Dotaz: Routovani

[Michal Urban]

Zdravim,

mam takovy pocitam ze trivialni problem, ale ackoliv jsem tu narazil na radu for timhle se zabyvajicich, tak mi to porad nefunguje.

Mam server s Debianem stable, ktery je jednim rozhranim (eth3) pripojen do netu (funguje) pres VDSL. Druhe rozhrani je pripojeno k memu staremu ADSL modemu, ktery ted vyuzivam jako switch. K nemu jsou pripojeny dalsi domaci pocitace. A mam problem s nastavenim routovani, abych se z desktopu dostal na net. Schema site je nasledujici:

------------------
| Desktop        |
| 192.168.1.3    |
------------------
        |
------------------
| ADSL Router    |-------> Dalsi pocitace 192.168.1.X
| 192.168.1.2    |
------------------
        |
------------------
| Server / eth0  |
| 192.168.1.1    |
------------------
| Server / eth3  |
| 1.1.1.2        |
------------------
        |
------------------
| VDSL Router    |
| 1.1.1.1        |
------------------
        |
------------------
| INTERNET       |
------------------

A potrebuji vytvorit cestu z vnitrni site na internet. Zkousel jsem ruzna nastaveni, ale jelikoz to nikdy nefungovalo, tak jsem je vzdy smazal. Proto mam ted routovaci tabulku nasledujici, jak ji po instalaci vytvoril sam system:

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
localnet        *               255.255.255.0   U     0      0        0 eth0
1.1.1.0         *               255.255.255.0   U     0      0        0 eth3
default         1.1.1.1         0.0.0.0         UG    0      0        0 eth3
default         192.168.1.1     0.0.0.0         UG    0      0        0 eth0

V iptables je povolen forward:

#!/bin/bash
# iptables script

##################################################################

# Flush rules
clear
iptables -F

# Set defaults
iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

# Allow SSH on port 22
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Allow Samba
iptables -A INPUT -p udp --dport 137 -j ACCEPT
iptables -A INPUT -p udp --dport 138 -j ACCEPT
iptables -A INPUT -p tcp --dport 139 -j ACCEPT
iptables -A INPUT -p tcp --dport 445 -j ACCEPT
iptables -A INPUT -p tcp --dport 901 -j ACCEPT

# Allow CUPS web access
iptables -A INPUT -p tcp --dport 631 -j ACCEPT

#  Set access for localhost
iptables -A INPUT -i lo -j ACCEPT

# Set access for webserver
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# Accept packets belonging to established and related connections.
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

##################################################################

# Save settings
iptables-save > saved.fw

# List rules
iptables -L -v

Zkousel jsem (samozrejme na serveru) jak jen nastaveni samotne routy, tak vytvoreni gw na jinem rozhrani, pres tyhle prikazy:

route add -net 192.168.1.0 netmask 255.255.255.0 dev eth3
route add -net 192.168.1.0 netmask 255.255.255.0 gw 1.1.1.1 dev eth3

Ale bylo to k nicemu ... je mi jasny, ze delam chybu v nejake blbine, ale netusim ...

Odpovědi

[Michal Urban]

PS: Ip forward mam povoleny.

[Filip Jirsák]

Ten ADSL router funguje opravdu jako switch? Tj. nefiltruje komunikaci ani jí neroutuje?

Máte na to Debianu povolené předávání paketů mezi rozhraními?

#zjištění stavu
cat /proc/sys/net/ipv4/ip_forward

#zapnutí předávání
echo 1 > /proc/sys/net/ipv4/ip_forward

[Michal Urban]

Na tom ADSL zadne filtry nastavene nemam. A kdyz si z desktopu hodim na server traceroute, tak to jde rovnou, bez "prestupu" na routeru. Takze podle mne jede jako switch.

IP Forward mam povoleny.

[Matěj Vaňátko]

Ne ne. To bude jiná chyba. Na první pohled docela evidentní. Podle mě vám tam chybí aktivace NATu z vnitřní sítě ven. Pakety tedy od vás na 100% odejdou, ale router u providera neví, kam je má vrátit. Není tedy nastaven SNAT či MASQUERADE. Dle mého názoru stačí přidat následující řádek do toho skriptu s IPTABLES.

iptables -t nat -A POSTROUTING -o eth3 -j MASQUERADE

Jako další vymažte to přidávání rout do routovací tabulky. Default routu máte určitě udělanou v /etc/network/interfaces pomocí parametru "gateway" a ostatní routy on zná, jelikož ty sítě má přímo připojené na svoje rozhranní.

[Michal Urban]

Takze jsem pridal maskaradu a odebral ty default routy - bohuzel zadna zmena. Kdyz jsem povolil prichozi (INPUT), tak jsem si overil, ze se z desktopu dopingnu na obe rozhrani serveru, ale dal ne ...

[Matěj Vaňátko]

A máte na desktopu nastavenou default gateway ? To už je tak jediné, co mě napadá, že by to mohlo blokovat.

Jestliže máte povolen forward paketů, jestli je udělaná maškaráda, jestli to neblokují iptables, musí to logicky vzato chodit.
Hoďte sem ještě výpis routovací tabulky potom, co jste vyházel ty routy. A když pingáte, zkuste pomocí TCPDUMP sledovat, jak vlastně ty pakety chodí. Resp. kam až dojdou.

[Michal Urban]

Takze:

1) Na desktopu mam nastavenou gateway na 192.168.1.1
2) Forward jsem overil a = 1
3) Maskaradu jsem pridal do skriptu iptables, tak jak jste ten radek napsal.
4) U iptables jsem dal vsechno na ACCEPT, tj. i INPUT
5) TCPDUMP nemam, na desktopu bezi Win7 a v tech nevim jak to sledovat ...
6) Routovaci tabulka vypada takhle (po restartu si tam system zas doplni ty dalsi dve "default" routy):

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
localnet        *               255.255.255.0   U     0      0        0 eth0
1.1.1.0         *               255.255.255.0   U     0      0        0 eth3

Aktualni stav je, ze se dopingnu jen na 192.168.1.1, ale uz ne na druhe rozhrani serveru 1.1.1.2 ...

[smoofy]

5) TCPDUMP nemam, na desktopu bezi Win7 a v tech nevim jak to sledovat

Wireshark je super aplikace a funguje jak na widlich tak na linuxu.

[Filip Jirsák]

Ta routovací tabulka vypadá divně. Když máte dvě IP adresy, měl by tam systém při startu vygenerovat dvě routy pro danou síť a jako třetí výchozí routu "do internetu". Tohle je to, jak to vypadá po startu, nebo jste tam dělal nějaké úpravy?

Taky by bylo lepší použít příkaz ip route z balíčku iproute2, tomuhle zastaralému příkazu route není dobré moc důvěřovat.

[Matěj Vaňátko]

To je celé nějaké divoké. Tak v tom případě mi sem hoď routovací tabulku, která je přesně po naběhnutí systému. A hoď sem i výpis /etc/network/interfaces.
Jak tu někteří píší, zkus klidně vyhodit i ten ADSL modem, který ti dělá switch a uvidíme, co to udělá

[Matěj Vaňátko]

Jo a používejte při vypisování přes příkaz "route" i parametr -n

PS: Balíček s příkazem "route" je sice zastaralý, ale podle mě plně funkční. Já stále používám ifconfig i route a nestěžuju si. To jen tak na okraj

[houska]

co jsem zbezne koukal tak to vypada dobre jediny co me trklo bylo ze tam mas dve defaultni routy

zkus ji smaznout a dej vedet kam az ti projde ping ven

[Michal Urban]

Bohuzel nepomohlo ...

[jessica]

Zkusil bych na chvyli vyhodit ten ads router co funguje jako switch u tehle zarizeni uz jsem videl kdejaky veci.\n Pocitam ze z toho serveru z debianem vam internet funguje?\n A jdem vam znej pingnout napr nix.cz a na druhou stranu 192.168.1.3?

[Michal Urban]

Ano, net na serveru jede (VDSL dava IP pres DHCP). A pingnout se da na obe strany ...

[smoofy]

Ahoj Michale,

ta routovaci tabulka je tabulka koncove stanice nebo toho serveru? Podle vseho patri tomu serveru. Predpokladam ze si vymazal default routu "default 192.168.1.1 0.0.0.0 UG 0 0 0 eth0" ktera je nesmyslna, musis ale naopak pridat jeste routu pro 192.168.1.0 na eth0. Ten pocitac totiz zjevne nevi (evidentni dle routovaci tabulky) co s takovymahle paketama delat :) Dej vedet jak se dari.

Lukas

[Matěj Vaňátko]

To není pravda. O síti 192.168.1.0/24 on samozřejmě ví. Má ji přímo připojenou. Označuje se tam jako "localnet". Nevim, jestli je to pravda, ale myslím si, že takhle se označí síť, která je připojená na eth0, když se použije příkaz "route" bez parametru -n

[Michal Urban]

Ano, s parametrem -n je tam misto localnet napsano 192.168.1.0.

[Michal Urban]

Odebral jsem tu default gw, misto ni pridal

route add default gw 1.1.1.1 netmask 255.255.255.0

a vysledek (dal to nefunguje) vypada takto:

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         1.1.1.1         255.255.255.0   UG    0      0        0 eth3
localnet        *               255.255.255.0   U     0      0        0 eth0
1.1.1.0         *               255.255.255.0   U     0      0        0 eth3

[Michal Urban]

Pro jistotu pridavam obsah interfaces:

# The loopback network interface
auto lo
iface lo inet loopback


# Pripojeni do vnitrni site / ADSL Router
allow-hotplug eth0
iface eth0 inet static
        address 192.168.1.1
        netmask 255.255.255.0
        network 192.168.1.0
        broadcast 192.168.1.255
        gateway 1.1.1.1
#192.168.1.1
        # dns-* options are implemented by the resolvconf package, if installed
        dns-nameservers 8.8.8.8 8.8.4.4


# Pripojeni do Internetu / VDSL Router
allow-hotplug eth3
iface eth3 inet dhcp

coz nasledne po restartu vytvori takovyto route:

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
localnet        *               255.255.255.0   U     0      0        0 eth0
1.1.1.0         *               255.255.255.0   U     0      0        0 eth3
default         1.1.1.1         0.0.0.0         UG    0      0        0 eth3

[Matěj Vaňátko]

Tak u toho eth0 vyhoďte tu default gateway. Default gateway je automaticky získána z eth3 z DHCP u providera. To je pro server jeho výchozí brána. Tady jste mu vlastně řekl, že je výchozí brána 1.1.1.1 na eth0, kde vlastně není. Teď nevím, jak je to tam s prioritama, takže netuším, jestli to může dělat bordel, ale určitě to tam nepatří.

Jinak, místo allow-hotplug používejte auto. Sice vám to při spuštění /etc/init.d/networking restart bude psát varování, ale síť se opravdu překonfiguruje. Při allow-hotplug se nastavení sítě změní až po resetu stroje nebo při resetu něčeho jiného. Myslim si, že to asi někde půjde, ale lepší je používát auto ethX

A pak, jak v těch Win 7 testujete ping ven ? Pingáte na IP adresu nebo DNS jméno ? Aby nebyl zakopaný pes i v DNS

[smoofy]

Sorry za tu branu, cetl jsem to moc rychle a zamenil localnet za localhost :).

Jeste jeden dotaz bych ale mel, pokud ten ADSL router pouzivas jako switch, proc u nej udavas IP? Na klasickem switchi zadne ip nepotrebujes.

[Michal Urban]

To IP uvadim, protoze ho ma ... :) Je tam administrativni rozhrani. Jinak jak jsem rikal, pri tracert z windows na server (nebo nazpet) se mezi skoky neobjevuje a jen predava ...

[Matěj Vaňátko]

To má spíš pořád jako router, který musí mít aspoň lokální IP. Ale ten jeho malý switch (obvykle 4 porty) používá opravdu jako switch.

Přeci jen bych ho ale taky vyřadil a zkusil to propojit přímo.

[Michal Urban]

Tak gateway od eth0 jsem vymazal, allow-hotplug jsem zamenil za auto, diky za informaci! ... A ja zatim nepinguji ven, ale jen na ten VDSL router (vim, ze se na nej da pingnout, ze serveru to jede). A pinguji tedy na IP.

[smoofy]

Tak ted tak nejak nechapu co funguje a co ne :). Neslo by to nejak vysvetlit pro blby? :)

[Michal Urban]

:) Psal jsem, ze se nesnazim vypingnout ven na web. Mym cilem ted je, dopingnout se z desktopu na VDSL router, pac pak bych vedel, ze ta routa na serveru jede.

[Matěj Vaňátko]

A opravdu je nastavená maškaráta a povolený forward ? Forward se v /proc/sys/net/ipv4/ip_forward nastaví po restartu vždy na hodnotu 0.
Lepší je v /etc/sysctl.conf odkomentovat řádek net.ipv4.ip_forward=1
Klidně sem hoďte i výpis iptables -nvL ihned po restartu PC a po aktivaci toho vašeho skritpu na iptables.

[smoofy]

Prihod vypis ty routovaci tabulky. Pokud se dostanes na VDSL tak to vypada ze ti funguje routa pro 1.1.1.0 ane nemas nastavenou default routu pro ostatni trafic, proto ti to asi nepinga ven.

[Michal Urban]

Vypis iptables po startu:

 iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
   85  8393 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:2222
   52  4884 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:137
   62 14266 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:138
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:139
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:445
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:901
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:631
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80
    1   120 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 177 packets, 27682 bytes)
 pkts bytes target     prot opt in     out     source               destination

A routovaci tabulky:

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
localnet        *               255.255.255.0   U     0      0        0 eth0
1.1.1.0         *               255.255.255.0   U     0      0        0 eth3
default         1.1.1.1         0.0.0.0         UG    0      0        0 eth3

[vencour]

Shrnu zdejší chaos ... základem je dostat se ze serveru "ven". Nat by měl dělat VDSL modem ... je to na DSL a tedy VDSL modem dělá ppp klienta, že?

Tedy 1) pingnete si ze serveru ven? 2) A pak ze serveru se zdrojovou adresou sítě 192.168.1.x. (ping -I 192.168.1.1). 3) Desktop je v rozsahu sítě, ze které jste si už pingal, měl by se už přes server dostat.

Pro ověření můžete sledovat interfejsy přes "tcpdump -i ethX -n icmp"

[Matěj Vaňátko]

Ten modem bude určitě ppp klient, ale jak znám Telefónicu, tak už ten modem bude routovat a dělat NAT. A pokud by měl bejt NAT jenom na něm, neví, kudy zpět do sítě 192.168.1.0 /24. Tazatel psal výše, že ze serveru se na net dostane. Nedostane se jen z lokální sítě. Problém musí být někde na tom serveru. Aspoň podle mě teda

[vencour]

Ok, pravda ... takže by stačilo přidat routu na síť za serverem na interfejs serveru.

[smoofy]

Ja se v tom prestavam orientovat, kdyby tomu ale tak bylo, jak pise Matej, tak by prece nefungoval ani ping na ten modem 1.1.1.1 z koncove stanice. Ale jak rikam, jsem v tom uz uplne ztracenej :). Mne to spise pripada, jako ze funguje vsude bezproblemu komunikace na sit 1.1.1.0, ale na koncove stanici neni default routa ale jen routa pro sit 1.1.1.0. Asi je to teda blbost, ale vysvetlovalo by to jak je mozne, ze se dostane ze stanice na modem ktery je na 1.1.1.0 siti a ne na internet, pro ktery ta routa proste chybi. Kdyby byl spatnej NAT na serveru, nenecha ho to ani pingnout modem prece.

[Michal Urban]

Nevim, jak k tomu zmateni doslo, ale kazdopadne pro presnost:

1) Ze serveru se na VDSL modem dopingnu. 2) Z desktopu se na VDSL modem nedopingnu. 3) Z desktopu se na obe sitovky v serveru dopingnu.

[smoofy]

Nic si z toho nedelej, moje chyba, delam moc veci najednou. Jdu domu, mrknu na to v klidu.

[lertimir]

nějak moc dobře tomu nerozumím. To co bych udělal je monitoring paketů na rozhraních serveru abych zjistil co se tam vlastně děje. Navíc jsem v tom výpisu iptables neviděl žádné pravidlo pro icmp. Něco jako:

iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT  -p icmp --icmp-type echo-reply   -j ACCEPT

Ale možná jsem něco přehlédl četl jsem diskusi hodně narychlo.

[Michal Urban]

To pravidlo tam opravdu nemam, ale pred par hodinama jsem dal OUTPUT, INPUT i FORWARD natvrdno na ACCEPT, takze by to nemel byt problem ...

[Matěj Vaňátko]

Člověče, řeknu ti, je to celý nějaký divný.
A) Pokud se ze serveru dopingneš na VDSL modem, je to OK
B) Pokud se z desktopu dopingneš na server, je to OK
C) Pokud je povolen forward paketů, je to ok
D) Pokud je nastavená maškaráda, je to v cajku
To jsou asi nejčastější chyby. Jelikož u tebe to už vypadá OK, bude to nějaká podivná závada. Hele, jestli chceš, ozvi se mi asi za 20 minut na ICQ 222 960 497 a můžem to řešit online. Tenhle problém mě totiž taky dost zajímá....

[Michal Urban]

Fakt je to divny - a jeste divnejsi je, ze to prave zacalo fungovat. Prepojil jsem si ten VDSL router do ADSL routeru, abych moh byt pri veceri online a zaroven se divat na futuramu (na serveru mam nasdileny serialy) a kdyz jsem kabelaz nastrkal nazpatek (viz to schema co mam nahore), tak mi uz internet zustal. A to i po restartu. Fakt to nechapu.

Jinak tedy pro uplnost:

1) ip_forward nastaveny na 1 (celou dobu)

2) route (po poslednim restartu bez zasahu)

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
localnet        *               255.255.255.0   U     0      0        0 eth0
1.1.1.0         *               255.255.255.0   U     0      0        0 eth3
default         1.1.1.1         0.0.0.0         UG    0      0        0 eth3

3) iptables skript (u zjsem tam zas vratil INPUT DROP):

#!/bin/bash
# iptables script

##################################################################

# Flush rules
clear
iptables -F

# Set defaults
iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

# Masquerade
iptables -t nat -A POSTROUTING -o eth3 -j MASQUERADE

# Allow SSH on port 2222
iptables -A INPUT -p tcp --dport 2222 -j ACCEPT

# Allow Samba
iptables -A INPUT -p udp --dport 137 -j ACCEPT
iptables -A INPUT -p udp --dport 138 -j ACCEPT
iptables -A INPUT -p tcp --dport 139 -j ACCEPT
iptables -A INPUT -p tcp --dport 445 -j ACCEPT
iptables -A INPUT -p tcp --dport 901 -j ACCEPT

# Allow CUPS web access
iptables -A INPUT -p tcp --dport 631 -j ACCEPT

#  Set access for localhost
iptables -A INPUT -i lo -j ACCEPT

# Set access for webserver
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# Accept packets belonging to established and related connections.
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

##################################################################

# Save settings
iptables-save > saved.fw

# List rules
iptables -L -v

Fascinujici ... kazdopadne diky za snahu! :)

[Matěj Vaňátko]

Tak to je paráda.. to je hlavní

[Michal Urban]

:)

[bukowski]

Nemela by v tom VDSL routeru byt routa na sit 192.168.1.* ?

[Michal Urban]

Jelikoz v tom VDSL bezi DHCP, tak pocitam ze ne - kazdopadne to bez toho funguje. Nyni jsem to DHCP vypnul a nastavil static a jede to taky ok. Mam to prepnuty na bridge a spojeni volam ze serveru, btw.

[vencour]

Takže VDSL modem je v bridgi a ppp sešna je navázaná/ukončená na serveru?

Děláte nám v tom pěknej hokej, pokud máte na serveru ppp, měl byste tam i natovat apod.