Dotaz: nejede iptables + ip alias + dnat

[Petr]

Dobry den,

Mam na stroji nahozeno virtualni rozhrani eth0:0

#ip addr show dev eth0
2: eth0: <BROADCAST,MULTICAST,UP> mtu 1500 qdisc pfifo_fast qlen 1000
    link/ether 00:0d:87:31:77:3b brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.8/24 brd 192.168.1.255 scope global eth0
    inet 192.168.1.248/24 brd 192.168.1.255 scope global secondary eth0:0

a nyni bych potreboval presmerovat vsechny pozadavky co smeruji na rozhrani 192.168.1.248 (eth0:0) na ip 192.168.1.4.

Zkousel sem iptables (DNAT), ale toto nefunguje

# iptables -L -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       all  --  anywhere             192.168.1.248      to:192.168.1.111 

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination  

#iptables -L 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Nevim proc, ale tato politika je ignorovana. Kdyz dam telnet 192.168.1.248 25, dostanu se na smtp server na 192.168.1.8 a ne na 192.168.1.111, jak bych potreboval.

Dekuji moc za kazdou radu (snad krome google ;))

S pozdravem

Petr

Odpovědi

[vampi]

a -j REDIRECT -to 192.168.1.4 jsi zkoušel? :)

[vampi]

aha, to jsem napsal pěkný nesmysl :)

drž se svého DNATu :))

a co INPUT a OUTPUT rules na routeru, možná to bude potřebovat i FORWARD pravidla? :)

[Petr]

A to prave netusim ;) Zkousel jsem i FORWARD, ale nijak to nepomohlo. Jinak tam zadny dalsi router neni. Proste dva stroje na LAN. Na te 192.168.1.4 je sice jeste firewall, ale prime pripojeni jede, takze v tom snad problem nebude.

Posledni (stale nefunkcni) zapis je:

Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       all  --  anywhere             192.168.1.248  to:192.168.1.4

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             192.168.1.4

[Petr]

Jinak koukam, ze cas od casu zamenuju ip adresy ;)) Ale to neni ten problem - hraji si se 192.168.1.111 a 192.168.1.4. Nemuzu se dostat ani na jednu ;)

[vampi]

a jaká je tedy topologie sitě? :) zatím to chápu tak že máš jeden comp s nějakou adresou a jednou síťovkou a na stejné síti někde jinde máš ten druhý a chceš, aby pakety které chodí na tenhle chodily na ten druhý?? :)

[Michal Kubeček]

Nejčastěji bývá problémem to, že zapomenete příslušné pakety povolit v řetězci FORWARD (tabulka filter). Případně zakázaný IP forwarding (/proc/sys/net/ipv4/ip_forward).

Mam na stroji nahozeno virtualni rozhrani eth0:0

Nemáte. To je jen iluze, kterou vytváří příkaz ifconfig. Ve skutečnosti žádné takové rozhraní (ani virtuální) neexistuje. Právě při nastavování paketového filtru je důležité mít to na paměti, protože když zkusíte to fiktivní rozhraní použít v podmínce -i nebo -o, se zlou se potážete.

[Petr]

Aha. Ok ;) A jak bych to tedy mel nastavit, aby to delalo to co potrebuji ? ;) ip_forward je 1, ostatni viz vyse.

Diky moc. Petr

[Michal Kubeček]

Teď jsem si teprve všiml, že vy překládáte na adresu, která je ve stejném rozsahu jako ta vaše. Takže problém bude nejspíš v tom, že cílový počítač posílá odpovědi přímo a vy je tak nemůžete přenatovat zpět. Zkuste trochu naznačit, jak vypadá topologie té sítě a čeho vlastně chcete docílit. Obecně jsou v podobných případech dobrými pomocníky tcpdump nebo ethereal, protože vám ukážou, kde přesně se pakety ztrácejí nebo špatně překládají.

[Petr]

Ok. Snazim se o nasledujici:

Chcipl pocitac A - uzivatele se na nej odkazuji pres IP (takze DNSkou ho nepresmeruji). Je tu jiny pocitac C, ktery by ho mohl zastoupit, ale nemohu menit jeho konfiguraci (pridat ip alias apod.), takze bych chtel pouzit prostrednika - pocitac B, ktery by mel adresu A a vsechny pozadavky predal C ;) Asi blbost, ze ? ;) Jinak to pak ma vypadat takhle:

client se spojuje s A -> B (ma nyni adresu A) zrejme DNATem prelozi cilovou adresu na C -> C zpracuje a odpovi (vse je na jedne ip siti, muze odpovedet primo clientovi) -> client

Muze to tak vubec fungovat ? Pripadne s jakou konfiguraci iptables ? Diky. Petr

[Michal Kubeček]

Jestli jsou všechny tři na stejném segmentu, proč rovnou tomu C nenastavíte druhou IP adresu (tu, kterou měl původně A)? Připadalo by mi to zdaleka nejjednodušší, patlat se s NATem je v takovém případě úplně zbytečné.

Problém ve vaší konfiguraci je v tom, že když přenatujete A na C, odpověď od C jde přímo klientovi, ale jako zdrojová adresa je tam C, takže klient to nepovažuje za odpověď (on navazoval spojení s A, ne s C). Řešením by bylo přenatovat i zdrojovou adresu (na B), aby odpověď šla zpátky k B a ten ji mohl přeložit zpět na správné adresy. Je to ovšem takové drbání se levou nohou za pravým uchem, daleko přirozenější by mi připadalo řešení, které jsem uvedl v předchozím odstavci.

[Petr]

Diky moc za vysvetleni. To mne netrklo. Mate samozrejme pravdu, ale jak sem psal vyse - nemohu ted s tim C pocitacem nic delat - admin je na dovolene a ja si nedovolim mu na to sahat ;)

Jeste jednou diky moc, Petr