Dotaz: propojeni dvou subnetu, jak routovat mezi nema ??

[svaca]

Ahoj,

mam takovej blbej, az trivilani dotaz ...

Mam sit 192.168.4.0/24 vazanou na eth0 (192.168.4.1) na eth0 jjsem udelal alias:

ifconfig eth2:0 192.168.5.1 netmask 255.255.255.0 up

a pakjsem pripojil do site pocitac 192.168.5.2 s vychozi branou 192.168.5.1

Vysledek je, ze ten PC se dostane do netu a na 192.168.5.1 ale NEDOSTANE se nikam do 192.168.4.0/24 coz je dobre tak jsem to chtel ...

Ale ted chci se dostat z 192.168.4.50 (treba) prave na ten 192.168.5.2, jak to muzu udelat ??? Na 192.168.5.1 se dostanu, takze dale mi pravdepodobne chyby nejaka routa ...

Odpovědi

[mozog]

ak to chapem spravne, tak tvoja siet vyzera asi takto nejak ?

192.168.4.0/24 --- eth0(router)eth2 --- 192.168.5.0/24

ak na vsetkych kompoch v sieti 192.168.4.0/24 nastavis ako default branu 192.168.4.1 a v sieti 192.168.5.0/24 192.168.5.1 tak by to malo chodit, samozrejme musis mat zapnuty ip forwarding

[svaca]

Ano je to tak, jen tam nejsou fyzicky dve adresy, ale ten alias a nechodi to ...

ip forwarding je zamozrejme zaply ...

[mozog]

to ako ten router ma fyzicky len jednu sietovku ?

[svaca]

eth0 + alias (192.168.4.1 a 192.168.5.1)
eth1 - WAN

[Michal Kubeček]

na eth0 jsem udelal alias:

ifconfig eth2:0 192.168.5.1 netmask 255.255.255.0 up

1. IP aliasing fungoval naposledy (pouze?) v jádrech řady 2.0 a takové, předpokládám, nepoužíváte.

2. ani kdybyste opravdu jádro řady 2.0 měl, zmíněný příkaz vám rozhodně neudělá alias na eth0. Informace, zda se jedná o stejný fyzický segment nebo ne, je ale poměrně důležitá.

3. Na úrovni směrování dost těžko můžete zajistit, aby se šlo z počítače A "dostat" na B, ale ne naopak. Uvědomte si, že kromě velmi speciálních případů je komunikace vždy obousměrná. Pokud chcete něco takového docílit, budete muset směrování nastavit normálně a ošetřit to (stavovým) paketovým filtrem.

4. V dotazu také chybí podstatná informace, jak vypadá směrovací tabulka toho 192.168.4.50.

5. Obecná rada: když máte problémy se síťovou komunikací, nestačí konstatovat, že "se tam nedostanete". Většinou je potřeba zjistit, co přesně se vám ztrácí (který směr) a kde.

[svaca]

Diky, ze jste se ozval. Takze abych to upresnil:

takto vypada ifconfig:

eth0      Link encap:Ethernet  HWaddr 00:0E:2E:5B:4B:B4
          inet addr:192.168.4.1  Bcast:192.168.4.255  Mask:255.255.255.0
          inet6 addr: fe80::20e:2eff:fe5b:4bb4/64 Scope:Link
          UP BROADCAST RUNNING PROMISC MULTICAST  MTU:1500  Metric:1
          RX packets:366585380 errors:8 dropped:1 overruns:1 frame:0
          TX packets:399009900 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:1722599362 (1.6 GiB)  TX bytes:3072561675 (2.8 GiB)
          Interrupt:5 Base address:0xc400

eth0:0    Link encap:Ethernet  HWaddr 00:0E:2E:5B:4B:B4
          inet addr:192.168.5.1  Bcast:192.168.5.255  Mask:255.255.255.0
          UP BROADCAST RUNNING PROMISC MULTICAST  MTU:1500  Metric:1
          Interrupt:5 Base address:0xc400

eth1 je verejna ip, ta nas ted nezajima. Pouzivam jadro 2.6.17.13 a ten alias, jak uz jsem rikal funguje. Protoze z venku (eth1 -> eth0 -> eth0:0 -> 192.168.5.2 to jede, jen se ten 5.2 nevidi na 4.0/24 siti, tak jsem to ale puvodne chtel. Jestli se do da (ten alias) udelat lepe. OK ...

dale: ip route:

XXX.XXX.XXX.XXX/29 dev eth1  proto kernel  scope link  src XXX.XXX.XXX.XXX
192.168.5.0/24 dev eth0  proto kernel  scope link  src 192.168.5.1
192.168.4.0/24 dev eth0  proto kernel  scope link  src 192.168.4.1
127.0.0.0/8 dev lo  scope link
default via XXX.XXX.XXX.XXX dev eth1

ad 3) ano, je mi znamo, ale nevim jak to resit. Vim, ze je to oboustranna zalezitost, ale jak rikam, nevim jak na to.

Jeste potrebujete nejake vypisy ?

[Jiří J.]

Pokud jde pouze o ten 192.168.4.50 na 192.168.5.2, zkusil bych to řešit přes iptables..

iptables -A PREROUTING -i eth0 -s 192.168.4.50 -d 192.168.5.2 -j DNAT --to-destination 192.168.5.2

Pokud vám jde o routing celého subnetu 192.168.4.0/24 na 192.168.5.0/24, pak by to možná šlo řešit

iptables -A PREROUTING -i eth0 -s 192.168.4.0/24 -d 192.168.5.0/24 -j DNAT --to-destination 192.168.5.1-192.168.5.254

což je nepraktické, protože se to ve druhém subnetu chová jako HUB (tj. pošle to všem), takže tudy asi ideální cesta nevede (pokud je v 192.168.5.0/24 jen ten 192.168.5.2, tak by to šlo docela dobře řešit kombinací obou řešení) ...

Jinak co se týče bodu 3, asi jsem nepochopil... chcete, aby mohly packety proudit jen z jednoho do druhého subnetu, ale opačně ne? Případně obousměrně, ale aby vždy jen jedna strana mohla začínat spojení? Něco o stavovém firewallu zná i Google..

[svaca]

Ok vyzkousim,. Diky. Ad bod 3, ne kdepak, nechci aby to bylo jednosmerne. Proste drive jsem to udelal, tak jak jsem popisoval prozoze jsem NECHTEL, aby se ty site mezi sebou videly ted, chci aby se normalne videly... NEbo mi respektive staci jak pisete, aby jeden pocitac z 4.0 videl na jeden pocitac 5.0 tj. ten 5.2

[svaca]

Takze to prvni nefunguje:

kdyz zadam:

iptables -A PREROUTING -i eth0 -s 192.168.4.50 -d 192.168.5.2 -j DNAT --to-destination 192.168.5.2

dostanu:

iptables: No chain/target/match by that name

A na ten alias se to taky neda pouzit, na ten to asi nejde vseobecne:

Warning: wierd character in interface `eth0:0' (No aliases, :, ! or *).
iptables: No chain/target/match by that name

[Michal Kubeček]

iptables: No chain/target/match by that name

Protože tam chybí '-t nat'. Ale tu odpověď raději ignorujte.

A na ten alias se to taky neda pouzit, na ten to asi nejde vseobecne:

Warning: wierd character in interface `eth0:0' (No aliases, :, ! or *).
iptables: No chain/target/match by that name

To je právě to, co se vám snažím vysvětlit: žádné aliasy už osm a půl roku neexistují, ať se vám příkaz ifconfig snaží tvrdit cokoli…

[svaca]

A jo, -t nat, ja to jen tupe opsal ... ted LAMim ..

[Jiří J.]

Chybička se vloudila

[svaca]

v pohode. diky.

[Michal Kubeček]

Uff, to už je dneska myšlení lidí tak strašně zdeformované všudypřítomnými maškarádami, že si nedokážou představit komunikaci mezi dvěma segmenty přes jeden router bez překládání adres? A jaký má vlastně podle vás smysl překládat paketům s cílovou adresou 192.168.5.2 cílovou adresu na 192.168.5.2???

[Michal Kubeček]

Pouzivam jadro 2.6.17.13 a ten alias, jak uz jsem rikal funguje.

Nefunguje, IP aliasing se opravdu od řady 2.2 nepoužívá, rozhraní má prostě přiřazeno určitý počet adres (nula a více). Já vím, zní to jako bazírování na slovíčkách, ale problém je, že ifconfig vám vnucuje představu, že tam existuje nějaké virtuální rozhraní eth0:0 - a to není pravda.

Jeste potrebujete nejake vypisy?

Napadají mne dva možné důvody, proč ta komunikace mezi rozsahy nefunguje. Buď máte zakázaný IP forwarding (co ukáže 'cat /proc/sys/net/ipv4/ip_forward'?) nebo je špatně nastaveno směrování na tom 192.168.4.50 (jak vypadá jeho směrovací tabulka?). Případně ještě příliš restriktivní pravidla netfilteru. Opravdu by pomohlo, kdybyste zjistil (tcpdump, wireshark), které pakety se ztrácejí a kde.

[svaca]

Nefunguje, IP aliasing se opravdu od řady 2.2 nepoužívá, rozhraní má prostě přiřazeno určitý počet adres (nula a více). Já vím, zní to jako bazírování na slovíčkách, ale problém je, že ifconfig vám vnucuje představu, že tam existuje nějaké virtuální rozhraní eth0:0 - a to není pravda.

Dobry. Ale jak si mam vysvetlit, ze to PC (192.168.5.2) co ma nastaveno:

IP 192.168.5.2
maska: 255.255.255.0
brana: 192.168.5.1

se dostane do internetu a funguje na mem i presmerovani na RDP ???? Samozrejme kdyz shodim alias tak to PC je odrizle, tzn. Alias MUSI fungovat ....

IP forward je SAMOZREJME zaply, je to router s natem a nejsem LAMA.

root@router:~# cat /proc/sys/net/ipv4/ip_forward
1

Na tomto routeru dale bezi firewall - striktni, 2x openvpn v balanced modu a 2x ISP s multiroutingem, moje vlastni prace. Napada me jina vec, v Iptables ridim samozrejme WAN + WAN2 a tu LAN, jenze ta LAN je vedena jako eth0 a kdyz mam na eth0 nejaka pravidla, vztahuje se to nejak na ten alias eth0:0 ?? Asi je ten alias blbost, asi by byla lepsi dalsi sitovka, problem je, ze ten router ma uptime 124 dnu a musi bezet 24 hodin a nemuzu ho vypnout ani na 5 vterin ....

[Michal Kubeček]

Ale jak si mam vysvetlit, ze … Samozrejme kdyz shodim alias tak to PC je odrizle, tzn. Alias MUSI fungovat .... vztahuje se to nejak na ten alias eth0:0 ??

A jsme u kamene úrazu: na jádrech 2.0 se skutečně vytvořil virtuální interface eth0:0 a tomu se nastavila ta druhá adresa. Od řady 2.2 žádný virtuální interface eth0:0 neexistuje, to je jen fikce, kterou se vám snaží vsugerovat obsolentní příkaz ifconfig. Máte jen interface eth0 a na něm dvě adresy. Takže pakety, o které vám jde, mají vstupní i výstupní interface eth0 (ale pořád se jedná o chain FORWARD). Pravidlo, které je povolí, bude tedy vypadat nějak takto:

  iptables -A FORWARD -i eth0 -o eth0 -s 192.168.4.0/24 -d 192.168.5.0/24 -j ACCEPT

Když k tomu přidáte povolení ESTABLISHED (a případně RELATED) paketů (které tam nejspíš máte), měl byste být schopen iniciovat komunikaci ze "čtyřkového" rozsahu do "pětkového", ale ne naopak.

[svaca]

tcpdump mi pri pingu na 192.168.5.2 z 192.168.4.50 vypise toto:

16:49:54.546698 IP svaca-desktop.local > 192.168.5.2: ICMP echo request, id 44859, seq 2, length 64
16:49:55.546901 IP svaca-desktop.local > 192.168.5.2: ICMP echo request, id 44859, seq 3, length 64

ping neprojde ...

[Michal Kubeček]

Takže echo přijde, ale už neodejde. Jelikož IP forwarding povolený je, tak za předpokladu, že z routeru samotného ping na 192.168.5.2 funguje hladce, se mi jeví jako nejpravděpodobnější, že ty pakety žere netfilter.

[svaca]

Takze jako obvykle, jste sitovej borec, pane Kubecek ...

Takze jsem zkusil:

 iptables -A FORWARD -i eth0 -o eth0 -s 192.168.4.0/24 -d 192.168.5.0/24 -j ACCEPT

a to nefungovalo ani jednim smerem, nelenil jsem a pridal jsem:

 iptables -A FORWARD -i eth0 -o eth0 -s 192.168.5.0/24 -d 192.168.4.0/24 -j ACCEPT

A pohoda, funguje to obema smery ... Takze vyreseno. Jinak chapu vasi averzi k: ifconfig, a pod. starym prikazum, ale jak jste videl vypisuje to i ip addr show. Jedu na Slackware. nicmene, to funguje a ten alias proste zije ...

Jeste jednou diky ...

[svaca]

Ten alias funguje ...

root@router:~# ip addr show eth0
2: eth0: BROADCAST,MULTICAST,PROMISC,UP,10000> mtu 1500 qdisc pfifo_fast qlen 1000
    link/ether 00:0e:2e:5b:4b:b4 brd ff:ff:ff:ff:ff:ff
    inet 192.168.4.1/24 brd 192.168.4.255 scope global eth2
    inet 192.168.5.1/24 brd 192.168.5.255 scope global eth2:0
    inet6 fe80::20e:2eff:fe5b:4bb4/64 scope link
       valid_lft forever preferred_lft forever

[svaca]

Pardon jedna se o eth2 (ve skutecnosti) je to prezentuju ale jako eth0, takze jsem zapomel prepsat ty eth2 a eth2:0 za tim global ... Kdyz jsem zadaval post, tak jsem myslel ze LAN je eth0, ale ona je eth2, takze "spravne je to takto - s opravou:

root@router:~# ip addr show eth0
2: eth0: BROADCAST,MULTICAST,PROMISC,UP,10000> mtu 1500 qdisc pfifo_fast qlen 1000
    link/ether 00:0e:2e:5b:4b:b4 brd ff:ff:ff:ff:ff:ff
    inet 192.168.4.1/24 brd 192.168.4.255 scope global eth0
    inet 192.168.5.1/24 brd 192.168.5.255 scope global eth0:0
    inet6 fe80::20e:2eff:fe5b:4bb4/64 scope link
       valid_lft forever preferred_lft forever

Nechame tu LAN na eth0 at v tom eni maglais ...

[anonymous]

Ako citam, tak fakt nechapem preco vzdy niekto robi nieco nestandardnym sposobom, co tak dve sietovky, hm?

[svaca]

OK. Co by vyresili dve sitovky ??? To by fungovalo samo ? Bez nejakeho specialniho nastaveni ?

[Michal Kubeček]

Ono to ve výsledku zase tak moc nevadí, jen si nejsem jistý, jestli vám to nebude zbytečně generovat ICMP redirecty (musel bych to vyzkoušet a teď na to nemám čas). Asi by bylo trochu čistší použít VLANy.

[magnum]

presne tak som teraz docital celu diskusie a pry nemoze vypnut seerver takze to vidim uplne na vconfig a rozdelenie siete na vlan-y a je to uplne standardne a ciste riesenie... ip addr add je hracka ktora urcite casom omrzi... vnasa to straasny chaos do siete

[Opičák]

předně začni používat utilitu ip z balíku iproute2

[svaca]

veskere nastaveni delampres ip, ale nekdy zklouznu i do starych casu .... Vsichni radite ip balik, ale neni to trochu jedno ?? Kdyz funguje oboji uplne normalne ??

[magnum]

no pravdu povediac obcas tiez pouzijem ifconfig ale par krat ma uz pekne osral takze som 4 hodiny hladal chybu a islo doslova o zivot... takze potom si druhykrat rozmyslis co pouzijes a navyse pouzivat ip je doslova navykove ... napriklad ip a alebo ip r... len treba skusat ;)

[Luboš Doležel (Doli)]

Ne, není to jedno. ifconfig je zastaralý a funguje tak maximálně v rámci jakési kompatibility. Nepoužívejte jej.

[Opičák]

ne není to jedno, pak se nediv, že to dělá něco, ty nevíš co, a nechová se to tak jak by mělo!!!!

[svaca]

To bylo na koho ??? V klidu....

[svaca]

Prosim upravte nekdo ten muj nadpis ... misto "nema" na "nima" nebo co ja vim ... DIKY.