LINUX.ORG.RU
Форум — Admin  

IPTABLES интернет шлюз снова


0

0

Имеется главный сервер ip-10.0.68.1 от него по сети(DHCP) подключен второй компьюьтер(linux rh9)ip-10.0.68.242. От второго компьютера подключено еще два пользоваетльских на винде через вторую сетвуху которая смотрит на эти два компа, ее ip-192.168.1.1 255.255.255.0 тоесть получается что необходимо из второго компютера сделать интернет шлюз на эти два пользоваетльскиз виндовых компа прописал правила:
Вот новый /etc/sysconfig/iptables:
*nat :PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A FORWARD -s 168.192.1.0/24 -p icmp -i eth1 -j ACCEPT
-A FORWARD -d 168.192.1.0/24 -p icmp -o eth1 -j ACCEPT
-A FORWARD -s 168.192.1.0/24 -p udp -m udp --dport 53 -i eth1 -j ACCEPT
-A FORWARD -d 168.192.1.0/24 -p udp -m udp --sport 53 -o eth1 -j ACCEPT
-A FORWARD -s 168.192.1.0/24 -p tcp -m multiport --dports 20,21,25,80,110,8080 -i eth1 -j ACCEPT
-A FORWARD -d 168.192.1.0/24 -p tcp -m multiport --sports 20,21,25,80,110,8080 -o eth1 -j ACCEPT
COMMIT
После них стал работать ping 10.0.68.1(Главный сервер)а трасировка на главный проходит через второй сервер (192.168.1.1) Но интеренета на компьютерах нет, уверене что проблема в правилах Как решить проблему с интернетом на двух пользоваетльских компьютерах???

Как мне посоветовали здесь ранее добавил: -A INPUT -m state --state RELATED,ESTABLISHED и получился ткой конфиг /etc/sysconfig/iptables:
*nat :PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED
-A FORWARD -s 168.192.1.0/24 -p icmp -i eth1 -j ACCEPT
-A FORWARD -d 168.192.1.0/24 -p icmp -o eth1 -j ACCEPT
-A FORWARD -s 168.192.1.0/24 -p udp -m udp --dport 53 -i eth1 -j ACCEPT
-A FORWARD -d 168.192.1.0/24 -p udp -m udp --sport 53 -o eth1 -j ACCEPT
-A FORWARD -s 168.192.1.0/24 -p tcp -m multiport --dports 20,21,25,80,110,8080 -i eth1 -j ACCEPT
-A FORWARD -d 168.192.1.0/24 -p tcp -m multiport --sports 20,21,25,80,110,8080 -o eth1 -j ACCEPT
COMMIT
Но это не привело к появление интернета на пользовательских компьютерах.Что не так?

anonymous

читаю.. а чего ты не зарегился? вроде минутка...

AndreyKl ★★★★★
()

я бы попробовал так:

*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -j MASQUERADE
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT


просто и легко.. должно заработать, после этого настраивай файрволл.. так же попробуй

# echo 1 > /proc/sys/net/ipv4/ip_forward

но судя по тому чо пинг пошёл, это должно быть уже так..

AndreyKl ★★★★★
()
Ответ на: комментарий от AndreyKl

Ну так пинг пошел после добавления правил перчисленных выше,значит без правил никак инета в локалке не будет.
Причем на сервере ничего не настроено кроме iptables и ip_forward.Может надо чтото еще настроить????.
Плюс еще настраивал route -n,вечером выложу route

Dronnikkl
()
Ответ на: комментарий от Dronnikkl

файрвол - это правила для iptables, которые запретят все пакеты кроме нужных.. ты попробуй как выше написано, везде полиси аксепт, и только одно правило. после этого инет должен быть по идее.. ну и echo 1 > ... на всякий случай.. если нет, кидай сюда iptables-save, route -n, cat /proc/sys/net/ipv4/ip_forward ..

AndreyKl ★★★★★
()

Во-первых, -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT, а не -A INPUT -m state --state RELATED,ESTABLISHED. Во-вторых, все правила, кроме -A POSTROUTING -o eth0 -j MASQUERADE лишние, т.к. у тебя и так политика по умолчанию стоит ACCEPT для всех видов трафика. Далее, на вендовых компах должен быть прописан шлюзом RH9. Тебе придется либо поднимать DHCP на RH9, либо прописывать на вендах статические ip из диапазона 192.168.1.0/24. Правила -A FORWARD -s 168.192.1.0/24... удали до тех пор, пока не разберешься что они значат.

В общем:

# fgrep ip_forward /etc/sysctl.conf

net.ipv4.ip_forward=1

Из правил оставь только MASQUERADE. В поле *filter добавь -A FORWARD -i eth1 -m state --state INVALID,NEW -j DROP чтобы транзит пакетов работал только для локалки 192.168.1.0.

Смотри адрес, маску и шлюз на вендах.

mutronix ★★★★
()
Ответ на: комментарий от mutronix

Ceravno internet ne rabotaet na polzovatelskux kompax v lokalke,Jto opyat ne tak??) Iptables: *nat :PREROUTING ACCEPT [0:0] :POSTROUTING ACCEPT [0:0] :OUTPUT ACCEPT [0:0] -A POSTROUTING -o eth0 -j MASQUERADE COMMIT *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT COMMIT Route -n: Destination Gateway Genmask Flags Metric Ref Use Iface 10.0.68.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1 169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth1 127.0.0.0 0.0.0.0 255.0.0.0 U 0 0 0 lo 0.0.0.0 10.0.68.1 0.0.0.0 UG 0 0 0 eth0 cat /proc/sys/net/ipv4/ip_forward: 1

Dronnikkl
()
Ответ на: комментарий от Dronnikkl

Ceravno internet ne rabotaet na polzovatelskux kompax v lokalke,Jto opyat ne tak??)
Iptables:
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
Route -n:
Destination Gateway Genmask Flags Metric Ref Use Iface
10.0.68.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth1
127.0.0.0 0.0.0.0 255.0.0.0 U 0 0 0 lo
0.0.0.0 10.0.68.1 0.0.0.0 UG 0 0 0 eth0
cat /proc/sys/net/ipv4/ip_forward:
1

Dronnikkl
()
Ответ на: комментарий от Dronnikkl

сделай так

-A POSTROUTING -j MASQUERADE

а НЕ так

-A POSTROUTING -o eth0 -j MASQUERADE

только одно правило: -A POSTROUTING -j MASQUERADE

(обрати внимание, без -o eth0)

после этого должно всё работать. Если нет - пиши.

AndreyKl ★★★★★
()
Ответ на: комментарий от AndreyKl

если не сработает.. будем разбираться :) не отчаивайся.. но всё ж, должно работать после одного правила и полиси аксепт (полиси у тебя верные).

AndreyKl ★★★★★
()
Ответ на: комментарий от Dronnikkl

да, ещё одно:

убедись, что на клиентских машинах прописан основной шлюз 192.168.1.1.

AndreyKl ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin