Dotaz: veřejná i provátní IP na jednom NIC

[temporary]

Ahoj,
mám router se dvěma síťovkama eth0 a eth1
na eth0 mám dvě veřejné IP 1.2.3.4/24 a 9.8.7.6/29
na eth1 mám také dvě IP privátní 192.168.0.1/24 a veřejnou 9.8.7.7/29
Pokud k eth1 připojím stroj s privátní adresou pingám všechny IP na routeru,
pokud připojím na eth1 stroj s veřejnou adresou 9.8.7.8/29 nepingám nic.

Napadlo mě, jestli nemá můj Debian Etch zapnutou nějakou ochranu, kterou nemohu objevit

iptables jsou čisté

for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
        echo 1 > $f
done

echo 1 > /proc/sys/net/ipv4/ip_forward

# lsmod
iptable_nat             6980  1
ip_nat                 16748  1 iptable_nat
ip_conntrack           48320  2 iptable_nat,ip_nat
nfnetlink               6552  2 ip_nat,ip_conntrack
iptable_filter          3072  0
ip_tables              12932  2 iptable_nat,iptable_filter
x_tables               13252  2 iptable_nat,ip_tables
ipv6                  222304  14

Odpovědi

[Michal Kubeček]

RP filter vypněte v každém případě, stejně k ničemu není a jakmile začnete zkoušet něco trochu netriviálního, bude dělat problémy. Jinak je problém asi v tom, že definujete stejný rozsah 9.8.7.0/29 na dvou různých rozhraních, čímž nejspíš vytvoříte dvě konfliktní položky ve směrovací tabulce. Pokud opravdu chcete takovou konfiguraci nastavit, měl byste dobře vědět, co děláte a proč to děláte. V takovém případě také budete muset explicitně nastavit směrování paketů do příslušného rozsahu a nespoléhat, že to za vás udělá automaticky systém.

[temporary]

cílem mého snažení je rozdělení sítě, skutečnost je ještě krapet komplikovanější než v původním dotazu.
Mám 3 NIC na vější eth0 mám od ISP jednu IP 1.2.3.4 a jeden rozsah 9.8.7.6/29
Na vnitřní eth2 mím síť 192.168.10.0/24, kterou NATuju na veřejnou 1.2.3.4
Na druhém vnitřním eth1 je síť 192.168.0.0/24, kterou NATuju na veřejou 9.8.7.6
zároveň potřebuju dostat za eth1 i zbytek veřejných adres z rozsahu 9.8.7.5/29

[Michal Kubeček]

Jasně. Takže to bude jeden tradiční odkaz na FAQ…

Ve vašem případě ale nevidím důvod něco dělit. Prostě na jeden interface (vnější) dejte tu adresu od ISP, na druhý (DMZ) ten veřejný rozsah a na třetí a čtvrtý ty dva privátní rozsahy. Případně podle vkusu můžete ty privátní dát oba na jeden interface nebo jeden z nich přidat k DMZ.

[temporary]

díky, je to tak. těch adres tam bylo moc, a pakety nevěděli kudy mají na/z routeru jít.

[Michal Kubeček]

Moc adres nevadí, zkoušel jsem i víc než 512 a fungovalo to. Problém byl opravdu jen v nejednoznačnosti směrování.