Re: [Sysadmins] проблема с iptables

[Andrii Dobrovol`s`kii <dobr@iop.kiev.ua>]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

Vladislav Y Gusev wrote:
> День добрый!
> 
> Не подскажете по iptables? Не удаётся наладить нормальную
> работу одной железяки за натом. Железяке нужен неограниченных
> доступ к определённому хосту в сети Интернет, с которым
> устройство поднимает защищённого ipsec-соединение. Обычно в
> подобных случаях я добавлял правило в таблицу filter/FORWARD
> вида "-i eth1 -o eth0 -s <внутр.адрес железяки> -d <хост в сети
> Интернет> -j ACCEPT" И это всегда работало. Всё работало
> поначалу и с этим устройством, а потом вдруг начались проблемы:
> разрывы сессии, невозможность соединиться с хостом... При
> включении устройства напрямую мимо ната в шлюз провайдера с 
> выделением отдельного "белого" ip-адреса устройство работает
> идеально. При работе за аппаратным натом (примитивный роутер
> tp-link) - тоже никаких проблем. А вот через linux-шлюз
> работать не получается. Если добавить аналогичное правило
> только с "-j LOG", то видно, что правило срабатывает и пакеты
> отправляются. Jul  2 18:17:27 alt-serv kernel: IN=eth1
> OUT=eth0 SRC=192.168.153.250 DST=<host> LEN=33 TOS=0x00
> PREC=0xC0 TTL=254 ID=51 PROTO=UDP SPT=4500 DPT=4500 LEN=13
> 
> Не подскажите, в чём может быть загвоздка? Я даже не пойму, в
> какую сторону смотреть. Особенно сбивает с толку, что
> устройство нормально проработало за iptables почти месяц, а
> теперь ни в какую...
> 
> У меня используется Кентавр: #uname -srv Linux
> 2.6.32-el-smp-alt27 #1 SMP Tue Sep 20 19:35:51 UTC 2011
> 
> # rpm -qa | grep ipta alterator-net-iptables-4.18-alt2 
> iptables-1.4.10-alt1
> 
> -- С уважением, Гусев Владислав Юрьевич
Я бы для начала поизучал логи на момент неработоспособности. И
учитывал все пакеты для обоих хостов. может и появится ответ.
Может наблюдается эпизодический перегуз шлюза...
- -- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************************************************************
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.13 (GNU/Linux)
Comment: Using GnuPG with SeaMonkey - http://www.enigmail.net/

iF4EAREIAAYFAlHWk0sACgkQpBPgR3404hP22gEAxg4cwcDPgcOdwnZfjxeIYsOM
db/5HpxM/w1qHHu/nPkBAKiR9deMaCpUHWNAfKRAXqP0iVO8LE/OHbx6jPEtoqdQ
=l6Li
-----END PGP SIGNATURE-----