Re: [Sysadmins] проблема с iptables

Re: [Sysadmins] проблема с iptables

[Andrii Dobrovol`s`kii]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

Vladislav Y Gusev wrote:
> День добрый!
> 
> Не подскажете по iptables? Не удаётся наладить нормальную
> работу одной железяки за натом. Железяке нужен неограниченных
> доступ к определённому хосту в сети Интернет, с которым
> устройство поднимает защищённого ipsec-соединение. Обычно в
> подобных случаях я добавлял правило в таблицу filter/FORWARD
> вида "-i eth1 -o eth0 -s <внутр.адрес железяки> -d <хост в сети
> Интернет> -j ACCEPT" И это всегда работало. Всё работало
> поначалу и с этим устройством, а потом вдруг начались проблемы:
> разрывы сессии, невозможность соединиться с хостом... При
> включении устройства напрямую мимо ната в шлюз провайдера с 
> выделением отдельного "белого" ip-адреса устройство работает
> идеально. При работе за аппаратным натом (примитивный роутер
> tp-link) - тоже никаких проблем. А вот через linux-шлюз
> работать не получается. Если добавить аналогичное правило
> только с "-j LOG", то видно, что правило срабатывает и пакеты
> отправляются. Jul  2 18:17:27 alt-serv kernel: IN=eth1
> OUT=eth0 SRC=192.168.153.250 DST=<host> LEN=33 TOS=0x00
> PREC=0xC0 TTL=254 ID=51 PROTO=UDP SPT=4500 DPT=4500 LEN=13
> 
> Не подскажите, в чём может быть загвоздка? Я даже не пойму, в
> какую сторону смотреть. Особенно сбивает с толку, что
> устройство нормально проработало за iptables почти месяц, а
> теперь ни в какую...
> 
> У меня используется Кентавр: #uname -srv Linux
> 2.6.32-el-smp-alt27 #1 SMP Tue Sep 20 19:35:51 UTC 2011
> 
> # rpm -qa | grep ipta alterator-net-iptables-4.18-alt2 
> iptables-1.4.10-alt1
> 
> -- С уважением, Гусев Владислав Юрьевич
Я бы для начала поизучал логи на момент неработоспособности. И
учитывал все пакеты для обоих хостов. может и появится ответ.
Может наблюдается эпизодический перегуз шлюза...
- -- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************************************************************
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.13 (GNU/Linux)
Comment: Using GnuPG with SeaMonkey - http://www.enigmail.net/

iF4EAREIAAYFAlHWk0sACgkQpBPgR3404hP22gEAxg4cwcDPgcOdwnZfjxeIYsOM
db/5HpxM/w1qHHu/nPkBAKiR9deMaCpUHWNAfKRAXqP0iVO8LE/OHbx6jPEtoqdQ
=l6Li
-----END PGP SIGNATURE-----

Re: [Sysadmins] HA: Re: проблема с iptables

[Andrii Dobrovol`s`kii]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

Vladislav Y Gusev wrote:
> sysadmins-bounces@lists.altlinux.org написано 05.07.2013
> 13:35:08:
> 
>> Я бы для начала поизучал логи на момент неработоспособности.
>> И учитывал все пакеты для обоих хостов. может и появится
>> ответ. Может наблюдается эпизодический перегуз шлюза...
> 
> Прошу прощения у сообщества, я нашёл решение проблемы! С
> iptables всё ок. Совершенное невероятным образом оказалось, что
> на одной из машин офиса был прописан secondary ip и он был
> равен адресу моего устройства. Никто не может понять как это
> получилось и какой в этом смысл, т.к. два ip из одной сети
> глупость несусветная.
> 
> А помог в решении проблемы ipplan. Я когда устройство
> скроссировал напрямую через маршрутизатор провайдера, удалил
> запись о внутреннем ip из ipplan. Сегодня увидел что поллер
> опять вернул запись на место. Начали разбираться и нашли ПК с
> двумя ip. Так что всем рекомендую использовать в работе IPAM.
> 
> Спасибо всем откликнувшимся за участие.
> 
Решать конечно Вам. Но, учитывая обособленость целевого хоста,
появление дублирующего IP выглядит не очень безобидно. Но, это уже
не вопросы IT...

- -- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************************************************************
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.13 (GNU/Linux)
Comment: Using GnuPG with SeaMonkey - http://www.enigmail.net/

iF4EAREIAAYFAlHWtTQACgkQpBPgR3404hNDIQD/VotBc8/bDHxX5+tRRmp9X0JE
jreEALp4LF7tY+aqIzIA/2OSSpWACAP3MlSEFkRfhxrQSN/CqqhvvKIcH6XkL/3H
=HU/b
-----END PGP SIGNATURE-----

Re: [Sysadmins] HA: Re: проблема с iptables

[Sergey]

On Friday 05 July 2013, Vladislav Y Gusev wrote:

> т.к. два ip из одной сети глупость несусветная. 

Неовсем так... На разные IP можно вешать разные штуки.
Иногда это удобно. Как пример, сходу, Cyrus-IMAP с 
мультидоменной конфигурацией.

-- 
С уважением, Сергей
a_s_y@sama.ru