LINUX.ORG.RU
Форум — Admin  

Failover routing. Iptables.


0

0

Добрый день,
Я вот пытался настроить автоматическое переключение между двумя ISP.
С помощью скрипта с ping и такой-то матери.
А потом нашел статью, в которой делается то, что мне нужно, при помощи
iptables.

Всё отлично работает, но там есть такое:
Next, you need to configure iptables by adding certain rules, so that
your internal LAN can route packets to the Internet. For this, issue
the following commands as root:

# iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
# iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
# iptables -A FORWARD -s 10.0.0.0/24 -j ACCEPT
# iptables -A FORWARD -d 10.0.0.0/24 -j ACCEPT
# iptables -A FORWARD -s ! 10.0.0.0/24 -j DROP

Инструкцию iptables сейчас читаю, Но я - человек, измученый нарзаном.
Подскажите пожалуйста, как эти правила позволяют "internal LAN can route packets to the Internet"?

anonymous
← Adaptec ASR-5805 и ядра 2.4
yum update не обновлять нужные пакеты →

Я конечно не силен в iptables, но похоже на то, что эти правила настраивают маскарадинг(я так понял один из видов nat) для сети 10.0.0.0/24.В общем трансляция адресов.Почитай про nat

enelen
()

> # iptables -A FORWARD -s 10.0.0.0/24 -j ACCEPT > # iptables -A FORWARD -d 10.0.0.0/24 -j ACCEPT > # iptables -A FORWARD -s ! 10.0.0.0/24 -j DROP

Кто ж так пишет?...

Разрешаем из локалки в интернет:

iptables -A FORWARD -s 10.0.0.0/24 -j ACCEPT

Разрешаем ответы от веб-сайтов и прочие соединения в нашу сторону:

iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

Больше ничего не надо.

anonymous
()
Ответ на: комментарий от anonymous

>Кто ж так пишет?...

Мотороллер не мой, я просто спросил. Спасибо, так тоже работает.

anonymous
()

правила в которых FORWARD - это разрешение хождения пакетов.
там где POSTROUTING - это трансляция локальных адресов в адрес интерфейса, куда роутиться пакет.
а собсно сам роутинг осуществляется благодаря двум equal cost маршрутам:

# route add default gw 61.16.130.97 dev eth0
# route add default gw 200.15.110.90 dev eth1

chocholl ★★
()
Ответ на: комментарий от chocholl 

Да, это всё хорошо.
А если после ISPшного гейта 61.16.130.97 будет стоять маршрутизатор,
который, к примеру, сдохнет, - ядро будет использовать failover
маршрут?

У меня - не получилось.
Писать скрипт c ping?

anonymous
()
Ответ на: комментарий от anonymous

нет, так как доступность первого хопа останется.
для более продвинутого файловера договаривайся с провайдером касательно bgp и private as.

chocholl ★★
()
Ответ на: комментарий от chocholl 

Ох, теперь я вижу.
Последний раз bgp согласовывали полгода.

Написал недодемона с fping.
Спасибо.

anonymous
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Adaptec ASR-5805 и ядра 2.4
Admin
yum update не обновлять нужные пакеты →