[Comm] TROUBLE WITH MASQURADING

[Comm] TROUBLE WITH MASQURADING

[Alexey S. Kuznetsov]

Привет всем!
       У меня такая странная проблема....стоит сервер на нём:
       ALT Linux Castle (build 20010806)
       Kernel 2.4.7-alt2-up on an i686
Он служит роутером для пользователей локальной сети..
в этом сервере стоит 2 сетевые карты:

# ifconfig
eth0      Link encap:Ethernet  HWaddr xx:xx:xx:xx:xx:xx
          inet addr:XXX.XXX.XXX.XXX  Bcast:XXX.XXX.XXX.XXX  Mask:255.255.255.248
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:483229 errors:0 dropped:0 overruns:0 frame:0
          TX packets:428862 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:355752537 (339.2 Mb)  TX bytes:71221956 (67.9 Mb)
          Interrupt:11 Base address:0xb000

eth1      Link encap:Ethernet  HWaddr 00:02:44:6D:4E:FD
          inet addr:192.168.2.1  Bcast:192.168.2.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:455832 errors:0 dropped:0 overruns:0 frame:0
          TX packets:525389 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:78712480 (75.0 Mb)  TX bytes:350367889 (334.1 Mb)
          Interrupt:10 Base address:0xd000
       

Стоит ipchains c таким вот правилом: ipchains -I forward -s 192.168.2.0/24 -j MASQ
Работает cbq:
К КЛИЕТУ:
DEVICE=eth1,10Mbit,1Mbit
RATE=32Kbit
WEIGHT=32Kbit
PRIO=5
RULE=,192.168.2.14

ОТ КЛИЕНТА:
DEVICE=eth1,10Mbit,1Mbit
RATE=32Kbit
WEIGHT=32Kbit
PRIO=5
RULE=,192.168.2.14

В общем вроде всё работает, трафик зажимает....НО
# trafshow -i eth1 -n
показывает всё нормально: от удалённых узлов на локальные адреса идёт
трафик

# trafshow -i eth0 -n
показывает трафик НЕЗАШЕЙПЕНЫЙ и опять же с удалённых адреов на
локальные....хотя должно показывать только коннекты на мой реальный
IP. Раньше так и было. Каким образом вообще на внешнем интерфейсы
могут оказаться внутренние ip??

Кто-нибудь сталкивался с такой ситуацией??

-- 
Sincerely,
Alexey S. Kuznetsov
AK2351-RIPE

Re: [Comm] TROUBLE WITH MASQURADING

[Alexandr R. Ogurtzoff]

On Monday 21 March 2005 21:16, Alexey S. Kuznetsov wrote:
> Привет всем!
>        У меня такая странная проблема....стоит сервер на нём:
>        ALT Linux Castle (build 20010806)
>        Kernel 2.4.7-alt2-up on an i686

> Стоит ipchains c таким вот правилом: ipchains -I forward -s 192.168.2.0/24
 А может лучше iptables на 2.4 то ядре?
-- 
Best regards
Alexandr R. Ogurtzoff
{
UNIX is user friendly, it's just picky about who its friends are
}

Re[2]: [Comm] TROUBLE WITH MASQURADING

[Alexey S. Kuznetsov]

Hello!

Monday, March 21, 2005, 3:02:19 AM, you wrote:

> On Monday 21 March 2005 21:16, Alexey S. Kuznetsov wrote:
>> Привет всем!
>>        У меня такая странная проблема....стоит сервер на нём:
>>        ALT Linux Castle (build 20010806)
>>        Kernel 2.4.7-alt2-up on an i686

>> Стоит ipchains c таким вот правилом: ipchains -I forward -s 192.168.2.0/24
>  А может лучше iptables на 2.4 то ядре?
нет....у меня стоит ipchains и есть проблема...её нужно
решить..переходить на iptables я не собираюсь


-- 
Sincerely,
Alexey S. Kuznetsov
AK2351-RIPE

Re: [Comm] TROUBLE WITH MASQURADING

[Dmytro O. Redchuk]

On Mon, Mar 21, 2005 at 11:16:50AM -0800, Alexey S. Kuznetsov wrote:
> Привет всем!
>        У меня такая странная проблема....стоит сервер на нём:
>        ALT Linux Castle (build 20010806)
>        Kernel 2.4.7-alt2-up on an i686
> Он служит роутером для пользователей локальной сети..
> в этом сервере стоит 2 сетевые карты:
> 
> # ifconfig
> eth0      Link encap:Ethernet  HWaddr xx:xx:xx:xx:xx:xx
>           inet addr:XXX.XXX.XXX.XXX  Bcast:XXX.XXX.XXX.XXX  Mask:255.255.255.248
[...]

> eth1      Link encap:Ethernet  HWaddr 00:02:44:6D:4E:FD
>           inet addr:192.168.2.1  Bcast:192.168.2.255  Mask:255.255.255.0
[...]
> Стоит ipchains c таким вот правилом: ipchains -I forward -s 192.168.2.0/24 -j MASQ

> # trafshow -i eth0 -n
> показывает трафик НЕЗАШЕЙПЕНЫЙ и опять же с удалённых адреов на
> локальные....хотя должно показывать только коннекты на мой реальный
> IP. Раньше так и было. Каким образом вообще на внешнем интерфейсы
> могут оказаться внутренние ip??
Обычно я делал ещё (могу уже "путать педали" -- пишу по памяти):

# 
# запретить форвардинг из внешнего мира:
ipchains -A forward -i eth0 -o eth1 -l DENY
#
# разрешить input на внешний интерфейс только для "ответов" маскарадингу
# (гляньте в доке адреса используемых маскарадом портов):
ipchains -A input -i eth0 -d XXX.XXX.XXX.XXX --dport 60000:61000 -j ACCEPT
#
# запретить всё остальное на внешнем интерфейсе
# (**BE SURE** to разрешить то, что действительно нужно):
ipchains -A input -i eth0 -j DENY

> 
> Кто-нибудь сталкивался с такой ситуацией??
Нет :-)


Переходите на iptables, ну его в баню. Не пожалеете.

> 
> -- 
> Sincerely,
> Alexey S. Kuznetsov
> AK2351-RIPE

-- 
  _,-=._              /|_/|
  `-.}   `=._,.-=-._.,  @ @._,
     `._ _,-.   )      _,.-'
        `    G.m-"^m`m'        Dmytro O. Redchuk