Dotaz: Nejde internet

[maros]

Siet ma stroj NAT, ktory sa stara o NATovanie IP a stroj GW, ktory sa stara o routovanie do internetu.
Stroj NAT ma dve sietovky, jedna je v LAN, druha je v DMZ.
Stroj GW ma dve sietovky, jedna je v DMZ a druha v internete.
Stroj NAT routuje na GW.

V LAN je stroj 192.168.100.100, ktory by mal byt 1:1 natovany za verejnu IP 1.2.3.4
Problem je, ze tento stroj sa nedostane na internet.

Zistil som nasledovne:
- tcpdumpom som zistil, ze z NAT to odchadza OK (tcpdump -i eth_DMZ src 1.2.3.4)
- tcpdumpom som zistil, ze z GW to odchadza OK (tcpdump -i eth_INTERNET src 1.2.3.4)
- tcpdumpom som zistil, ze stroju neprichadza ziadna odozva (tcpdump -i eth_INTERNET dst 1.2.3.4)
- z GW nemozem pingnut 1.2.3.4 (z NAT samozrejme mozem)
- GW ma vo firewalli povolene vsetko dnu i von tykajuce sa 1.2.3.4
- ak zmenim natovanie na 1.2.3.5, tak z GW 1.2.3.4 pignem, ale nie 1.2.3.5 (t.j. zostanu obe pravidla)

Odpovědi

[tomk]

Aniz bych si delal ambice to cele pochopit, nesedi mi tvrzeni, ze:

- tcpdumpom som zistil, ze z GW to odchadza OK (tcpdump -i eth_INTERNET src 1.2.3.4) - tcpdumpom som zistil, ze stroju neprichadza ziadna odozva (tcpdump -i eth_INTERNET dst 1.2.3.4)

do toho by preci NATovaci pravidla uz/jeste nemela zasahovat. Pokud odejde pozadavek z 1.2.3.4 na rozumnou adresu do Internetu, tak mi preci na 1.2.3.4 musi dorazit odpoved. Bez ohledu na to, jestli mam NAT nejak rozbity, nebo ne.

Tomas

[pavlix]

Mno... přijde mi, že se v tom sám nevyznáš.

Ten nat 1:1 je ti úplně k ničemu, kdyby tam nebyl, jsi na tom líp.

Říkat DMZ něčemu, co je po cestě mezi chráněnou sítí a Internetem, je divné.

Zjednoduš si síť tak moc, jak dokážeš, nastav ji aby fungovala, a teprv pak si hraj s NATem pokud ti zbyde čas někde bokem. Podle mě nemáš dobře nastavený ani routing a ten NAT ti to pouze komplikuje do té míry, že už nevíš, co je špatně.