[Comm]routing problems, iptables?

[Comm]routing problems, iptables?

[CyberSkunk]

Доброго времени суток.

Есть провайдер. Инет через адсл-модем.
Есть IP адрес(IP_ADDR1).
Есть второй IP от того же провайдера(IP_ADDR2).
Хочется сделать DNAT на машину из локальной сети(LAN_IP)на машине
с IP_ADDR1 типа

iptables -t nat -A PREROUTING -d IP_ADDR2 -j DNAT --to-destinnation LAN_IP

чтобы при коннекте из инета на IP_ADDR2 пакеты порекидывались в локалку
на LAN_IP машиной с IP_ADDR1.
Не работает.
Откуда могут ноги расти? Как можно эти ноги поискать?

-- 
Best regards,
 CyberSkunk                          mailto:cyberskunk@gmail.com

Re: [Comm]routing problems, iptables?

[Наумкин Сергей]

Здравствуйте, CyberSkunk.

Доброго времени суток.

Есть провайдер. Инет через адсл-модем.
Есть IP адрес(IP_ADDR1).
Есть второй IP от того же провайдера(IP_ADDR2).
Хочется сделать DNAT на машину из локальной сети(LAN_IP)на машине
с IP_ADDR1 типа

iptables -t nat -A PREROUTING -d IP_ADDR2 -j DNAT --to-destinnation LAN_IP

чтобы при коннекте из инета на IP_ADDR2 пакеты порекидывались в локалку
на LAN_IP машиной с IP_ADDR1.
Не работает.
Откуда могут ноги расти? Как можно эти ноги поискать?

-- 
Best regards,
 CyberSkunk                          mailto:cyberskunk@gmail.com

_______________________________________________
Community mailing list
Community@altlinux.ru
https://lists.altlinux.ru/mailman/listinfo/community

Ну вопервых обратный трафик надо выпустит (выполнять SNAT)
во вторых форвардинг пакетов разрешить
в третьих в таблице filter указать соответствующие правила для
транзитных пакетов( цепочка FORWARD)


-- 
С уважением,
 Наумкин Сергей

Re[2]: [Comm]routing problems, iptables?

[CyberSkunk]

> Есть провайдер. Инет через адсл-модем.
> Есть IP адрес(IP_ADDR1).
> Есть второй IP от того же провайдера(IP_ADDR2).
> Хочется сделать DNAT на машину из локальной сети(LAN_IP)на машине
> с IP_ADDR1 типа

> iptables -t nat -A PREROUTING -d IP_ADDR2 -j DNAT --to-destinnation LAN_IP

> чтобы при коннекте из инета на IP_ADDR2 пакеты порекидывались в локалку
> на LAN_IP машиной с IP_ADDR1.
> Не работает.
> Откуда могут ноги расти? Как можно эти ноги поискать?

> -- 
> Best regards,
>  CyberSkunk                          mailto:cyberskunk@gmail.com

> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> https://lists.altlinux.ru/mailman/listinfo/community

> Ну вопервых обратный трафик надо выпустит (выполнять SNAT)
А разве DNAT не делает обратную замену адреса? Впрочем, это не важно,
я пробовал и нечто вроде
 iptables -t nat -A POSTROUTING -s ! LAN_IP -j SNAT --to-source\
 IP_ADDR_1
 iptables -t nat -A POSTROUTING -s LAN_IP -j SNAT --to-source\
 IP_ADDR2
> во вторых форвардинг пакетов разрешить
А я из этой локалки, так что если бы бы его не было, я бы не смог
письма послать:)
> в третьих в таблице filter указать соответствующие правила для
> транзитных пакетов( цепочка FORWARD)
Есть такое дело.

Но все равно не пашет.

-- 
Best regards,
 CyberSkunk                            mailto:cyberskunk@gmail.com

Re[3]: [Comm]routing problems, iptables?

[Наумкин Сергей]

Здравствуйте, CyberSkunk.

> Есть провайдер. Инет через адсл-модем.
> Есть IP адрес(IP_ADDR1).
> Есть второй IP от того же провайдера(IP_ADDR2).
> Хочется сделать DNAT на машину из локальной сети(LAN_IP)на машине
> с IP_ADDR1 типа

> iptables -t nat -A PREROUTING -d IP_ADDR2 -j DNAT --to-destinnation LAN_IP

> чтобы при коннекте из инета на IP_ADDR2 пакеты порекидывались в локалку
> на LAN_IP машиной с IP_ADDR1.
> Не работает.
> Откуда могут ноги расти? Как можно эти ноги поискать?

> -- 
> Best regards,
>  CyberSkunk                          mailto:cyberskunk@gmail.com

> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> https://lists.altlinux.ru/mailman/listinfo/community

> Ну вопервых обратный трафик надо выпустит (выполнять SNAT)
А разве DNAT не делает обратную замену адреса? Впрочем, это не важно,
я пробовал и нечто вроде
 iptables -t nat -A POSTROUTING -s ! LAN_IP -j SNAT --to-source\
 IP_ADDR_1
 iptables -t nat -A POSTROUTING -s LAN_IP -j SNAT --to-source\
 IP_ADDR2
> во вторых форвардинг пакетов разрешить
А я из этой локалки, так что если бы бы его не было, я бы не смог
письма послать:)
> в третьих в таблице filter указать соответствующие правила для
> транзитных пакетов( цепочка FORWARD)
Есть такое дело.

Но все равно не пашет.

-- 
Best regards,
 CyberSkunk                            mailto:cyberskunk@gmail.com

_______________________________________________
Community mailing list
Community@altlinux.ru
https://lists.altlinux.ru/mailman/listinfo/community

InetIP -Реальный адрес машины в инете
SrvIP  -IP адрес машины в сети на которую осуществляется маршрутизация
echo "1" > /proc/sys/net/ipv4/ip_forward включаем форвардинг пакетов ядре
iptables -t nat -A POSTROUTING -s 0/0 -j SNAT --to-source IP_ADDR_1 SrvIP

-- 
С уважением,
 Наумкин Сергей

Re[4]: [Comm]routing problems, iptables?

[CyberSkunk]

Hello Наумкин,

Thursday, October 13, 2005, 2:30:14 PM, you wrote:

> Здравствуйте, CyberSkunk.

>> Есть провайдер. Инет через адсл-модем.
>> Есть IP адрес(IP_ADDR1).
>> Есть второй IP от того же провайдера(IP_ADDR2).
>> Хочется сделать DNAT на машину из локальной сети(LAN_IP)на машине
>> с IP_ADDR1 типа

>> iptables -t nat -A PREROUTING -d IP_ADDR2 -j DNAT --to-destinnation LAN_IP

>> чтобы при коннекте из инета на IP_ADDR2 пакеты порекидывались в локалку
>> на LAN_IP машиной с IP_ADDR1.
>> Не работает.
>> Откуда могут ноги расти? Как можно эти ноги поискать?

>> -- 
>> Best regards,
>>  CyberSkunk                          mailto:cyberskunk@gmail.com

>> _______________________________________________
>> Community mailing list
>> Community@altlinux.ru
>> https://lists.altlinux.ru/mailman/listinfo/community

>> Ну вопервых обратный трафик надо выпустит (выполнять SNAT)
> А разве DNAT не делает обратную замену адреса? Впрочем, это не важно,
> я пробовал и нечто вроде
>  iptables -t nat -A POSTROUTING -s ! LAN_IP -j SNAT --to-source\
>  IP_ADDR_1
>  iptables -t nat -A POSTROUTING -s LAN_IP -j SNAT --to-source\
>  IP_ADDR2
>> во вторых форвардинг пакетов разрешить
> А я из этой локалки, так что если бы бы его не было, я бы не смог
> письма послать:)
>> в третьих в таблице filter указать соответствующие правила для
>> транзитных пакетов( цепочка FORWARD)
> Есть такое дело.

> Но все равно не пашет.

> -- 
> Best regards,
>  CyberSkunk                            mailto:cyberskunk@gmail.com

> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> https://lists.altlinux.ru/mailman/listinfo/community

> InetIP -Реальный адрес машины в инете
> SrvIP  -IP адрес машины в сети на которую осуществляется маршрутизация
echo "1" >> /proc/sys/net/ipv4/ip_forward включаем
echo "1" >> форвардинг пакетов ядре
это понятно
> iptables -t nat -A POSTROUTING -s 0/0 -j SNAT --to-source IP_ADDR_1 SrvIP
не совсем понял что при этом происходит,
но выяснил такую штуку:
если запустить на хосте, который проводит маршрутизацию
tcpdump -i eth0 dst IP_ADDR2
и попробовать с удаленной машины пингануть IP_ADDR2, то я вижу
14:34:50.899457 arp who-has IP_ADDR2 tell IP_PROV_GW
где IP_PROV_GW - адрес провайдеровского гейтвея. Что с этим можно
сделать?
-- 
Best regards,
 CyberSkunk                            mailto:cyberskunk@gmail.com

Re: Re[2]: [Comm]routing problems, iptables?

[Alexander Volkov]

On Thu, 13 Oct 2005 14:23:40 +0400, CyberSkunk <cyberskunk gmail.com>  
wrote:

>> iptables -t nat -A PREROUTING -d IP_ADDR2 -j DNAT --to-destinnation  
>> LAN_IP
>
>> чтобы при коннекте из инета на IP_ADDR2 пакеты порекидывались в локалку
>> на LAN_IP машиной с IP_ADDR1.
>> Не работает.
>> Откуда могут ноги расти? Как можно эти ноги поискать?

yне хватает записи в цепочке FORWARD

-- 
Regards, Alexander.

Re[5]: [Comm]routing problems, iptables? - SOLUTION?

[CyberSkunk]

>> Здравствуйте, CyberSkunk.

>>> Есть провайдер. Инет через адсл-модем.
>>> Есть IP адрес(IP_ADDR1).
>>> Есть второй IP от того же провайдера(IP_ADDR2).
>>> Хочется сделать DNAT на машину из локальной сети(LAN_IP)на машине
>>> с IP_ADDR1 типа

>>> iptables -t nat -A PREROUTING -d IP_ADDR2 -j DNAT --to-destinnation LAN_IP

>>> чтобы при коннекте из инета на IP_ADDR2 пакеты порекидывались в локалку
>>> на LAN_IP машиной с IP_ADDR1.
>>> Не работает.
>>> Откуда могут ноги расти? Как можно эти ноги поискать?

>>> --
>>> Best regards,
>>>  CyberSkunk                          mailto:cyberskunk@gmail.com

>>> _______________________________________________
>>> Community mailing list
>>> Community@altlinux.ru
>>> https://lists.altlinux.ru/mailman/listinfo/community

>>> Ну вопервых обратный трафик надо выпустит (выполнять SNAT)
>> А разве DNAT не делает обратную замену адреса? Впрочем, это не важно,
>> я пробовал и нечто вроде
>>  iptables -t nat -A POSTROUTING -s ! LAN_IP -j SNAT --to-source\
>>  IP_ADDR_1
>>  iptables -t nat -A POSTROUTING -s LAN_IP -j SNAT --to-source\
>>  IP_ADDR2
>>> во вторых форвардинг пакетов разрешить
>> А я из этой локалки, так что если бы бы его не было, я бы не смог
>> письма послать:)
>>> в третьих в таблице filter указать соответствующие правила для
>>> транзитных пакетов( цепочка FORWARD)
>> Есть такое дело.

>> Но все равно не пашет.

>> --
>> Best regards,
>>  CyberSkunk                            mailto:cyberskunk@gmail.com

>> _______________________________________________
>> Community mailing list
>> Community@altlinux.ru
>> https://lists.altlinux.ru/mailman/listinfo/community

>> InetIP -Реальный адрес машины в инете
>> SrvIP  -IP адрес машины в сети на которую осуществляется маршрутизация
echo "1" >> /proc/sys/net/ipv4/ip_forward включаем
echo "1" >> форвардинг пакетов ядре
>это понятно
>> iptables -t nat -A POSTROUTING -s 0/0 -j SNAT --to-source IP_ADDR_1 SrvIP
>не совсем понял что при этом происходит,
>но выяснил такую штуку:
>если запустить на хосте, который проводит маршрутизацию
>tcpdump -i eth0 dst IP_ADDR2
>и попробовать с удаленной машины пингануть IP_ADDR2, то я вижу
>14:34:50.899457 arp who-has IP_ADDR2 tell IP_PROV_GW
>где IP_PROV_GW - адрес провайдеровского гейтвея. Что с этим можно
>сделать?
>--
>Best regards,
> CyberSkunk                            mailto:cyberskunk@gmail.com
Мне помогло дописывание статической записи в arp-кэш внешнего
интерфейса, не знаю уж насколько это правильно:
arp -i eth0 -Ds IP_ADDR2 eth0 pub
где eth0 - интерфейс с адресом IP_ADDR1
--
Best regards,
 CyberSkunk                            mailto:cyberskunk@gmail.com

Re: [Comm][JT]routing problems, iptables?

[Metalking]

В сообщении от 12 Октябрь 2005 19:29 Наумкин Сергей написал(a):
> Здравствуйте, CyberSkunk.
>
> Доброго времени суток.
>
> Есть провайдер. Инет через адсл-модем.
> Есть IP адрес(IP_ADDR1).
> Есть второй IP от того же провайдера(IP_ADDR2).
> Хочется сделать DNAT на машину из локальной сети(LAN_IP)на машине
> с IP_ADDR1 типа
>
> iptables -t nat -A PREROUTING -d IP_ADDR2 -j DNAT --to-destinnation LAN_IP
>
> чтобы при коннекте из инета на IP_ADDR2 пакеты порекидывались в локалку
> на LAN_IP машиной с IP_ADDR1.
> Не работает.
> Откуда могут ноги расти? Как можно эти ноги поискать?
>
> --
> Best regards,
>  CyberSkunk                          mailto:cyberskunk@gmail.com
>
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> https://lists.altlinux.ru/mailman/listinfo/community
>
> Ну вопервых обратный трафик надо выпустит (выполнять SNAT)
> во вторых форвардинг пакетов разрешить
> в третьих в таблице filter указать соответствующие правила для
> транзитных пакетов( цепочка FORWARD)
В подписи пишите: "С уважением", а на самом деле этого не видно!!!
Конечно все мы не без греха, но так издеваться над Русским языком (и 
следовательно над ВСЕМИ читателями рассылки) нехорошо. Тем более вам уже не 
раз говорили про это.
Неужели трудно настроить проверку орфографии в The Bat? Также неплохо было бы 
из уважения ко всем правильно цитировать чужие письма.  Посмотрите сами: 
исходный текст вопроса не отмечен и сливается с ответом - читать крайне 
неудобно!

[Comm] Re: [JT]routing problems, iptables?

[Michael Shigorin]

On Thu, Oct 13, 2005 at 10:55:34PM +0400, Metalking wrote:
> Конечно все мы не без греха

...а потому сообщать замеченные недочёты всегда лучше лично.
Будьте -- добры :-)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/