[Sysadmins] bridge & iptables MASQUERADE

[Sysadmins] bridge & iptables MASQUERADE

[Sergey]

Приветствую. 

Наткнулся на некоторую неприятную особенность ядра и хотелось бы надеяться,
что это баг, а не фича. Хотелось бы разобраться. Итак, имеем

iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -j MASQUERADE

Среди прочего есть 

# brctl show
bridge name     bridge id               STP enabled     interfaces
bridge1         8000.0015172652e5       yes             eth0.22
                                                        eth6.22

Там ещё 802.1q, но, наверное, это не очень важно. eth0.22 и eth6.22
без IP-адресов. Если в сегменте Ethernet, который образуется из
двух других этим bridge1, использовать адреса, например, из 192.168.1.0/24,
связи через бридж нет, tcpdump же показывает, что включился NAT для этого
трафика ! При этом есть один интересный момент. Если на самом bridge1 
поднять IP, то появляется дорожка для изначального обмена MAC-ами. То есть,
всё начинает работать. Без NAT просто работает, и без IP на bridge1.

И вот кажется мне, что таки это какая-то бага всё-таки, а не фича.
2.6.18-ovz-smp-alt24. Кто что думает ?

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] bridge & iptables MASQUERADE

[Sergey]

On Saturday 11 April 2009, Sergey wrote:

> 2.6.18-ovz-smp-alt24.

с 2.6.27-ovz-smp-alt3 аналогично.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] bridge & iptables MASQUERADE

[Владимир]

Sergey пишет:
> Приветствую. 
>
> Наткнулся на некоторую неприятную особенность ядра и хотелось бы надеяться,
> что это баг, а не фича. Хотелось бы разобраться. Итак, имеем
>
>   

> И вот кажется мне, что таки это какая-то бага всё-таки, а не фича.
> 2.6.18-ovz-smp-alt24. Кто что думает ?
>
>   

Просто bridge не аппаратный, а эмулируется на уровнях ISO/OSI выше 2 level,
что необходимо учитывать.
Так что, ни вашим, ни нашим, пусть это будет "специфика".


-- 
Vladimir Kholmanov
fmfm@mmascience.ru
fmfm@mma.ru

Re: [Sysadmins] bridge & iptables MASQUERADE

[Sergey]

On Monday 13 April 2009, Владимир wrote:

> > И вот кажется мне, что таки это какая-то бага всё-таки, а не фича.
> > 2.6.18-ovz-smp-alt24. Кто что думает ?
> 
> Просто bridge не аппаратный, а эмулируется на уровнях ISO/OSI выше 2 level,
> что необходимо учитывать.
> Так что, ни вашим, ни нашим, пусть это будет "специфика".

Не хотелось бы такой специфики... Повесил
http://bugzilla.kernel.org/show_bug.cgi?id=13079
Посмотрю, куда пошлют...

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] bridge & iptables MASQUERADE

[Sergey]

On Monday 13 April 2009, Владимир wrote:

> > Наткнулся на некоторую неприятную особенность ядра и хотелось бы надеяться,
> > что это баг, а не фича. Хотелось бы разобраться. Итак, имеем
> 
> > И вот кажется мне, что таки это какая-то бага всё-таки, а не фича.
> > 2.6.18-ovz-smp-alt24. Кто что думает ?

Кстати, какая-то непонятность. Если сделать

iptables -t nat -A POSTROUTING -s 192.168.1.1/24 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -j MASQUERADE

бридж начинает работать. А вот

iptables -t nat -A POSTROUTING -o eth0.22 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth6.22 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -j MASQUERADE

что-то не помогает, хотя, вроде бы, одно и то же... 

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] bridge & iptables MASQUERADE

[Sergey]

On Monday 13 April 2009, Sergey wrote:

> -s 192.168.1.1/24

192.168.1.0/24 конечно.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] bridge & iptables MASQUERADE

[Sergey]

On Monday 13 April 2009, Владимир wrote:

> > Наткнулся на некоторую неприятную особенность ядра и хотелось бы
> > надеяться, что это баг, а не фича. Хотелось бы разобраться. Итак,
> > имеем 
 
> > И вот кажется мне, что таки это какая-то бага всё-таки, а не фича.
> > 2.6.18-ovz-smp-alt24. Кто что думает ?
 
> Просто bridge не аппаратный, а эмулируется на уровнях ISO/OSI выше 2 level,
> что необходимо учитывать. Так что, ни вашим, ни нашим, пусть это будет 
> "специфика". 

А оно даже описано. Только этот пример с iptables в описании ebtables
почему-то: http://ebtables.sourceforge.net/br_fw_ia/br_fw_ia.html

The catch is in the first line. Because the iptables code gets executed
for both bridged packets and routed packets, we need to make a distinction
between the two. We don't really want the bridged frames/packets to be
masqueraded.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] bridge & iptables MASQUERADE

[Maks Re]

у меня похожая картинка. как бороться не понял

на гейте: два физических интерфейса (wan, lan).
создан br0  и к нему привязан lan

выход в инет - поднимается ppp0 (pptp) через wan (у меня корбина)

делаю правила маскарадинга или snat - результат какой-то неожиданный

у меня на гейте две внутренние сетки одна - локальная сеть
(192.168.100.0/24), 
вторая - контейнеры ovz (192.168.102.0/24). 

не смог понять как "оно" работает. потому что работать оно начинает и
заканчивает и снова начинает...
выражается это в следующем

в firefox открывается соединение к веб узлу (у меня это всегда
rian.ru), и потом висит в ожидании ответа сервера. 

в claws-mail - долго пытается
подключиться к imap.google.com и кушает много процессора. работать
почтовик не может пока не получит ответ, а ответа нету...

машинка - бранч 5.0
ядро - 2.6.27-ovz-smp-alt3



> On Monday 13 April 2009, Владимир wrote:
> 
> > > Наткнулся на некоторую неприятную особенность ядра и хотелось бы
> > > надеяться, что это баг, а не фича. Хотелось бы разобраться. Итак,
> > > имеем 
>  
> > > И вот кажется мне, что таки это какая-то бага всё-таки, а не фича.
> > > 2.6.18-ovz-smp-alt24. Кто что думает ?
>  
> > Просто bridge не аппаратный, а эмулируется на уровнях ISO/OSI выше
> > 2 level, что необходимо учитывать. Так что, ни вашим, ни нашим,
> > пусть это будет "специфика". 
> 
> А оно даже описано. Только этот пример с iptables в описании ebtables
> почему-то: http://ebtables.sourceforge.net/br_fw_ia/br_fw_ia.html
> 
> The catch is in the first line. Because the iptables code gets
> executed for both bridged packets and routed packets, we need to make
> a distinction between the two. We don't really want the bridged
> frames/packets to be masqueraded.
> 

Re: [Sysadmins] bridge & iptables MASQUERADE

[Sergey]

On Tuesday 14 April 2009, Maks Re wrote:

> у меня на гейте две внутренние сетки одна - локальная сеть
> (192.168.100.0/24), 
> вторая - контейнеры ovz (192.168.102.0/24). 
> 
> не смог понять как "оно" работает. потому что работать оно начинает и
> заканчивает и снова начинает...
> выражается это в следующем
 
А что по поводу iptabls -nL -t nat ?

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] bridge & iptables MASQUERADE

[Maks Re]

>  
> А что по поводу iptabls -nL -t nat ?
> 

# iptables -nvL -t nat
Chain PREROUTING (policy ACCEPT 1117K packets, 121M bytes)
 pkts bytes target     prot opt in     out     source               destination
 1056 51104 DNAT       tcp  --  *      *       0.0.0.0/0            89.179.x.y      tcp dpt:33573 to:192.168.100.12:33573
    0     0 DNAT       tcp  --  *      *       0.0.0.0/0            89.179.x.y      tcp dpt:33574 to:192.168.100.15:33574
    1    60 DNAT       tcp  --  *      *       0.0.0.0/0            89.179.x.y      tcp dpt:80 to:192.168.102.55:80
12969  656K DNAT       tcp  --  *      *       0.0.0.0/0            89.179.x.y      tcp dpt:33575 to:192.168.100.11:33575

Chain POSTROUTING (policy ACCEPT 21297 packets, 1240K bytes)
 pkts bytes target     prot opt in     out     source               destination
    1   462 MASQUERADE  all  --  *      *       192.168.122.0/24    !192.168.122.0/24
  547 61928 ACCEPT     all  --  *      *       192.168.100.0/24     192.168.100.0/24
    0     0 ACCEPT     all  --  *      *       192.168.102.0/24     192.168.102.0/24
24860 1350K SNAT       all  --  *      ppp0    192.168.100.0/24     0.0.0.0/0           to:89.179.x.y
    0     0 SNAT       all  --  *      ppp0    192.168.102.0/24     0.0.0.0/0           to:89.179.x.y

Chain OUTPUT (policy ACCEPT 5994 packets, 471K bytes)
 pkts bytes target     prot opt in     out     source destination

но как-то все странно.

установил свежее ядро 2.6.27-std-def-alt15
немного улучшилось, работа с маскарадингом/снат и пр...
но что-то "не то"
 на 2.6.27-ovz-smp-alt4 еще не проверял

Re: [Sysadmins] bridge & iptables MASQUERADE

[Sergey]

On Friday 17 April 2009, Maks Re wrote:

> # iptables -nvL -t nat
 
Есть некоторые непонятности. Получается, во-первых, что есть NAT между
192.168.100.0/24 и 192.168.102.0/24, во-вторых, в любом случае есть
DNAT при доступе к 89.179.x.y. Надо ли оно ? Ну и 
  547 61928 ACCEPT     all  --  *      *       192.168.100.0/24     192.168.100.0/24
    0     0 ACCEPT     all  --  *      *       192.168.102.0/24     192.168.102.0/24
получаются не нужны. Вроде...

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] bridge & iptables MASQUERADE

[Michael Shigorin]

On Fri, Apr 17, 2009 at 09:56:57AM +0500, Sergey wrote:
> > # iptables -nvL -t nat
> Есть некоторые непонятности. Получается, во-первых, что есть
> NAT между 192.168.100.0/24 и 192.168.102.0/24, во-вторых, в
> любом случае есть DNAT при доступе к 89.179.x.y. Надо ли оно ?

Если *NAT несимметричен, жди проблем.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] bridge & iptables MASQUERADE

[Michael Shigorin]

On Fri, Apr 17, 2009 at 09:42:18AM +0300, I wrote:
> On Fri, Apr 17, 2009 at 09:56:57AM +0500, Sergey wrote:
> > > # iptables -nvL -t nat
> > Есть некоторые непонятности. Получается, во-первых, что есть
> > NAT между 192.168.100.0/24 и 192.168.102.0/24, во-вторых, в
> > любом случае есть DNAT при доступе к 89.179.x.y. Надо ли оно ?
> Если *NAT несимметричен, жди проблем.

*не симметричен / асимметричен, конечно.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] bridge & iptables MASQUERADE

[Sergey]

On Friday 17 April 2009, Michael Shigorin wrote:

> > Есть некоторые непонятности. Получается, во-первых, что есть
> > NAT между 192.168.100.0/24 и 192.168.102.0/24, во-вторых, в
> > любом случае есть DNAT при доступе к 89.179.x.y. Надо ли оно ?
> 
> Если *NAT несимметричен, жди проблем.
 
Я имел ввиду, что всё, что касается NAT, надо попробовать к
внешнему интерфейсу привязать, ppp0 в данном случае. Так как
внутри он там не нужен скорее всего.

-- 
С уважением, Сергей
a_s_y@sama.ru