Dotaz: apache2 na dvě síťové karty WAN

[locus]

Zdravím, řeším blbost. Mám ubuntu server s nainstalovaným apachem. Celkem tam jsou 4 porty. Eth0 a eth1 mají veřejnou síťovou adresu. eth2 je pro LAN a eth3 je k zrcadlení dat pro DRBD.
Jde mi o to že bych potřeboval aby apache fungoval na eth0 eth1 a eth2. V tuto chvíli my eth0 funguje jak chci i eth2 pro lan jak chci. Ale eth1 ne.

---

---

Odpovědi

[drunkezz]

http://httpd.apache.org/docs/2.0/bind.html

[locus]

kde se prosím nastavuje to naslouchání?

[NN]

ports.conf

NN

[locus]

Tedy ted to zkouším ale narazil jsem na jednu komplikaci. Mám před eth1 adsl modem na tom je nastaveno DMZ na 10.0.0.2 což je ip adresa eth1. Tedy do ports jsem přidal jak lokální ip tak wan ip. Toto jsem přidal do port.conf:

Listen AAA.AAA.AA.AA:80 eth0 (veřejná IP) - OK
Listen BBB.BBB.BB.BB:80 (veřejná IP pro eth1)
Listen 192.168.1.220:80 (eth2 mám fungovat pouze pro LAN - OK)
Listen 10.0.0.2:80 (eth1 LAN ip adresa pro BBB.BBB.BB.BB)

Po restartu mi to vypíše:

(99)Cannot assign requested address: make_sock: could not bind to address BBB.BBB.BB.BB:80 no listening sockets available, shutting down Unable to open logs Action 'start' failed. The Apache error log may have more information.

Co pls dělám špatně?

[locus]

nemohlu by jste mě pls někdo nakopnout nebo nasměrovat?

[NN]

Nebylo by jednoduzsi nechat apache poslouchat na vsech rozhranich a nezadouci provoz filtrovat ?

Listen 80

Imho je to default ..

NN

[lertimir]

Také myslím, že problém je jinde. Default apache poslouchá na všech rozhraních, která jsou k dispozici. Z nějakého důvodu na eth1 nemůže. to se neopraví v jeho konfiguraci (jak se také ukázalo explicitím pokusem poslouchat na eth1), ale nalezením, proč nemůže.

[locus]

JJ. Ted sem sezkusil připojit na ADSL modem do lanky a muj pc má ip 10.0.0.6 a zkusil jsem v prohlížeči zadat 10.0.0.2 ale nic se nenačetlo.

[alkoholik]

a) hod se alespon konec error.log
b) jsi si absolutne jisty, ze na tom portu nic neposloucha?
c) Jestli mas v konfiguraci "Listen 80" a pak "Listen x.x.x.x:80", tak se te v podstate tyka b)

[locus]

Takto mám nadefinován port.conf Listen *:80 jsem smazal.

Listen AAA.AAA.AA.AA:80 eth0 (veřejná IP) - OK
Listen BBB.BBB.BB.BB:80 (veřejná IP pro eth1)
Listen 192.168.1.220:80 (eth2 mám fungovat pouze pro LAN - OK)
Listen 10.0.0.2:80 (eth1 LAN ip adresa pro BBB.BBB.BB.BB)

[Tue Jun 12 12:09:23 2012] [error] [client XXXXXXXXX] File does not exist: /var/www/favicon.ico [Tue Jun 12 12:09:23 2012] [error] [client XXXXXXXXX] File does not exist: /var/www/favicon.ico [Tue Jun 12 12:09:23 2012] [error] [client XXXXXXXXX] File does not exist: /var/www/favicon.ico [Tue Jun 12 13:52:12 2012] [notice] caught SIGTERM, shutting down
Nemělo by to opravdu nic naslouchat.

[NN]

Ten posledni radek asi nebude v poradku..

NN

[locus]

Tak tedy ted když sem se ještě jednou připojil na ten ADSL modem a zadal ip sítpvé karty 10.0.0.2 tak se mi již v rámci LAN sítě načte obsah. Ale když zadám tu veřejnou IP BBB.BBB.BB.BB. S tím že na ADSL modemu je DMZ na ip serveru 10.0.0.2.
Co dělám špatně?

[locus]

Je to divné že přes LAN 10.0.0.2 to funguje ale na té veřejné IP to nejede.

[locus]

Zkusil jsem DMZ nastavit na 10.0.0.6 což byl muj notebook a to funguje přes tu veřejno IP. Ale když sem to nastavil zpátky na 10.0.0.2 tak to nejde fakt nevím kde je chyba. S tím že to je ip 10.0.0.2 je ip adresa eth1.

[alkoholik]

A co firewall na tom serveru?

[locus]

Nic jsem tam nenastavoval. Tedy je to ve výchozím nastavení.

[lertimir]

Nějak to vůbec nechápu:

1. Jednak DMZ, je adresa sítě ne jedna IP a DMZ je dle mne jen stručné nastavení firewallu pro reakce na pakety z této sítě.
2. 10.0.0.2 i BBBBB jsou obě adresy jednoho rozhraní? je konfigurace udělaná dobře?
3. Jiný provoz paketů přes BBB funguje? Není na BBBB nějaký restriktivní firewall?

[locus]

10.0.0.2 je rozhraní eth1. S tím že je veřejná IP BBBBB která leze do ADSL modemu který má rozsah 10.0.0.1 - 10.0.0.50 s tím že server má na eth1 ip 10.0.0.2. Tedy ano obě adresy 10.0.0.2 a BBBB jsou jakoby myšleny pro jedno rozhraní a to eth1. BBB když se nastavil DMZ na muj notebook s apachem který měl ip 10.0.0.6 tak to fungovalo. Ale když DMZ nastavím spátky na server 10.0.0.2 tak to z veřejné adresy nefugnuje.

[lertimir]

ale to je nesmysl. BBB v ADSL modemu nemá s adresou v serveru nic do činění, takovou adresu to rozhraní serveru nemá. Dodejte výpis netstat -r ze serveru. Myslím si, že vůbec nerozumíte IP protokolu, také není jasné kde nastavujete to DMZ?

[Lol Phirae]

Ja uz zacinam chapat, ze pan nechape, co vlastne dela.
Predpokladam, ze pro tenhle router DMZ je proste jedno ip na LANce, kam vsechno tupe preposle.
Takze adresa BBBB patri na WAN interface routeru. Ten pri prijeti paketu pro tuhle adresu provede DNAT na lan adresu serveru. Adresa BBBB vubec nema na serveru co delat.

[alkoholik]

A abych nezapomnel. Kampak mate nastavenou default route?
Hadam, ze ten server vubec neni pripraveny na routovani dvou upstreamu.

[Filip Jirsák]

V konfiguraci Apache nastavujete adresy lokálního počítače, na kterých má naslouchat. Pokud je eth1 za NATem, nebude v konfiguraci veřejná IP adresa, ale nějaká z privátního rozsahu. Nebo-li do konfigurace Listen můžete napsat jenom ty IP adresy, které vám u daného rozhraní vypíše příkaz ip addr.

[locus]

JJ máte pravdu že se v tom mám bordel.
Tedy upravil jsem dávám výpis:
Směrovací tabulka v jádru pro IP
Adresát Brána Maska Přízn MSS Okno irtt
Rozhraní
default AA.AAA.AAA.AA 0.0.0.0 UG 0 0 0 eth0
10.0.0.0 * 255.255.255.0 U 0 0 0 eth3
10.0.1.0 * 255.255.255.0 U 0 0 0 eth1
80.0.0.0 * 255.0.0.0 U 0 0 0 eth0
link-local * 255.255.0.0 U 0 0 0 eth1
192.168.1.0 * 255.255.255.0 U 0 0 0 eth2

Z Listen jsme oddělal veřejnou IP adresu BBBB. Tedy již tam jsou pouze ty adresy které mají jednotlivá rozhraní.

[locus]

nechápu proč v tom výpisu tam je dvakrát eth1.

[locus]

Router na ADSL mám zyxel p-870hn-53b. Firewall je na 100% vypnut.

[locus]

No mám tušení že problém bude v tom že ten apache neodpovídá. Mám na mysli to že jsem tam zkusil dát ip adresu od ISP1 tedy od wifi a ted to píše Gate way time out, HTTP error code 504.

[lertimir]

No záleží odkud se na adresu BBB pokoušíte připojit. Pokud je to zevnitř vaší sítě, tak to fungovat nemůže. Pokud to nefunguje zvnějšku, pak nemáte správně nastavené port forwarding na tom zyxelu.

[locus]

No zkoušel jsem to přes 3G na mém telefonu. Ale nic se mi nenačetlo.

[locus]

Ale pakety protečou na to rozhraní ale odpovědě od něj již není žádná. Tedy je to o nastaven té síťovky eth1.

[alkoholik]

Kdyby ses obtezoval odpovedet na "včera 16:19 alkoholik", tak bych ti vysvetlil, ze ten tvuj setup je mnohem komplikovanejsi, nez si myslis.
V zasade jde o to, ze server nevi, ze pakety s odpovedi na requst pres eth1 patri zpatky na eth1 a cpe je do default gw, kterou mas nejspis do verejne site pres eth0. A kdyz prehodis default gw na eth1, tak ten samy problem budes mit z druhe strany.

[Filip Jirsák]

Zkuste si na tom rozhraní eth1 pustit tcpdump -ni eth1 'port 80' a zkuste se z venku připojit na ten webový server. Uvidíte, zda tam aspoň nějaké pakety dorazí, nebo zda je chyba už někde dřív.

[locus]

Předělal jsem adresy na eth1 na 172.16.0.171

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth3, link-type EN10MB (Ethernet), capture size 65535 bytes
10:17:14.004694 IP 10.76.94.1.44582 > 172.16.0.171.80: Flags [S], seq 2361285219, win 64240, options [mss 1452,sackOK,TS val 11592828 ecr 0,nop,wscale 1], length 0
10:17:17.087060 IP 10.76.94.1.44582 > 172.16.0.171.80: Flags [S], seq 2361285219, win 64240, options [mss 1452,sackOK,TS val 11593128 ecr 0,nop,wscale 1], length 0
10:17:23.114247 IP 10.76.94.1.44582 > 172.16.0.171.80: Flags [S], seq 2361285219, win 64240, options [mss 1452,sackOK,TS val 11593728 ecr 0,nop,wscale 1], length 0
10:17:34.970359 IP 10.76.94.1.58709 > 172.16.0.171.80: Flags [S], seq 2689337518, win 64240, options [mss 1452,sackOK,TS val 11594928 ecr 0,nop,wscale 1], length 0
10:17:37.538539 IP 10.76.94.1.58709 > 172.16.0.171.80: Flags [S], seq 2689337518, win 64240, options [mss 1452,sackOK,TS val 11595228 ecr 0,nop,wscale 1], length 0
10:17:44.798403 IP 10.76.94.1.58709 > 172.16.0.171.80: Flags [S], seq 2689337518, win 64240, options [mss 1452,sackOK,TS val 11595828 ecr 0,nop,wscale 1], length 0
10:17:56.139000 IP 10.76.94.1.50933 > 172.16.0.171.80: Flags [S], seq 3017943725, win 64240, options [mss 1452,sackOK,TS val 11597028 ecr 0,nop,wscale 1], length 0
10:17:59.113639 IP 10.76.94.1.50933 > 172.16.0.171.80: Flags [S], seq 3017943725, win 64240, options [mss 1452,sackOK,TS val 11597328 ecr 0,nop,wscale 1], length 0
10:18:04.552054 IP 10.76.94.1.50933 > 172.16.0.171.80: Flags [S], seq 3017943725, win 64240, options [mss 1452,sackOK,TS val 11597928 ecr 0,nop,wscale 1], length 0
^C
9 packets captured
9 packets received by filter
0 packets dropped by kernel

[Filip Jirsák]

Odpověď se posílá přes výchozí bránu, tedy přes eth0, jak píše alkoholik. A tam se nemůže udělat opak DNATu, resp. se udělá pro jinou adresu, takže klient dostane odpověď z úplně jiné IP adresy, kterou si samozřejmě nespáruje se svým požadavkem a spojení se nenaváže. Je potřeba buď na routeru dělat i SNAT na IP adresu routeru (tím pádem odpověď ze serveru půjde podle routovacích tabulek zpět na router), nebo použít více routovacích tabulek a pravidla (ip rule) pro výběr správné routovací tabulky.

[locus]

Aha. No přiznám že sem toto nikdy nedělal ale rád bych to zkusil. ADSL modem má pouze funkci trigger port. Tedy mohl byj ste mi prosím říct jak na to? Nebo kde o otom něco najdu. Potřeboval bych aby všechny rozhraní používali nejlépe měli svoi vlastní gateway chápu to správně?
Tedy tak jak eth0 je výchozí pro všechny je potřeba aby eth1 používalo/mělo svojí vlastní gateway.
Pochopil jsem to správně?

[alkoholik]

Zacit muzete treba tady.

[locus]

Něco k těm bránám by nebylo? Chápu tedy správně že je nutné nastavit aby eth3 odesílalo vše zpět na výhozí bránu toho rozhraní tedy toho ADSL modemu a né na eth0?

[locus]

Tedy potřebuji ošetřit to že když píjde požadavek z eth2 tak aby přišla odpověd z eth2 že?

[Filip Jirsák]

Nejjednodušší je tomu rozhraní eth1 přiřadit IP adresu, která bude určena jen pro namapování té veřejné IP adresy. Pak nastavíte pravidlo, že pokud zdrojová IP adresa je tato konkrétní adresa, má se použít speciální routovací tabulka, kde bude jako výchozí brána nastaven ten ADSL modem.

ip rule add from IP_obraz_verejne table adsl

[alkoholik]

On to bude chtit polopate. Uz ted je urcite zmateny nejakou table adsl.
Nechte ho, at si nastuduje dokumentaci.

[locus]

No chápu že je to potřeba udělat pravidla ale moc nechápu to jak to je postaveny. Tedy že jsou nějáké tabulky to chápu ale tak jak je například k apache vše k konfiguraci uloženo /etc/apache2 tak jde najdu konfigurační soubory k těm pravidlům?

[lertimir]

S apachem to vůbec nesouvisí. Apache je aplikace pracující na nějakém (jakémkoliv) TCP spojení na poslouchacím portu. Problém je v nastavení směrovacích tabulek IP protokolu. Tedy server musí vědět, jaká část globálních adres (jaké podsítě) se připojují přes NAT router na rozhraní eth1, aby byl schopen jim posílat pakety jako odpovědi správně na rozhraní eth1 a ne blbě na "default" rozhraní eth0, kde se pak ztratí a nedojdou k cíli.

[Filip Jirsák]

Nastudujte si příkaz ip z balíčku iproute2 – nějaké odkazy najdete také ve zdejším FAQ Jak na připojení k internetu přes dva ISP?. Konfigurační soubory k iproute2 nejsou uložené nikde (až na výjimku uvedenou dále), konfiguruje se přímo jádro voláním příkazu ip. Na základní konfiguraci sítě mívají distribuce skripty, které načítají distribuční konfigurační soubory a podle nich pak volají příkaz ip s příslušnými parametry (případně distribuce patřící do minulého století volají ifconfig a route). Nastavení pravidel a dalších routovacích tabulek musíte udělat stejně – napsat si skript, který to pomocí ip nastaví, a tenhle skript volat při startu systému.

V případě neexistence konfiguračních souborů pro iproute2 existuje jediná výjimka, o které vím, a to je seznam routovací tabulek, který je uložen v souboru /etc/iproute2/rt_tables (tam by byla zapsána ta tabulka adsl, kterou jsme použil v příkladu výše).

Ale teď už jsem vám napsal opravdu vše, co máte v té dokumentaci hledat, ale je potřeba, abyste si to nastudoval sám. Bez toho, abyste pochopil, jak fungují alespoň základy routování na Linuxu, to opravdu nepůjde.