Dotaz: VPN a routovani

[hates]

Jsem asi padlej na hlavu ale uz nevim co dal. Mam takhle zapojeny VPN tunel a sit

+-----------+                                                                              +-----------+
|  VPN sit  |              +---------+                            +---------+              |    LAN    |
|10.0.1.0/24|------10.0.1.1| router1 |192.168.1.2------192.168.1.1| router2 |10.11.12.1----|10.0.1.0/24|
+-----------+              +---------+                            +---------+              -------------

a ted k problemu. Potrebuji se z VPN dostat do site za routerem 2. Routovaci tabulky vzpadaji nasledovne:

Router1
Směrovací tabulka v jádru pro IP
Adresát         Brána           Maska           Přízn Metrik Odkaz  Užt Rozhraní
10.11.12.0      192.168.1.1     255.255.255.0   UG    0      0        0 eth0
10.0.1.0        0.0.0.0         255.255.255.0   U     0      0        0 tap0
192.168.0.0     0.0.0.0         255.255.252.0   U     0      0        0 eth0
127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0 lo
0.0.0.0         192.168.1.3     0.0.0.0         UG    0      0        0 eth0

Router 2
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.11.12.0      0.0.0.0         255.255.255.0   U     0      0        0 eth1
192.168.4.0     0.0.0.0         255.255.255.0   U     0      0        0 eth1
10.0.1.0        192.168.1.2     255.255.255.0   UG    0      0        0 eth0
192.168.0.0     0.0.0.0         255.255.252.0   U     0      0        0 eth0
0.0.0.0         192.168.1.3     0.0.0.0         UG    0      0        0 eth0

Pokud z VPN se snazim pingnout cokoliv v siti 10.11.12.0/24 tak to skonci zatim co ping na 10.11.12.1 jde bez problemu. Traceroute z vpn vypisuje tohle:

traceroute to 10.11.12.102 (10.11.12.102), 30 hops max, 40 byte packets
 1  10.0.1.1 (10.0.1.1)  23.205 ms  21.102 ms  21.524 ms
 2  192.168.1.1 (192.168.1.1)  52.109 ms  25.737 ms  22.564 ms
 3  * * *
 4  *

Vyvratte mi ze jsem natvrdlej a ze to musi jit. Osobne si myslim ze je nekde chyba v metrice.

Odpovědi

[eh]

Ta IP 10.11.12.1 je brana pro stroje za routerem2, takze kdyz pingate tuto IP tak pingate router2. Za timto routerem musi mit neco nastaveno IP z toho prefixu 10.11.12/24 (a nezapomenout na firewall). Pak to pingnete. Ty vase routovaci tabulky jsem ale vubec necetl, takze jen tak palim od boku (a z vypisu route me bolej oci, pouzivejte radeji ip route show...)

[eh]

PS: netoci se vam to mezi tema dvema hopy asi kvuli firewalu..

[eh]

PS2: Pro presnou analyzu pouzijte tcpdump. Uvidite presne, co a jak...

[hates]

firewallem to nebude pac tam zadny neni. to ze jsem vypsal traceroute 10.11.12.102 je asi jasne ze stroj za tim routerem je s adresou 10.11.12.102. jinak teda vypisy s ip

router 1
athlon hates # ip route show
10.11.12.0/24 via 192.168.1.1 dev eth0
10.0.1.0/24 dev tap0  proto kernel  scope link  src 10.0.1.1
192.168.0.0/22 dev eth0  proto kernel  scope link  src 192.168.1.2
127.0.0.0/8 dev lo  scope link
default via 192.168.1.3 dev eth0
athlon hates #

router2
server1:~# ip route show
10.11.12.0/24 dev eth1  proto kernel  scope link  src 10.11.12.1
192.168.4.0/24 dev eth1  proto kernel  scope link  src 192.168.4.1
10.0.1.0/24 via 192.168.1.2 dev eth0
192.168.0.0/22 dev eth0  proto kernel  scope link  src 192.168.1.1
default via 192.168.1.3 dev eth0
server1:~#

[eh]

viz

[eh]

Jinak... co presne ma byt ucelem? To vase nastaveni mi zatim nedava moc smysl.

[hates]

proste je nekolik siti za sebou ale vse doreseno. stacilo nastavit v /proc/sys/net/ipv4/conf/all na 0 a vse se rozbehlo. Proste jen vzpnout rp_filter.