Маршрутизация туплю

tcpdump или wireshark в помощь
прозреваю, что отвечающий хост шлют пакеты на стандартный шлюз, а тот не знает где искать 10.0.0.0 ну или что-то в этом духе

Я ствил hub между DMZ и железкой echo-request на железку попадпет, счётчик маршрута на ней увеличивается. Ставил hub от железки в LAN там тишина. Меня сейчас не интересует кто куда отвечает потом. Интересует почему при отключенной фильтрации пакет из DMZ не вываливается через LAN интерфейс.

PS Я просто не понимаю почему и начинаю сомневаться в своих знаниях, как host маршрутизирует пакеты.

Железка Zyxel ZyWALL 70.

я конечно не сильный спец, но вот эта запись..

10.0.0.0 00 16 enet0 192.168.2.1

это ж как выходит - гейтвей за пределами сети? емнип низзя так.

Там все правильно, а ты не с той стороны смотришь.

Теоретически из ДМЗ в ЛАН не должно быть трафика, на то он и ДМЗ, чтобы интернет от локалки изолировать. Может где-то еще есть правила режущие трафик из ДМЗ в ЛАН.

Нужно релеить почту с почтовика DMZ на почтовик в LAN и обратно. Естественно правилами будет всё ограничено. Так решено начальством и всё тут. Резаться нигде кроме железки сейчас не может. Правила временно на ней LAN-DMZ DMZ-LAN forward. NAT отключен временно. Я не понимаю почему эта штуковина игнорирует маршрут? Если она не просматривает таблицу маршрутизации дважды (ну всякое может быть), я ей прописывал маршрут к хосту 10.0.0.x/32 gw 192.168.2.1. Маршрут встаёт естесттвенно в верх таблицы. Всё равно ничего.

Блин второй день каким-то бредом занимаюсь.....

1. ХЗ что там в этой железке.
2. по-хорошему из почтовика в DMZ вся почта должна вытягиваться из ЛАНа (fetchmail'ом например).

>Так решено начальством и всё тут.

3. А ты кто? Тупой исполнитель, без права голоса?

Почтовик в DMZ буферный, он не имеет локальной доставки, маилбоксов и пользователей,он только копит почту в очереди, если не может релеить, и проверяет почту на спам и вирусы. Так сделано уже давно и меняться не будет. Я не принимаю архитектурных решений по сроку службы. Но это к теме не относится.

Вроде в этой железяке по умолчанию коннекты из DMZ в LAN запрещены. Что сказано в мануале, вроде там все с примерами должно быть? А с почтового сервера можно принговать 192.168.2.1 и 192.168.2.2?

С локального сервера пакеты доходят до 192.168.2.2.

Дело в том, что при отключенном файрволе в логах Zyxel:

TCP packet filter not matched (set: 2,rule: 3) xx.xx.xx.xx:3478 10.0.0.xx:25 ACCESS BLOCK.

Чем он ещё пытается матчить пакет если пакетный фильтр отключен и вовсех цепочках по умолчанию FORWARD временно?

Насчёт коннектов из DMZ в LAN всё там настраивается если пишешь правило например для адреса назначения из сети LAN интерфейса (192.168.2.0).

При включенном фильтре

Маршрут DMZ -> 10.0.0.0 тоже как бы подпадает под DMZ->LAN, но так как 10.0.0.0 не принадлежит сети 192.168.2.0, роутер не применяет к этому маршруту правила цепочки DMZ->LAN и вываливается даже не на политику по умолчанию - BLOCKED, а на такое же сообщение packet filter not matched. (Если пакет подпадает под правило это можно явно увидеть в логах - цепочка такая-то, правило № такое-то, действие)

Я конечно могу перестать упираться в это пробросив порты через 192.168.2.1, но как то хотелось бы разобраться именно способом простой маршрутизации.

Может кто пользуется именно этой моделью и есть опыт?

Разобрался, тема закрыта.

У этого устройства два уровня фильтрации

Packet filter (правила на in-out для интерфейсов) - управляется только с консоли. Он и резал пакеты.

Firewall - управляется через web.

Отключение Firewall не отключает packet filter.

Packet filter первичен, если он без правил, пакет передаётся firewall.

В моём случае, до меня, в packet filter понаписали правил с завершающим действием DROP (может были основания). Если пакет не попадает под правила, он не отдаётся на уровень firewall.

Пришлось дописывать свои правила.

Вобщем надо было сразу почитать документацию - интуитивно непонятная штука.