Dotaz: 2x síťová karta, jedna nepřístupná

[Danik]

Zdravím experty. Mám HW router, 1x připojen do internetu, druhá strana do vnitřní sítě (192.168.0.1). Pak servřík (Ubuntu 6.06 LTS), který má 2 síťové karty (Intel), jedna připojená do vnitřní sítě (eth1) s IP 192.168.0.5, druhá (eth0) k internetu IP 123.123.123.123 (příklad). Z vnitřní sítě z jiné stanice nemám problém s komunikací, ping je v pořádku, služby přístupné. Vnější síťovka z vnější strany je však zcela nedostupná (jak kdyby byl odpojený kabel) - JENŽE: když si ze stanice z vnitřní sítě vytrasuju k vnější síťovce serveru, tak se na ni přes router dostanu (???), služby (web) také jdou:

1. 1ms 1ms 1ms router (192.168.0.1)
2. 1ms 1ms 1ms server (123.123.123.123)

Funguje i Ping:

Odpověď od 123.123.123.123 bajty=32 čas=22ms TTL=63
Odpověď od 123.123.123.123 bajty=32 čas=22ms TTL=63
...

Z vnějšku ani ťuk. Měl by někdo nápad co s tím?

ifconfig:

eth0      Link encap:Ethernet  HWaddr 00:00:00:00:00:00
          inet addr: xx.xx.xx.37  Bcast: xx.xx.xx.63  Mask:255.255.255.224
          inet6 addr: ffff::222:bbbb:ffff:bb73/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:216893 errors:0 dropped:0 overruns:0 frame:0
          TX packets:15613 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:15155354 (14.4 MiB)  TX bytes:12700378 (12.1 MiB)

eth1      Link encap:Ethernet  HWaddr 00:11:11:11:11:11
          inet addr:192.168.0.5  Bcast:192.168.0.255  Mask:255.255.255.0
          inet6 addr: ffff::222:bbbb:ffff:bba7/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:257394 errors:0 dropped:0 overruns:0 frame:0
          TX packets:5992 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:23386654 (22.3 MiB)  TX bytes:1276835 (1.2 MiB)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:9360 errors:0 dropped:0 overruns:0 frame:0
          TX packets:9360 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:1159219 (1.1 MiB)  TX bytes:1159219 (1.1 MiB)

Odpovědi

[Michal Kubeček]

1. Na zombii jménem ifconfig už (co se týká Linuxu) opravdu zapomeňte.

2. Svítí LEDka na kartě?

3. Co ukáže ethtool?

4. Nemáte nastavený paketový filtr?

5. To, zda vám z vnitřní sítě funguje ping na "vnější" adresu, nijak nesouvisí s tím, jestli vám funguje komunikace přes vnější rozhraní.

[Danik]

Ad 1) - díky za radu.

Ad 2) Ledka na kartě svítí

Ad 3)ethtool:

Settings for eth0:
        Supported ports: [ TP MII ]
        Supported link modes:   10baseT/Half 10baseT/Full
                                100baseT/Half 100baseT/Full
        Supports auto-negotiation: Yes
        Advertised link modes:  10baseT/Half 10baseT/Full
                                100baseT/Half 100baseT/Full
        Advertised auto-negotiation: Yes
        Speed: 100Mb/s
        Duplex: Full
        Port: MII
        PHYAD: 1
        Transceiver: internal
        Auto-negotiation: on
        Supports Wake-on: g
        Wake-on: g
        Current message level: 0x00000007 (7)
        Link detected: yes

Settings for eth1:
        Supported ports: [ TP MII ]
        Supported link modes:   10baseT/Half 10baseT/Full
                                100baseT/Half 100baseT/Full
        Supports auto-negotiation: Yes
        Advertised link modes:  10baseT/Half 10baseT/Full
                                100baseT/Half 100baseT/Full
        Advertised auto-negotiation: Yes
        Speed: 100Mb/s
        Duplex: Full
        Port: MII
        PHYAD: 1
        Transceiver: internal
        Auto-negotiation: on
        Supports Wake-on: g
        Wake-on: g
        Current message level: 0x00000007 (7)
        Link detected: yes

Ad 4)koukal jsem na (iptables -L) a nezdá se mi, že by tam něco bylo

Ad 5) Hmm, taky jsem si to myslel. Díky za potvrzení.

Za chvíli k tomu stroji vyrazím, zatahám za kabely a ještě zkusím odpojit vnitřní síťovku a nechat jen vnější, jestli se něco nestane.

[Michal Kubeček]

Ještě jedna věc mne napadla. Pokud byste měl na tom stroji nastavenou default gateway přes ten druhý router a zapnutý RP filter, pak by vám zahazoval všechny pakety, které přicházejí zvenku (ale ne z besprostředně přiléhajícího segmentu). Jak vypadá routovací tabulka (ip route show)?

[Danik]

ip route show:

root@ms:~# ip route show
xx.xx.xx.32/27 dev eth0  proto kernel  scope link  src xx.xx.xx.37
192.168.1.0/24 dev eth1  proto kernel  scope link  src 192.168.1.5
default via 192.168.1.1 dev eth1
default via xx.xx.xx.33 dev eth0

[Michal Kubeček]

Ty dvě default položky nejsou dobrý nápad. Nechte tam jen tu, kterou chcete používat. A v každém případě vypněte RP filter (řada distribucí ho automaticky zapíná).

[Danik]

Když jsem vytáhnul kabel vnitřní sítě z eth1 (192.168...) a zůstal tam jen kabel do internetu na eth0, tak je to z venkovních sítí přístupné. Ping i služby.

[Martin Doucha]

Chápu správně že se snažíte udělat ping ze stanice ve vnitřní síti (třeba 192.168.0.2) na vnější síťovku serveru (123.123.123.123)?

Zkuste na serveru udělat

echo 1 >/proc/sys/net/ipv4/ip_forward

[Danik]

Můžete prosím poučit neznalého, co to jako má udělat? Díky. Zítra si s tím pohraju, dnes už musím pádit domů, kručí v břiše...

[Marek 'Maxicom' Zelenka]

cat /proc/sys/net/ipv4/ip_forward

- tímto příkazem zjistíte aktuální stav na serveru, pokud se vypíše 0, pak z např. z eth0 nic neprojde na eth1 a dál (i obráceně), takže vám nebude fungovat to co byste chtěl

echo 1 > /proc/sys/net/ipv4/ip_forward

- pokud je hodnota 1 (tento příkaz to tak právě nastaví), tak jádro povolí routování -> předávání paketů z jednoho rozhraní na druhé (zároveň by ve firewallu měla být ošetřena pravidla pro FORWARD, aby vše fungovalo a bylo pod kontrolou)