LINUX.ORG.RU
решено ФорумAdmin

Ethernet Bridging проблемы.

 ,


1

2

Доброго времени суток, товарищи. Суть задачи: соеденить локальную сеть за nix-машиной с win-машиной из другой сети без использования NAT.

Для решения задачи выбрано было использовать openvpn.

Данные: nix-машина: Локальный интерфейс: 192.168.1.3 Внешний :10.62.31.146 Win-машина: Локальный интерфейс: 192.168.56.1 Внешний: 192.168.227.129

В качестве openvpn-сервера выступает nix-машина.

#bridge-start скрипт
#!/bin/bash
br="br0"
tap="tap0"
eth="eth0"
eth_ip="192.168.1.3"
eth_netmask="255.255.255.0"
eth_broadcast="192.168.1.255"
for t in $tap; do
    openvpn --mktun --dev $t
done
brctl addbr $br
brctl addif $br $eth
for t in $tap; do
    brctl addif $br $t
done
for t in $tap; do
    ifconfig $t 0.0.0.0 promisc up
done[/cut]
ifconfig $eth 0.0.0.0 promisc up
ifconfig $br $eth_ip netmask $eth_netmask broadcast $eth_broadcast
#Конфиг сервера
#server listen adress
local 10.62.31.146
port 1199
proto udp
dev tap0
ca   /etc/openvpn/easy-rsa/2.0/keys/ca.crt
cert /etc/openvpn/easy-rsa/2.0/keys/xxx.crt
key  /etc/openvpn/easy-rsa/2.0/keys/xxx.key
dh   /etc/openvpn/easy-rsa/2.0/keys/dh2048.pem
mode server
tls-server
server-bridge 192.168.1.3 255.255.255.0 192.168.1.24 192.168.1.48
tls-auth /etc/openvpn/easy-rsa/2.0/keys/ta.key 0
tls-timeout 120
mssfix
comp-lzo
max-clients 10
tun-mtu 1500
persist-key
persist-tun
#Конфиг клиента
client
dev tap
proto udp
remote 10.62.31.146 1199
resolv-retry infinite
nobind
persist-key
persist-tun
tun-mtu 1500
ca ca.crt
cert xxx.crt
key xxx.key
ns-cert-type server
tls-auth ta.key 1
verb 3[/cut]

Соединение происходит успешно

#Лог клиента
Received control message:PUSH_REPLY,route-gateway 192.168.1.3,ifconfig 192.168.1.24 255.255.255.0
MANAGEMENT: >STATE:1372070767,ASSIGN_IP,,192.168.1.24
Notified TAP-Windows driver to set a DHCP IP/netmask of 192.168.1.24/255.255.255.0 on interface {..446F9-AD6D-4692-...} [DHCP-serv: 192.168.1.0, lease-time: 31536000]
Successful ARP Flush on interface [43]
TEST ROUTES: 0/0 succeeded len=0 ret=1 a=0 u/d=up
Initialization Sequence Completed
MANAGEMENT: >STATE:1372070772,CONNECTED,SUCCESS,192.168.1.24,10.62.31.146

Но к сожалению связности в результате этих манипуляций не возникает. Судя по трейсу пакеты предназначенные 192.168.1.0/24 уходят вообще в левую сторону при том, что в локальной арп-таблице вин-машины нет преустановленных соответствий. Подскажите пожалуйста, в чем моя ошибка?

ход мысли верный. создается интерфейс br0 в который включаются локальная сетка это устройство eth0, и вновь созданный туннель.

arp запросы в сеть 192.168.1.0/24 должны уходить в сторону виндового клиента. Разве что может помешать фаервол. В цепочке FORWARD должно быть разрешающее правило.

Начинай пинговать из локальной сети и вооружившись tcpdump слушай по очереди все интерфейсы ищи где затык.

Yur4eg ★★ ()

comp-lzo

добавить в конфик клиента. ну и показать на сервере во время поднятого тунеля: ifconfig -a, ip -r, traceroute 192.168.1.24 и скрипт iptables.

показать на сервере во время тунеля: ipconfig /all, netstat -rn, tracert 192.168.1.x.

отключить фаерволы на обоих машинах чтоб проверить.

nerve ★★ ()
Ответ на: комментарий от nerve

показать на сервере во время тунеля: ipconfig /all, netstat -rn, tracert 192.168.1.x.

на клиенте то есть.

nerve ★★ ()

Спасибо за советы.

В процессе обнаружилось две проблемы: 1)Windows server 2008 при наличии статического роута с указанным интерфейсом будет принебрегать этим маршрутом направляя весь трафик на дефолтный в случае невозможности получить arp-reply от адреса в этом диапазоне.

2) В средах маршрутизируемых посредством VMware ESXi virtual gateway блокируются пакеты имеющие destination mac не входящих в локальную arp-таблицу виртуально маршрутизатора. Записи в эту таблицу добавляются сугубо при создании сетевого интерфейса на одном из виртуальных серверов непосредственно через упрявляющий gui VMware. Это проблему можно обойти включив promiscuous mode на виртуальном маршрутизаторе.

Xrizolin ()

А дайте-ка список правил ebtables?

Infra_HDC ★★★★★ ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.