* Re: [Sysadmins] проблема с iptables
@ 2013-07-05 9:35 ` Andrii Dobrovol`s`kii
0 siblings, 1 reply; 3+ messages in thread
From: Andrii Dobrovol`s`kii @ 2013-07-05 9:35 UTC (permalink / raw)
To: ALT Linux sysadmins' discussion
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256
Vladislav Y Gusev wrote:
> День добрый!
>
> Не подскажете по iptables? Не удаётся наладить нормальную
> работу одной железяки за натом. Железяке нужен неограниченных
> доступ к определённому хосту в сети Интернет, с которым
> устройство поднимает защищённого ipsec-соединение. Обычно в
> подобных случаях я добавлял правило в таблицу filter/FORWARD
> вида "-i eth1 -o eth0 -s <внутр.адрес железяки> -d <хост в сети
> Интернет> -j ACCEPT" И это всегда работало. Всё работало
> поначалу и с этим устройством, а потом вдруг начались проблемы:
> разрывы сессии, невозможность соединиться с хостом... При
> включении устройства напрямую мимо ната в шлюз провайдера с
> выделением отдельного "белого" ip-адреса устройство работает
> идеально. При работе за аппаратным натом (примитивный роутер
> tp-link) - тоже никаких проблем. А вот через linux-шлюз
> работать не получается. Если добавить аналогичное правило
> только с "-j LOG", то видно, что правило срабатывает и пакеты
> отправляются. Jul 2 18:17:27 alt-serv kernel: IN=eth1
> OUT=eth0 SRC=192.168.153.250 DST=<host> LEN=33 TOS=0x00
> PREC=0xC0 TTL=254 ID=51 PROTO=UDP SPT=4500 DPT=4500 LEN=13
>
> Не подскажите, в чём может быть загвоздка? Я даже не пойму, в
> какую сторону смотреть. Особенно сбивает с толку, что
> устройство нормально проработало за iptables почти месяц, а
> теперь ни в какую...
>
> У меня используется Кентавр: #uname -srv Linux
> 2.6.32-el-smp-alt27 #1 SMP Tue Sep 20 19:35:51 UTC 2011
>
> # rpm -qa | grep ipta alterator-net-iptables-4.18-alt2
> iptables-1.4.10-alt1
>
> -- С уважением, Гусев Владислав Юрьевич
Я бы для начала поизучал логи на момент неработоспособности. И
учитывал все пакеты для обоих хостов. может и появится ответ.
Может наблюдается эпизодический перегуз шлюза...
- --
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua Kyiv, Ukraine
Phone: (380-44) 525-7824 Department of Gas Electronics
Fax: (380-44) 525-2329 Institute of Physics of NASU
*********************************************************************
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.13 (GNU/Linux)
Comment: Using GnuPG with SeaMonkey - http://www.enigmail.net/
iF4EAREIAAYFAlHWk0sACgkQpBPgR3404hP22gEAxg4cwcDPgcOdwnZfjxeIYsOM
db/5HpxM/w1qHHu/nPkBAKiR9deMaCpUHWNAfKRAXqP0iVO8LE/OHbx6jPEtoqdQ
=l6Li
-----END PGP SIGNATURE-----
^ permalink raw reply [flat|nested] 3+ messages in thread
* Re: [Sysadmins] HA: Re: проблема с iptables
@ 2013-07-05 11:59 ` Andrii Dobrovol`s`kii
2013-07-15 9:46 ` Sergey
1 sibling, 0 replies; 3+ messages in thread
From: Andrii Dobrovol`s`kii @ 2013-07-05 11:59 UTC (permalink / raw)
To: ALT Linux sysadmins' discussion
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256
Vladislav Y Gusev wrote:
> sysadmins-bounces@lists.altlinux.org написано 05.07.2013
> 13:35:08:
>
>> Я бы для начала поизучал логи на момент неработоспособности.
>> И учитывал все пакеты для обоих хостов. может и появится
>> ответ. Может наблюдается эпизодический перегуз шлюза...
>
> Прошу прощения у сообщества, я нашёл решение проблемы! С
> iptables всё ок. Совершенное невероятным образом оказалось, что
> на одной из машин офиса был прописан secondary ip и он был
> равен адресу моего устройства. Никто не может понять как это
> получилось и какой в этом смысл, т.к. два ip из одной сети
> глупость несусветная.
>
> А помог в решении проблемы ipplan. Я когда устройство
> скроссировал напрямую через маршрутизатор провайдера, удалил
> запись о внутреннем ip из ipplan. Сегодня увидел что поллер
> опять вернул запись на место. Начали разбираться и нашли ПК с
> двумя ip. Так что всем рекомендую использовать в работе IPAM.
>
> Спасибо всем откликнувшимся за участие.
>
Решать конечно Вам. Но, учитывая обособленость целевого хоста,
появление дублирующего IP выглядит не очень безобидно. Но, это уже
не вопросы IT...
- --
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua Kyiv, Ukraine
Phone: (380-44) 525-7824 Department of Gas Electronics
Fax: (380-44) 525-2329 Institute of Physics of NASU
*********************************************************************
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.13 (GNU/Linux)
Comment: Using GnuPG with SeaMonkey - http://www.enigmail.net/
iF4EAREIAAYFAlHWtTQACgkQpBPgR3404hNDIQD/VotBc8/bDHxX5+tRRmp9X0JE
jreEALp4LF7tY+aqIzIA/2OSSpWACAP3MlSEFkRfhxrQSN/CqqhvvKIcH6XkL/3H
=HU/b
-----END PGP SIGNATURE-----
^ permalink raw reply [flat|nested] 3+ messages in thread
* Re: [Sysadmins] HA: Re: проблема с iptables
2013-07-05 11:59 ` [Sysadmins] HA: " Andrii Dobrovol`s`kii
@ 2013-07-15 9:46 ` Sergey
1 sibling, 0 replies; 3+ messages in thread
From: Sergey @ 2013-07-15 9:46 UTC (permalink / raw)
To: ALT Linux sysadmins' discussion
On Friday 05 July 2013, Vladislav Y Gusev wrote:
> т.к. два ip из одной сети глупость несусветная.
Неовсем так... На разные IP можно вешать разные штуки.
Иногда это удобно. Как пример, сходу, Cyrus-IMAP с
мультидоменной конфигурацией.
--
С уважением, Сергей
a_s_y@sama.ru
^ permalink raw reply [flat|nested] 3+ messages in thread
end of thread, other threads:[~2013-07-15 9:46 UTC | newest]
Thread overview: 3+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2013-07-05 9:35 ` [Sysadmins] проблема с iptables Andrii Dobrovol`s`kii
2013-07-05 11:59 ` [Sysadmins] HA: " Andrii Dobrovol`s`kii
2013-07-15 9:46 ` Sergey
ALT Linux sysadmins discussion
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/sysadmins/0 sysadmins/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 sysadmins sysadmins/ http://lore.altlinux.org/sysadmins \
sysadmins@lists.altlinux.org sysadmins@lists.altlinux.ru sysadmins@lists.altlinux.com
public-inbox-index sysadmins
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.sysadmins
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git