[Comm] хитрый нат

[Comm] хитрый нат

[Michael Varamashvili]

Hу здpаcте community,

  надо сделать вот что:

  есть интерфейс eth1, он смотрит в инет, у него реальный ip, есть внутреннея
  сетка 10.33.20.0/24. У прова есть своя внутренняя сетка, 10.0.0.0/8. Как
  сделать так, что бы если ломимся в инет, то уж в инет, а если нет, то в сетку?
  Я так понял, что просто ip подменять не надо. Сделал так:

[root@router rc.d]# route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
195.49.232.208  *               255.255.255.252 U     0      0        0 eth1
10.33.20.0      *               255.255.255.0   U     0      0        0 eth0
127.0.0.0       *               255.0.0.0       U     0      0        0 lo
default         195.49.232.209  0.0.0.0         UG    0      0        0 eth1

195.49.232.209 - гейт который мне сказали.

eth1      Link encap:Ethernet  HWaddr 4C:00:10:38:44:AA
          inet addr:195.49.232.210  Bcast:195.49.232.211  Mask:255.255.255.252

iptables -t nat -A POSTROUTING -o eth1 --dst ! 10.0.0.0/8 -j SNAT --to-source 195.49.232.210

инет ходит, а внутреннея сетка нет. я понимаю, что что-то с натом, но не понимаю
что... O:)



-----------••••··· [ www.magicssoft.ru | www.kaskadterra.ru | www.sakura.magicssoft.ru ]
С уважением, GiniuS.       mailto:GodsForge@inbox.ru
np: b-z-z-z-z
Tearline: Челoвек сoздан для счастья, как птица для бyльoна.
Origin: И с каждым светом будет тень ...

Re: [Comm] хитрый нат

[Alexandr Leutin]

On Tue, Aug 31, 2004 at 06:01:38PM +0400, Michael Varamashvili wrote:
> Hу здpаcте community,
Ну здрасте.
>   есть интерфейс eth1, он смотрит в инет, у него реальный ip, есть внутреннея
>   сетка 10.33.20.0/24. У прова есть своя внутренняя сетка, 10.0.0.0/8. Как
>   сделать так, что бы если ломимся в инет, то уж в инет, а если нет, то в сетку?
>   Я так понял, что просто ip подменять не надо. Сделал так:
> 
> [root@router rc.d]# route
> Kernel IP routing table
> Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
> 195.49.232.208  *               255.255.255.252 U     0      0        0 eth1
> 10.33.20.0      *               255.255.255.0   U     0      0        0 eth0
> 127.0.0.0       *               255.0.0.0       U     0      0        0 lo
> default         195.49.232.209  0.0.0.0         UG    0      0        0 eth1
> 
> 195.49.232.209 - гейт который мне сказали.
> 
> eth1      Link encap:Ethernet  HWaddr 4C:00:10:38:44:AA
>           inet addr:195.49.232.210  Bcast:195.49.232.211  Mask:255.255.255.252
> 
> iptables -t nat -A POSTROUTING -o eth1 --dst ! 10.0.0.0/8 -j SNAT --to-source 195.49.232.210
> 
> инет ходит, а внутреннея сетка нет. я понимаю, что что-то с натом, но не понимаю
Мне кажется, тут надо крутить route, nat тут не при чем.

-- 
Леутин Александр
Жизнь -- смертельно интересная штука!

Re: [Comm] хитрый нат

[Nick S. Grechukh]

[-- Attachment #1: Type: text/plain, Size: 2105 bytes --]

В сообщении от Вторник 31 Август 2004 17:01 Michael Varamashvili написал(a):
> Hу здpаcте community,
>
>   надо сделать вот что:
>
>   есть интерфейс eth1, он смотрит в инет, у него реальный ip, есть
> внутреннея сетка 10.33.20.0/24. У прова есть своя внутренняя сетка,
> 10.0.0.0/8. Как сделать так, что бы если ломимся в инет, то уж в инет, а
> если нет, то в сетку? Я так понял, что просто ip подменять не надо. Сделал
> так:
> [root@router rc.d]# route
> Kernel IP routing table
> Destination     Gateway         Genmask         Flags Metric Ref    Use
> Iface 195.49.232.208  *               255.255.255.252 U     0      0       
> 0 eth1 10.33.20.0      *               255.255.255.0   U     0      0      
>  0 eth0 127.0.0.0       *               255.0.0.0       U     0      0     
>   0 lo default         195.49.232.209  0.0.0.0         UG    0      0      
>  0 eth1
>
> 195.49.232.209 - гейт который мне сказали.
>
> eth1      Link encap:Ethernet  HWaddr 4C:00:10:38:44:AA
>           inet addr:195.49.232.210  Bcast:195.49.232.211 
> Mask:255.255.255.252
>
> iptables -t nat -A POSTROUTING -o eth1 --dst ! 10.0.0.0/8 -j SNAT
> --to-source 195.49.232.210
>
> инет ходит, а внутреннея сетка нет. я понимаю, что что-то с натом, но не
> понимаю что... O:)
ну здрасьте. проверьте, оно и без ната не работает (в смысле с машины гейта). 
потому что между вашей сеткой (которая действительно является подсетью 
10.0.0.0) и провайдерской стоит интерфей с реальным адресом.

а все потому что: интерфейс 195.49.232.210 не входит в сетку 10.0.0.0. 
следовательно пакеты кидаются на гейтвэй. а поскольку он не указан, то идет 
все на default gw, который в серую сеть уже не пускает. 
(я так подозреваю что в сетку прова вы не вломитесь, независимо от ваших 
внутренних серых адресов, просто потому что _ваш_ шлюз имеет белый адрес и 
находится "в интернете". со всеми вытекающими.)

-- 
Regards, Nick S. Grechukh
NSG1-UANIC
network administrator at many places :-)

=== ALT Linux fortune: ========================
> ... но на самом деле хочется БАСОВ =)))
Тогда нужны КОЛОНКИ :))
  -- mike in community@

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re[2]: [Comm] хитрый нат

[Michael Varamashvili]

Hу здpаcте Alexandr,

Tuesday, August 31, 2004, 6:07:22 PM, вы написали:


>> инет ходит, а внутреннея сетка нет. я понимаю, что что-то с натом, но не понимаю
AL> Мне кажется, тут надо крутить route, nat тут не при чем.
забыл сказать, что своя сетка за eth0 - 10.33.20.1. А нащет ната - просто я что
подкрутил и оно одно время работало, потом докрутилЮ, и перестало :-) теперь
незнаю как назад вернуть :-)



-----------∙∙∙∙╥╥╥ [ www.magicssoft.ru | www.kaskadterra.ru | www.sakura.magicssoft.ru ]
С уважением, GiniuS.       mailto:GodsForge@inbox.ru
np: b-z-z-z-z
Tearline: Доктор, я жить буду? -- Вскрытие покажет.
Origin: to be in your arms forever kill me

Re[2]: [Comm] хитрый нат

[Michael Varamashvili]

Hу здpаcте Nick,

Tuesday, August 31, 2004, 6:13:47 PM, вы написали:

NSG> а все потому что: интерфейс 195.49.232.210 не входит в сетку 10.0.0.0.
NSG> следовательно пакеты кидаются на гейтвэй. а поскольку он не указан, то идет
NSG> все на default gw, который в серую сеть уже не пускает. 
NSG> (я так подозреваю что в сетку прова вы не вломитесь, независимо от ваших 
NSG> внутренних серых адресов, просто потому что _ваш_ шлюз имеет белый адрес и 
NSG> находится "в интернете". со всеми вытекающими.)
При консультации с провом, он сказал, что если ломится из подсетки 10.0.0.0/8 в
этот гейт без подмены адреса, то он там должен меня к себе в сетку зароутить. Я
думаю так.




-----------∙∙∙∙╥╥╥ [ www.magicssoft.ru | www.kaskadterra.ru | www.sakura.magicssoft.ru ]
С уважением, GiniuS.       mailto:GodsForge@inbox.ru
np: b-z-z-z-z
Tearline: "Сон в руку" - сказал он. И вытер руку об одеяло...
Origin: to be in your arms forever kill me

Re: [Comm] хитрый нат

[Nick S. Grechukh]

[-- Attachment #1: Type: text/plain, Size: 1034 bytes --]

В сообщении от Вторник 31 Август 2004 17:23 Michael Varamashvili написал(a):
> Hу здpаcте Nick,
>
> Tuesday, August 31, 2004, 6:13:47 PM, вы написали:
>
> NSG> а все потому что: интерфейс 195.49.232.210 не входит в сетку 10.0.0.0.
> NSG> следовательно пакеты кидаются на гейтвэй. а поскольку он не указан, то
> идет NSG> все на default gw, который в серую сеть уже не пускает.
> NSG> (я так подозреваю что в сетку прова вы не вломитесь, независимо от
> ваших NSG> внутренних серых адресов, просто потому что _ваш_ шлюз имеет
> белый адрес и NSG> находится "в интернете". со всеми вытекающими.)
> При консультации с провом, он сказал, что если ломится из подсетки
> 10.0.0.0/8 в этот гейт без подмены адреса, то он там должен меня к себе в
> сетку зароутить. Я думаю так.
фортунка в тему ;-)
а вообще там с роутингом мутить надо. еще подумаю

-- 
Regards, Nick S. Grechukh
NSG1-UANIC
network administrator at many places :-)

=== ALT Linux fortune: ========================
В теории - да. На практике - посмотрим.
  -- rider in devel@

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]