Dotaz: propojení více síťí

[quiiicq]

Zdravím,
Mám hodně prekerní situaci:

eth0	ip4 WAN
th0:0	LAN	192.168.99.x
eth0:1	LAN 2	10.40.13x.x
sit1	ip6 WAN
tun5	LAN 3	x
tap0	VPN(openVPN)	192.168.0.x
ppp0	VPN(pptpd)	192.168.33.x

A teď bych potřeboval: pro: eth0:0, tap0 a ppp0 zpřístupnit: eth0, eth0:1 a tun5.
Dál bych potřeboval navzájem zpřístupnit síťě: ppp0, tap0 a eth0:0.
Pak bych chtěl pro eth0:0, ppp0 a tap0 zpřístupnit IPv6 tedy sit1, vím ale že openVPN ještě moc IPv6 nezná, tak s tímhle zatím moc nepočítám.
A na závěr bych chtěl chtěl udělat aby když na eth0 přijde nějaký paket třeba na hostname franta.mojedomena.cz tak aby se přesměroval na počítač X který je ve VPNce nebo LANce, a má můj server jako bránu. Ale s tímhle také moc nepočítám.
Hlavní je propojení těch LANek a VPNek a přístup k internetu z nich.
Přístup k internetu z LANek a VANek mám zatím přez iptables takhle: iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
Mám Linux Debian etch. Vím že to nebude lehké, a asi se to ani všechno nepovede.
Pokud ale víte něco co by mi mohlo pomost, budu rád za každý příspěvek, za každou radu. Díky moc..

Odpovědi

[Filip Jirsák]

Možná jsem neprokoukl, v čem spočívá ta prekérnost situace – ale nestačilo by prostě na počítačích v těch sítích nastavit správně výchozí bránu, a na tomto routeru (předpokládám, že výpis rozhraní je z jednoho routeru) správně nakonfigurovat směrování?

[quiiicq]

Na klientských počítačích je samozřejmě nastavená brána.
Jde o nastavení směřování na tom routeru.
Nevím vůbec jak.
Jestli přez iptables, nebo route ... ?
Asi spíš přez iptables, ale zdá se mi to dost komplikované.

[Filip Jirsák]

Přes iptables určitě ne, route pokud možno na linuxu také ne, na linuxu je to zastaralý příkaz a jenom emuluje chování novějších jader. K nastavení routování slouží příkaz ip route (tedy příkaz ip s prvním parametrem route) z balíčku iproute2. Pokud stačí routování podle cílové ip adresy, stačí jedna routovací tabulka, kam přidáte vždy cílovou síť a masku a k tomu rozhraní, kudy má paket odcházet. Pokud je potřeba routovat i podle zdrojové ip adresy nebo nějakého dalšího příznaku, je možné mít routovacích tabulek víc a pomocí pravidel (ip rule) vybrat, kdy se která tabulka má použít.

[quiiicq]

Na ip route se podívám.
Dík moc

[pht]

no spis naopak je to prace pro iptables a ne route. standardne bez jakyhokoliv zasahu se routuje odkudkoliv kamkoliv cokoliv...

[lieko]

nie, iptables nema toho s routovanim moc spolocneho. Standardne sa routuje odkudkoliv ale iba do sieti ktore router ma v routovacej tabulke. Siete naviac treba pridat ako bolo napisane vyssie cez ip route.

[pht]

ano, ale imho tady nejde o nastaveni cest ale o ruzne naty. nebo nevim jak si to zadani "zpristupnit sit" vykladate vy.

[Filip Jirsák]

V dotazu ale není nic o sítích, ale jsou tam vyjmenovaná rozhraní.

[pavlix]

Včetně třeba NATu na IPv6... když se IPv6 zavádí právě hlavně proto, aby NAT nebyl potřeba.

[CIJOML]

Asi byste si mel precist nejaka vysokoskolska skripta o tom co beha po druhe a treti vrstve ;) Mozna by stacila i nejaka popularne vedecka prirucka aala CISCO publikace

[pavlix]

Uff, když nevím, o co jde, radši neradím.

[zajdee]

Doporučil bych řešení problému rozdělit na dvě části, IPv4 a IPv6.

Nejdřív IPv6: Jak je nakonfigurováno to rozhraní sit1? Jde o 6to4/6in4 adresy (začínající na 2002:) nebo "nativní" IPv6 adresy (začínající na cokoli, kromě 2002:)? Pokud jde o "nativní" IPv6 adresy, máte od poskytovatele (tunnel broker?) přidělen vlastní IPv6 /64, /56, /48 rozsah adres?

OpenVPN si s IPv6 rozumí pouze pokud používáte virtuální ethernet, tj. rozhraní tap.

Pokud budou splněny všechny podmínky (přidělený IPv6 rozsah adres), neměl by být problém na všechny tyto rozhraní nastavit IPv6 adresy a zapnout forwarding (echo 1 > /proc/sys/net/ivp6/conf/all/forwarding). Počítačům v síti pak nastavit jiné adresy z téhož rozsahu, jako má adekvátní zařízení, nastavit výchozí bránu a mělo by to fungovat.

Tj. např. mám od poskytovatele přidělený rozsah 2001:0db8:2540::/48, pak rozhraní nastavím následovně:

eth0:0     2001:0db8:2540:1::1/64
eth0:1     2001:0db8:2540:2::1/64
tap0       2001:0db8:2540:3::1/64
ppp0       2001:0db8:2540:4::1/64 (ovšem nevím, jestli v případě pppd server i klient umí ipv6...)

Jelikož v IPv6 není NAT, není zároveň potřeba nic dalšího nastavovat a mělo by to začít fungovat.

A IPv4: Jelikož na všech těch rozhraních jsou privátní adresy (192.168.x.y, 10.x.y.z), je použití

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

rozumné. Lépe to asi vyřešit nepůjde.

A na závěr bych chtěl chtěl udělat aby když na eth0 přijde nějaký paket třeba na hostname franta.mojedomena.cz tak aby se přesměroval na počítač X který je ve VPNce nebo LANce, a má můj server jako bránu. Ale s tímhle také moc nepočítám.

To se v IPv4 řeší pomocí iptables a DNAT, např. pro HTTP (port 80)

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.99.10:80

přesměruje požadavek, který přijde na eth0 port 80, na PC 192.168.99.10, port 80.

Ještě jedna technická, víc různých IP sítí na jednom rozhraní (eth0, eth0:0 a eth0:1) nemusí vždycky dělat dobrotu, zvlášť pokud by PC ze sítě 192.168.99.0/24 (eth0:0) chtěl přistupovat k PC v síti 10.40.13x.x (eth0:1). Mezi počítači se pak různě posílají zprávy o přesměrování (ICMP redirect), aby komunikovaly přímo mezi sebou a ne přes výchozí bránu, a ne vždycky to funguje...

[zajdee]

Ještě k tomu DNATu, zapomněl jsem dodat, že toto nelze řešit na úrovni hostname, ale jen a pouze na úrovni veřejných IP adres. Tj. pokud máte víc veřejných IP, lze to vyřešit např. takto:

iptables -t nat -A PREROUTING -i eth0 -d 82.100.10.20 -p tcp --dport 80 -j DNAT --to-destination 192.168.99.10:80
iptables -t nat -A PREROUTING -i eth0 -d 82.100.10.21 -p tcp --dport 80 -j DNAT --to-destination 192.168.99.11:80

(obě adresy by měly být nastaveny na eth0 jako aliasy, tj. např. pomocí

ip addr add 82.100.10.20 dev eth0
ip addr add 82.100.10.21 dev eth0

[quiiicq]

Děkuju moc za všechny rady, moc mi to pomohlo.
Nyní už mám vyřešený přístup do IPv4 internetu, a směřování portů.
Zbývá mi ještě:
1) Propojení LANek a VPNek, to budu muset udělat pomocí ip route
2) IPv6, tam používám IPv6 tunel a jsem na tom asi takhle:
eth0
Zapouzdření:Ethernet
inet adr:213.211.44.190
Všesměr:213.211.44.255
Maska:255.255.255.0
inet6-adr: fe80::20b:cdff:fe84:258d/64
Rozsah:Linka
sit0
Zapouzdření:IPv6-in-IPv4
inet6-adr: ::127.0.0.1/96 Rozsah:Neznám.
inet6-adr: ::192.168.99.1/96 Rozsah:Kompatibilita
inet6-adr: ::213.211.44.190/96 Rozsah:Kompatibilita
sit1
Zapouzdření:IPv6-in-IPv4
inet6-adr: 2001:470:9a3d::1/64 Rozsah:Globál
inet6-adr: fe80::c0a8:6301/64 Rozsah:Linka
inet6-adr: fe80::d5d3:2cbe/64 Rozsah:Linka
Zkoušel jsem nastavovat IPv6 adresu pro eth0:0, ale jen jsem to udělal, spadl NAT, a musel jsem rebootovat, takže vůbec nevím.
Pak je také potřeba nastavit automatické přidělování adres do ppp0 a tap0, ale to není důležité
Nevíte prosím co dál?
Dík

[quiiicq]

Tak jsem se pořádně obul do IPv6.
Určil jsem si rozsahy IPv6 adres a teď mi jen chybí nastavit NAT v ip6tables.
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE mám pro IPv4.
ip6tables -t nat -A POSTROUTING -o eth0 -j MASQUERADE ale pro IPv6 nefunguje.
Máte někdo s tímhle zkušennosti ?
Dík

[pavlix]

Proč NAT???

[quiiicq]

abych se dostal na internet.
Potřebuju všechno co příjde na server na IPv6 poslat na sit1.

[pavlix]

Nesmysl. Pokud si myslíš, že je k internetu potřeba NAT, tak radši používej IPv4. (Alternativně zkus pročíst trochu té literatury, pokud tě IPv6 opravdu zajímá.)

[zajdee]

Zvrácený svět IPv4, kde lidi využívají NAT kdekoli, kde nemají dostatek IPv4 adres, má bohužel jeden vedlejší efekt - uživatelé si po tolika letech s NATem nedovedou bezNATový svět představit

Ještě nás s IPv6 čeká dlouhá cesta...

[pavlix]

Ti stejní lidé pak usoudí, že IPv6 je k ničemu :).

Ne že by stejné/podobné techniky na IPv6 nešly používat... jen je to zbytečná komplikace a kriplení sítě.

[zajdee]

Ovšem v IPv6 žádný NAT není, proto to nefunguje.

Předpokládám, že máte možnost od tunnel brokera obdržet nějaký rozumný IPv6 subnet (/64, /56, v ideálním případě /48). Ten si pak po síti můžete rozroutovat jak je libo...