Dotaz: Zakaz routovani z eth0 do eth1

[Ondra]

Dobry den,

predem se omlouvam za ponekud stupidni dotaz, avsak po prohledavani konferenci jsem nic podobneho nenasel, resp. nasel, ale reseni opacneho problemu. O co jde:

Stroj A ma dve sitova rozhrani eth1 IP 222.222.222.201 a eth0 IP 192.168.1.94. Tento stroj NESMI routovat mezi obema sitemi, NEMA povolen ip_forwarding, politika forward filtru ipchains JE nastavena na DENY. Pokud na stroji B IP 192.168.1.85 GW 192.168.1.94 provedu ping na vnejsi sit. kartu (222.222.222.201) stroje A, pakety projdou skrz a nejsou ztraceny. Je to normalni? Kdesi jsem se docetl, ze pokud neni povoleno routovani mezi sitemi, nemelo by jit ani pingnout. Jsem zmaten. Za pripadne vysvetleni ci pomoc predem dekuji.

S pozdravem Ondra

Odpovědi

[Petr Šobáň]

Skuste na tom stroji provést
echo "0" > /proc/sys/net/ipv4/ip_forward
potom taky záleží jak máte nastavená pravidla iptables nebo jaké používáte.

[Ondra]

V /proc/sys/net/ipv4/ip_forward je opravdu "0", volba pro inicializaci pri startu je ip_forwarding="no", toto je v poradku. Filtrovaci pravidla jsou jednoducha (pouzivam ipchains - jadro 2.2.14): # ipchains -L chain input (policy ACCEPT): chain forward (policy DENY): chain output (policy ACCEPT): Je mi divne, ze si tolik lidi stezuje, ze jim nejde pingnout na vnejsi sitovou kartu, kdyz chteji, aby pocitac routoval. Nebylo by lepsi nastavit masinu jako router? Kdyz budu chtit, aby routovala, tak to zarucene nepujde a ani si nepingnu

[bluma]

pakety skrz nic neprochazeji - dorazi na A a tam taky spravne zustanou. o zadne routovani v tomto pripade nejde. pomoci iptables by se dalo dosahnout i toho aby se zahodily, ale ne ve forward retezci, protoze tam vubec nedorazi.

[Ondra]

>pakety skrz nic neprochazeji - dorazi na A a tam taky spravne zustanou Tak jsem si to predstavoval. Problem je v tom, ze dorazi na A, ale az na vnejsi stranu (222.222.222.201), kam by se, podle meho mineni, vubec nemely dostat a mely by byt zahozeny, tj. vysledek pingnuti by mel byt "x packets transmitted, 0 packets returned, 100% packet loss", coz ovsem neni.

[Petr Šobáň]

Ne je to správně pokud z nějakého stroje provedu ping na 192.168.1.94 nebo 222.222.222.201 musím vždy dostat odpověď protože stroj A má dvě adresy, co nesmí projít pokud ze sítě třeba z 192.168.1.90 budu pingat na 222.222.222.222 tak toto projít nesmí a podle mě také neprojde.

[Ondra]

>toto projít nesmí a podle mě také neprojde Tak jest. Dal to nejde. Dekuji za pomoc, pokusim se s tim nejak srovnat, tj. vysvetlit hlavnimu adminovi, ze je vse v poradku.

[Petr Šobáň]

Prostě mu řekněte že pokud provádím ping na stroj A a je jedno na jakou jeho IP musím dostat odpověď, (stroj a je dostupný z obou sítí) na zvonku u bytu taky můžou být uvedené dvě osoby (majitel a podnájemník) a jak na něj někdo zazvoní tak pokud je někdo doma tak taky dostane pošták odpověď.

[Petr Šobáň]

Ještě bych doplnil samozřejmě na tom stroji lze nastavit aby akceptoval nějaké služby pouze z určité sítě, a i možná pomocí iptables by se dalo zakázat aby stroj neodpovídal na tu druhou adresu. /sbin/iptables -A INPUT -i eth0 -d 222.222.222.201 -j REJECT /sbin/iptables -A INPUT -i eth1 -d 192.168.1.94 -j REJECT Samozřejmě musíte správně nastavit eth1,0 a příslušné IP adresy které jsou na příslušné kartě, nevím jak to tam máte které eth máte přiřazené kterému IP.

[bluma]

neni zadna "vnejsi strana". jestli je chces zahodit tak ne ve forward, ale v input retezci. do forward logicky nejdou kdyz jsou primo pro ten router, k zadnemu forwardovani nedochazi.

[Ondra]

Uz jsem zcela v obraze a uz to funguje podle mych predstav. Mockrat dekuji za spolupraci a za vysvetleni problemu.