Dotaz: NAT problem

[David]

Ahoj,

mam tri servery A, B, C. A je pripojen do internetu, B, C jsou za A (za A je vnitrni sit mezi vsemi tremi servery). Na A je IP, ktere se NATem preklada na vnitrni IP co je na B (na B bezi apache a takto si ho zpristupnime z internetu). B ma default gateway pres A, C ma default gateway mimo tyto tri servery (ale i C je pripojen do vnitrni site). Vse je OK, az na to, ze kdyz si na C dam links http://www.mojedomena.cz (domena, jejiz IP ja na A a preklada se na vnitrni IP of B), tak se mi nezobrazi nic, jen marking connection. Kdyz si dam http://www.mojedomena.cz z nejakeho serveru mimo tyto tri, tak je to OK. Podle me je problem v tom, ze kdyz tam http://www.mojedomena.cz, paket docestuje na A (je tam IP of www.mojedomena.cz), tam se prelozi na vnitrni IP of B, dostane se na apache, ten odpovi, ale podle me odpovi po vnitrni siti, takze prijde odpoved odjinud nez je ocekavano a proto links nic nezobrazi. Da se to vyresit tak, ze si do /etc/hosts pridam radek: vnitrni IP of B www.mojedomena.cz, pak pujdou pakety rovnou po vnitrni siti na B a ten po vnitrni siti odpovi a je to OK. Nicmene potrebuji se na www.mojedomena.cz ze serveru C dostavat ne po vnitrni siti, ale pres internet (proste bez toho /etc/hosts). Vite nekdo co s tim? Dik, David

Odpovědi

[linuxik]

Nejaky obrazek by nebyl? Tohle mi pripomina  jeden hodne znamy test inteligence.

• je 5 domů, každý jinébarvy
• V každém domě bydlí jedna osoba jiné národnosti
• Každý majitel domu upřednostňuje určitý nápoj, kouří určitou značku cigaret a chová zvíře
• ..............

 

[David]

:)

[NN]

Ja to chapu, potom je potreba rict A , aby to neposilal po vnitrni

siti, ale poslal to ven, takze aby IP C routoval do netu a ne po

vnitrni siti.

NN

[NN]

Obrazek:

           -WAN-
          |          |
         A         X
          |          |
         B -LAN- C

NN

[Filip Jirsák]

Vaše dedukce, v čem je problém, je správná, a jednoduše z ní také plyne, co je potřeba udělat – zařídit, aby B odpověděl zpátky A, který se tak dostane i k paketu směřujícímu zpět a může paket „odNATovat“. Nejjednodušší mi připadá na A dělat pro pakety z vnitřní sítě nejen DNAT, ale i SNAT a IP adresu A.

[David]

Na A je pravidlo:  

   22121 1842K SNAT       0    --  *      eth0    vnitrni IP of B        0.0.0.0/0           to:vnjesi IP of A

 

takze SNAT tam je.
 

 

[Filip Jirsák]

To by pak B neměl důvod paket s odpovědí poslat přímo na C. Spusťte si na tom B tcpdump a podívejte se, jaké pakety skutečně přicházejí a odcházejí.

[hysterix]

Budto A nebo B vi, ze verejna adresa ze ktere prisel pozadavek je dostupna pres C a tudiz zpet to nechodi pres internet. Takze bud jim tuhle znalost vzit (nastaveni routovani) anebo na A prekladat prislusnou adresu (SNAT) na vnitrni adresu patrici A (moc by se mi to nelibilo:) Navim, jestli by bylo akceptovatelne na C nastavit, ze prislusna vnejsi adresa je na A a na A pak prekladat (SNAT) jako v predchozim - vzhledem k tomu, ze by ted slo o preklad vlastni neverejne adresy, uz by se mi to jevilo akceptovatelne.