsem si jist, ale možná s ním půjde přiřadit interfacu IP adresa aniž by se pro něj nastavovala jiná routa než host…

[Josef Kufner]

V první řadě si spočítej, jakou máš mít masku sítě (nebo se zeptej). Hádám, že to bude 255.255.255.251 nebo něco podobného. Pak tuhle masku sítě nastav na svojí síti všem síťovkám včetně routeru (eth1) a vyházej veškeré ruční úpravy routovací tabulky. Shoď, nahoď síť a mělo by to jít. Taky na routeru nenastavuj default gateway na eth1, ta má být jen na eth0.

[Dejv]

Maska .251 je na prvni pohled nesmysl (z podstaty veci to cislo musi byt v prve rade sude). Takze bud .252 (pak mate 2 IP pro pocitace) nebo .248 (6 IP).

To jen tak na okraj

Dejv

[vencour]

Tak, tak, rozhoduje počet jedniček v masce = musí to být číslo převeditelné na binární tvar; jednu ajpinu dostane síť, jednu broadcast a minimálně dvě by měly zbejt na dva body.

[Michal Kubeček]

Už aby většina mainstreamových aplikací přešla na přehlednější zápis pomocí délky prefixu…

[Dejv]

musí to být číslo převeditelné na binární tvar

Nic proti, ale ja mam za to, ze na binarni tvar jde prevest jakekoliv cislo

Dejv

[Michal Kubeček]

Podívejte se do zdejších FAQ (sekce proxy ARP). Postup není problém použít i pro více počítačů v DMZ.