LINUX.ORG.RU
Форум — Admin  

Помогите разобраться с маршрутизацией, или подскажите как быть.


0

0

В моем распоряжении есть 5 интернет адресов
х.х.х.2
. . .
х.х.х.6

сеть х.х.х.0 / 255.255.255.248

от точки с адресом х.х.х.1 идет шнурок, это провайдерская девайсина.
сейчас использую х.х.х.2, к нему подключен этот шнурок, и адрес х.х.х.1 прописан в качестве гетвея. х.х.х.2 имеет 4 сетевых интерфейса, 3 локалки и 1 внешний(собственно х.х.х.2)
на нем стоит Федора Кор 2, и все сети прекрасно работают.
route -n с этого сервака.

Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
х.х.х.0 0.0.0.0 255.255.255.248 U 0 00 eth3
192.168.3.0 0.0.0.0 255.255.255.0 U 0 00 eth2
192.168.2.0 0.0.0.0 255.255.255.0 U 0 00 eth1
192.168.1.0 0.0.0.0 255.255.255.0 U 0 00 eth0
127.0.0.0 0.0.0.0 255.0.0.0 U 0 00 lo
0.0.0.0 х.х.х.1 0.0.0.0 UG 0 00 eth3

Щас необходим еще 1 внешний IP адрес. Вопрос:
Можно ли в первой локалке включить комп с внешний IP адсом, и как нибудь сделать маршрутизацию чтоб этот комп нормально работал с инэтом со своим адресом...
если да, то как ?
Нет, что сделать?

спасибо

anonymous

Комп (А) в локалке с "локальным" адресом, а на шлюзе (комп с 4 eth.)
делать SNAT для трафика с (А) в реальный (x.x.x.3) адрес. Для входящeго трафика идущего на х.х.х.3 делать DNAT на комп (А)

sdio ★★★★★
()
Ответ на: комментарий от sdio

сделал:


iptables -t filter -A FORWARD -d 192.168.1.202 -j ACCEPT
iptables -t filter -A FORWARD -s 192.168.1.202 -j ACCEPT

iptables -t nat -A POSTROUTING -o $Ext_i -s 192.168.1.202 -j SNAT --to-source х.х.х.5
iptables -t nat -A PREROUTING -d х.х.х.5 -j DNAT --to-destination 192.168.1.202

не пашет.

трэйсраут с наружи прерываеться перед хостом х.х.х.1, т.е. перед провайдерским.

anonymous
()
Ответ на: комментарий от anonymous

Убери пока правило с PREROUTING, т.е. оставь эти 3:

iptables -t filter -A FORWARD -d 192.168.1.202 -j ACCEPT
iptables -t filter -A FORWARD -s 192.168.1.202 -j ACCEPT

iptables -t nat -A POSTROUTING -o $Ext_i -s 192.168.1.202 -j SNAT --to-source х.х.х.5

И посмотри есть ли доступ в Интернет

sdio ★★★★★
()
Ответ на: комментарий от anonymous

что то мне подсказывает что надо позвонить прову и попросить чтоб пакеты для х.х.х.3 - х.х.х.6 направлялись на х.х.х.2, для дальнейшейго их разруливания ...

anonymous
()
Ответ на: комментарий от sdio

ну тут ясно что доступа не будет ...

ибо х.х.х.5 нет, куда обратные пакеты пойдут?

если вместо х.х.х.5 поставить х.х.х.2 то инэт будет

anonymous
()
Ответ на: комментарий от anonymous

Если пакеты для адресов х.х.х.2-х.х.х.5 пров. пересылает на х.х.х.2, то инет будет, так как это забота iptables делать автоматом DNAT (для TCP/UDP сессий открытых с 192.168.1.202)

sdio ★★★★★
()
Ответ на: комментарий от sdio

ну я и говорю что судя повсему придеться позвонить прову.

спасибо за идею про ДНАТ, сам до нее не доходил.

anonymous
()
Ответ на: комментарий от anonymous

>iptables -t nat -A POSTROUTING -o $Ext_i -s 192.168.1.202 -j SNAT --to-source х.х.х.5

>iptables -t nat -A PREROUTING -d х.х.х.5 -j DNAT --to-destination 192.168.1.202

Неправильно.

>iptables -t nat -A POSTROUTING -o $Ext_i -s 192.168.1.202 -j SNAT --to-source х.х.х.5

У тебя подключен единственный интерфейс - x.x.x.2 Поэтому если ты не назначаешь второй адрес на этот интерфейс (x.x.x.5), то в SNAT должен писать x.x.x.2

iptables -t nat -A POSTROUTING -o $Ext_i -j SNAT --to-source х.х.х.2

Пока не назначишь второй адрес, правило -s 192.168.1.202 - избыточное.

>iptables -t nat -A PREROUTING -d х.х.х.5 -j DNAT --to-destination 192.168.1.202

Здесь правильно, но можно поставить еще и -i $Ext_i

P.S. Как добавить несколько ip-адресов на интерфейс: http://www.linux.org.ru/books/lor-faq/lorFAQ-17.html#ss17.19

jackill ★★★★★
()
Ответ на: комментарий от jackill

>У тебя подключен единственный интерфейс - x.x.x.2 Поэтому если ты не
>назначаешь второй адрес на этот интерфейс (x.x.x.5), то в SNAT должен
>писать x.x.x.2

2jackil: Это ты ошибаешься.
Если пров. пересылает пакеты адресованные х.х.х.5 на комп с адресом х.х.х.2, то нет проблем.

sdio ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin