[Sysadmins] 2IP на одном порту

[Sysadmins] 2IP на одном порту

[Denis S. Kostin]

Здравствуйте, ALT.

Server 4.0 на нем подняты несколько OVZ контейнеров
один из контейнеров должен быть под почту, рпшел его сделать на отдельном IP в датацентре IP выдали но они оба на одном шнурке
раньше достаточно было просто прописать в контейнере внешний IP и все работало а тут ну никак..
подскажите где гвозди то? 

-- 
С уважением,
 Denis                          mailto:admin@3436.ru

Re: [Sysadmins] 2IP на одном порту

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 828 bytes --]

"Denis S. Kostin" <admin-Fk1dS/Hm+zU@public.gmane.org> writes:

> Server 4.0 на нем подняты несколько OVZ контейнеров
> один из контейнеров должен быть под почту, рпшел его сделать на отдельном IP в датацентре IP выдали но они оба на одном шнурке
> раньше достаточно было просто прописать в контейнере внешний IP и все работало а тут ну никак..
> подскажите где гвозди то? 

Ну вам надо либо proxy_arp, либо bridge, либо NAT. На мой взгляд, в
вашем случае проще правильно настроить SNAT и DNAT для контейнера.

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

Re: [Sysadmins] 2IP на одном порту

[Michael Shigorin]

On Sun, Jun 07, 2009 at 02:39:30PM +0400, Ivan Fedorov wrote:
> Ну вам надо либо proxy_arp, либо bridge, либо NAT. На мой взгляд, в
> вашем случае проще правильно настроить SNAT и DNAT для контейнера.

Вот только больно это... так есть в контейнере IP и работай,
а так путайся да вспоминай, что куда засунуто.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] 2IP на одном порту

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 765 bytes --]

Michael Shigorin <mike-nVB1ZwtFQf3sG83rWm+8vg@public.gmane.org> writes:

> On Sun, Jun 07, 2009 at 02:39:30PM +0400, Ivan Fedorov wrote:
>> Ну вам надо либо proxy_arp, либо bridge, либо NAT. На мой взгляд, в
>> вашем случае проще правильно настроить SNAT и DNAT для контейнера.
>
> Вот только больно это... так есть в контейнере IP и работай,
> а так путайся да вспоминай, что куда засунуто.

IMHO пробросить 2-3 порта проще через NAT... тем более, что у меня IP
контейнера в общем случае генерится из его VEID. :)

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

Re: [Sysadmins] 2IP на одном порту

[Konstantin Pavlov]

On Sun, Jun 07, 2009 at 10:04:46PM +0400, Ivan Fedorov wrote:
> Michael Shigorin <mike-nVB1ZwtFQf3sG83rWm+8vg@public.gmane.org> writes:
> 
> > On Sun, Jun 07, 2009 at 02:39:30PM +0400, Ivan Fedorov wrote:
> >> Ну вам надо либо proxy_arp, либо bridge, либо NAT. На мой взгляд, в
> >> вашем случае проще правильно настроить SNAT и DNAT для контейнера.
> >
> > Вот только больно это... так есть в контейнере IP и работай,
> > а так путайся да вспоминай, что куда засунуто.
> 
> IMHO пробросить 2-3 порта проще через NAT... тем более, что у меня IP
> контейнера в общем случае генерится из его VEID. :)

Ты первоначальное сообщение-то прочти ;)

-- 
<gns|miranda> damn
<gns|miranda> how can i set charset in miranda
<hiddenman> gns|miranda: man patch ;-)

Re: [Sysadmins] 2IP на одном порту

[Denis S. Kostin]

Здравствуйте, Ivan.

Вы писали 7 июня 2009 г., 22:04:46:

> Michael Shigorin <mike-nVB1ZwtFQf3sG83rWm+8vg@public.gmane.org> writes:

>> On Sun, Jun 07, 2009 at 02:39:30PM +0400, Ivan Fedorov wrote:
>>> Ну вам надо либо proxy_arp, либо bridge, либо NAT. На мой взгляд, в
>>> вашем случае проще правильно настроить SNAT и DNAT для контейнера.

>> Вот только больно это... так есть в контейнере IP и работай,
>> а так путайся да вспоминай, что куда засунуто.

> IMHO пробросить 2-3 порта проще через NAT... тем более, что у меня IP
> контейнера в общем случае генерится из его VEID.  
да на остальных так и есть...
нужен один определенный контейнер с IP из "шнурка"
еще раз повторюся раньше так и срабатывало просто прописывал и все
на этой инсталяции почему то непрошло.


-- 
С уважением,
 Denis                          mailto:admin@3436.ru

Re: [Sysadmins] 2IP на одном порту

[Michael Shigorin]

On Sun, Jun 07, 2009 at 10:21:12PM +0400, Denis S. Kostin wrote:
> нужен один определенный контейнер с IP из "шнурка"
> еще раз повторюся раньше так и срабатывало просто прописывал и
> все на этой инсталяции почему то непрошло.

"не прошло" -- это пакетики не бегают?  Вообще в документации
OpenVZ есть рекомендация рассматривать HN как маршрутизатор,
а VE как системы _за_ ним; т.е. куда нет маршрутов именно через
HN, туда пакеты и не побегут.

Например, не получится дать контейнеру адрес a.b.E.D/24,
если на HN -- a.b.C.D/24 и C != E (т.е. в разных подсетях).
Работать не будет.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] 2IP на одном порту

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 1288 bytes --]

Michael Shigorin <mike-nVB1ZwtFQf3sG83rWm+8vg@public.gmane.org> writes:

> On Sun, Jun 07, 2009 at 10:21:12PM +0400, Denis S. Kostin wrote:
>> нужен один определенный контейнер с IP из "шнурка"
>> еще раз повторюся раньше так и срабатывало просто прописывал и
>> все на этой инсталяции почему то непрошло.
>
> "не прошло" -- это пакетики не бегают?  Вообще в документации
> OpenVZ есть рекомендация рассматривать HN как маршрутизатор,
> а VE как системы _за_ ним; т.е. куда нет маршрутов именно через
> HN, туда пакеты и не побегут.
>
> Например, не получится дать контейнеру адрес a.b.E.D/24,
> если на HN -- a.b.C.D/24 и C != E (т.е. в разных подсетях).
> Работать не будет.

с фига ли это??? У меня всё так и работает... Просто перед HN стоит
настроящий маршрутизатор который знает, за какой HN какие сети. :)

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

[Sysadmins] [JT] Re: 2IP на одном порту

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 1148 bytes --]

Konstantin Pavlov <thresh-u2l5PoMzF/Uox3rIn2DAYQ@public.gmane.org>
writes:

> On Sun, Jun 07, 2009 at 10:04:46PM +0400, Ivan Fedorov wrote:
>> Michael Shigorin <mike-nVB1ZwtFQf3sG83rWm+8vg@public.gmane.org> writes:
>> 
>> > On Sun, Jun 07, 2009 at 02:39:30PM +0400, Ivan Fedorov wrote:
>> >> Ну вам надо либо proxy_arp, либо bridge, либо NAT. На мой взгляд, в
>> >> вашем случае проще правильно настроить SNAT и DNAT для контейнера.
>> >
>> > Вот только больно это... так есть в контейнере IP и работай,
>> > а так путайся да вспоминай, что куда засунуто.
>> 
>> IMHO пробросить 2-3 порта проще через NAT... тем более, что у меня IP
>> контейнера в общем случае генерится из его VEID. :)
>
> Ты первоначальное сообщение-то прочти ;)

я его не только читал, но и был единственным, кто отвечал на него... :)

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

Re: [Sysadmins] 2IP на одном порту

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 1324 bytes --]

"Denis S. Kostin" <admin-Fk1dS/Hm+zU@public.gmane.org> writes:

>>>> Ну вам надо либо proxy_arp, либо bridge, либо NAT. На мой взгляд, в
>>>> вашем случае проще правильно настроить SNAT и DNAT для контейнера.
>
>>> Вот только больно это... так есть в контейнере IP и работай,
>>> а так путайся да вспоминай, что куда засунуто.
>
>> IMHO пробросить 2-3 порта проще через NAT... тем более, что у меня IP
>> контейнера в общем случае генерится из его VEID.  
> да на остальных так и есть...
> нужен один определенный контейнер с IP из "шнурка"
> еще раз повторюся раньше так и срабатывало просто прописывал и все
> на этой инсталяции почему то непрошло.

Так может попробовать решить проблему, а не искать какой-то "более
хитрый" способ ловли геммороя на свою попу? :)

Ресурс любой попы как бы не вечен!

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

Re: [Sysadmins] [JT] Re: 2IP на одном порту

[Denis S. Kostin]

Здравствуйте, Ivan.

Вы писали 8 июня 2009 г., 0:14:18:

> Konstantin Pavlov <thresh-u2l5PoMzF/Uox3rIn2DAYQ@public.gmane.org>
> writes:

>> On Sun, Jun 07, 2009 at 10:04:46PM +0400, Ivan Fedorov wrote:
>>> Michael Shigorin <mike-nVB1ZwtFQf3sG83rWm+8vg@public.gmane.org> writes:

>>> > On Sun, Jun 07, 2009 at 02:39:30PM +0400, Ivan Fedorov wrote:
>>> >> Ну вам надо либо proxy_arp, либо bridge, либо NAT. На мой взгляд, в
>>> >> вашем случае проще правильно настроить SNAT и DNAT для контейнера.
>>> >
>>> > Вот только больно это... так есть в контейнере IP и работай,
>>> > а так путайся да вспоминай, что куда засунуто.

>>> IMHO пробросить 2-3 порта проще через NAT... тем более, что у меня IP
>>> контейнера в общем случае генерится из его VEID.  

>> Ты первоначальное сообщение-то прочти  

> я его не только читал, но и был единственным, кто отвечал на него...

Да будет вам спорить то :)
лучше давайте поймем из за чего так...
тем кто будет обращатся с подобным вопросом поможет же.... 


-- 
С уважением,
 Denis                          mailto:admin@3436.ru

Re: [Sysadmins] 2IP на одном порту

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 1093 bytes --]

"Denis S. Kostin" <admin-Fk1dS/Hm+zU@public.gmane.org> writes:

> Да будет вам спорить то :)
> лучше давайте поймем из за чего так...
> тем кто будет обращатся с подобным вопросом поможет же.... 

Денис, давайте так, я задам вопрос так, как я его понял, а вы скажете
прав ли я?


Исходные данные такие:

1) У вас есть железная машина на площадке.
2) Есть интерфейс, скажем eth0, на котором есть 2 внешних IP.
3) Есть контейнер, в котором есть smtp сервер, который принимает и
отправляет почту.

Ваша задача такова:

Необходимо, чтобы почта принималась и отправлялась всегда с 1
конкретного IP, висящего на внешнем интерфейсе (условный eth0).

Так?

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

Re: [Sysadmins] 2IP на одном порту

[Denis S. Kostin]

Здравствуйте, Ivan.

Вы писали 8 июня 2009 г., 0:29:47:

> "Denis S. Kostin" <admin-Fk1dS/Hm+zU@public.gmane.org> writes:

>> Да будет вам спорить то  
>> лучше давайте поймем из за чего так...
>> тем кто будет обращатся с подобным вопросом поможет же.... 

> Денис, давайте так, я задам вопрос так, как я его понял, а вы скажете
> прав ли я?


> Исходные данные такие:

> 1) У вас есть железная машина на площадке.
да
> 2) Есть интерфейс, скажем eth0, на котором есть 2 внешних IP.
да
> 3) Есть контейнер, в котором есть smtp сервер, который принимает и
> отправляет почту.
да

> Ваша задача такова:

> Необходимо, чтобы почта принималась и отправлялась всегда с 1
> конкретного IP, висящего на внешнем интерфейсе (условный eth0).

> Так?
да

по аналогии назовем его eth0:1


-- 
С уважением,
 Denis                          mailto:admin@3436.ru

Re: [Sysadmins] 2IP на одном порту

[Afanasov Dmitry]

[-- Attachment #1: Type: text/plain, Size: 950 bytes --]

On Mon, Jun 08, 2009 at 12:29:47AM +0400, Ivan Fedorov wrote:
> Исходные данные такие:
> 
> 1) У вас есть железная машина на площадке.
> 2) Есть интерфейс, скажем eth0, на котором есть 2 внешних IP.
> 3) Есть контейнер, в котором есть smtp сервер, который принимает и
> отправляет почту.
> 
> Ваша задача такова:
> 
> Необходимо, чтобы почта принималась и отправлялась всегда с 1
> конкретного IP, висящего на внешнем интерфейсе (условный eth0).
я конечно терпеть не могу venet'ы и вообще считаю, что HN должен быть
доступен только с физической консоли, но никак не из сети, потому у меня
машрутеры все виртуальные, и я отказался от ovz.

руководствуясь подобной привычной паранойей я б сделал все на мостах и
veth.

1. создать bridge br0 из veth0 и eth0.
2. повесить ip1 внутри контейнера на iface соотвествующем veth0
2. повесить ip2 на br0 (не eth0, а именно мост)

должно работать.

-- 
 С уважением
 Афанасов Дмитрий

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] 2IP на одном порту

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 1101 bytes --]

"Denis S. Kostin" <admin-Fk1dS/Hm+zU@public.gmane.org> writes:

>> Необходимо, чтобы почта принималась и отправлялась всегда с 1
>> конкретного IP, висящего на внешнем интерфейсе (условный eth0).
>
>> Так?
> да


Ну тогда я бы предложил делать так:

EXT_IF=eth0
EXT_BASE_IP=100.1.1.1

# aka eth0:1 в терминах ifconfig, который пора начать забывать
# в пользу iproute2 (hint: ip a) :)
EXT_MAIL_IP=200.2.2.2

MAIL_VE_IP=10.10.10.10

iptables -t nat -A PREROUTING -d $EXT_MAIL_IP -p tcp --dport 25 \
         -j DNAT --to-destination $MAIL_VE_IP

iptables -t nat -A POSTROTING -s $MAIL_VE_IP -o $EXT_IF \
         -j SNAT --to-source $EXT_MAIL_IP

ну и в первом правиле можно вспомнить про multiport и прописать
smtps,imap(s), pop3(s), ssh, etc...

А про то, как делать на bridge вам рассказали в соседнем письме.

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

[Sysadmins] [JT] Re: 2IP на одном порту

[Michael Shigorin]

On Mon, Jun 08, 2009 at 12:12:07AM +0400, Ivan Fedorov wrote:
> Просто

Ага, шулер. :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] 2IP на одном порту

[George V. Kouryachy]

On Sun, Jun 07, 2009 at 11:50:56AM +0400, Denis S. Kostin wrote:
> Здравствуйте, ALT.
> 
> Server 4.0 на нем подняты несколько OVZ контейнеров
> один из контейнеров должен быть под почту, рпшел его сделать на отдельном IP в датацентре IP выдали но они оба на одном шнурке
> раньше достаточно было просто прописать в контейнере внешний IP и все работало а тут ну никак..
> подскажите где гвозди то? 
На внешнем ethernet не надо выставлять второй IP, только в контейнере.
По идее, мозг OVZ, видя нормальный внешний адрес, сам добавит вотрой IP
в таблицу анонсов ARP (т. е. изобразит "proxy ARP").

Разумеется, на host-машине должна быть включена маршрутизация
# grep ip_forward /etc/net/sysctl.conf
net.ipv4.ip_forward = 1

Возможно, что-то из этого отломалось, скорее всего, первое. На мозг
можно наплевать и анонсировать контейнерный IP вручную. Что-то типа
# ip n add proxy a.dd.re.ss dev eth0

-- 
			George V. Kouryachy (aka Fr. Br. George)
			mailto:george at altlinux_org

Re: [Sysadmins] 2IP на одном порту

[Michael Shigorin]

On Fri, Jun 12, 2009 at 07:19:06PM +0400, George V. Kouryachy wrote:
> По идее, мозг OVZ, видя нормальный внешний адрес, сам добавит
> вотрой IP в таблицу анонсов ARP (т. е. изобразит "proxy ARP").

Кажется, у них в доке упоминалось, что надо сделать самому.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/