datagroup Опубликовано: February 7, 2011 at 19:22 Опубликовано: February 7, 2011 at 19:22 Уважаемые форумчане, подскажите плиз, как вы бы решали подобную задачу: В офис компании приходит два интернет-канала, один ADSL, другой местный провайдер (далее ISP). VIP пользователи организации хотят иметь низкий пинг на некоторые ресурсы интернета, поэтому и заключили договор с ISP. Задача такого плана: обеспечить vip компьютерам доступ к интернету через ISP, остальным через ADSL. Обеспечить доступ с подсети 172.х.х.х на порт 7777 ip-адреса 192.168.10.3 ... еth1 смотрит в модем, eth0 в офисную сеть, eth2 в сторону ISP. Компьютер 192.168.10.3 должен ходить через eth0, потом eth2, а потом уже городской провайдер ... Как это организовать в плане iptables? Создание table provider? Как правильно прописать? 1. Возможно ли еще организовать хождение vip-ов через ADSL в случае падения ISP? 2. Что по вашему нужно прописать в настройках iptables + dnat (port 7777) на DEBIAN 5?
elsacor Опубліковано: February 7, 2011 at 19:50 Опубліковано: February 7, 2011 at 19:50 http://www.opennet.ru/tips/info/1179.shtml http://habrahabr.ru/blogs/linux/55132/
Danil Опубліковано: February 7, 2011 at 20:23 Опубліковано: February 7, 2011 at 20:23 команда MARK решит многое) Промаркируйте пакеты и укажите куда им ходить! Более подробно поищите в гугле)
Foster Опубліковано: February 7, 2011 at 21:10 Опубліковано: February 7, 2011 at 21:10 не засоряйте ж так открыто уже (почистил) по теме в кратце: первым делом сорс роутинг, чтобы сетевые за себя отвечали, потом echo "210 vip" >> /etc/iproute2/rt_tables echo "211 kolhoz" >> /etc/iproute2/rt_tables iptables prerouting from VIP -j MARK --set-mark 0x10 iptables prerouting from KOLHOZ -j MARK --set-mark 0x11 ip rule add fwmark 0x10 table vip ip rule add fwmark 0x11 table kolhoz В Lartc все описано с примерами. И гугл с этим отлично справляется.
datagroup Опубліковано: February 8, 2011 at 18:08 Автор Опубліковано: February 8, 2011 at 18:08 спасибо за информацию, но хотелось бы услышать как это делается без mark?
Foster Опубліковано: February 8, 2011 at 19:06 Опубліковано: February 8, 2011 at 19:06 без маркировки разве что в таблицы добавлять маршруты, что-то вроде: ip r a 172.16.22.11 dev ppp13 table kolhoz
datagroup Опубліковано: February 9, 2011 at 08:12 Автор Опубліковано: February 9, 2011 at 08:12 так как я остался без сисадмина в офисе, то прошу помочь с прописыванием настроек проброса портов по схеме выше(dnat или как там правильно?) чтобы заходя на порт 7777 ip-адреса 172.5.9.200 сервера с подсети 172.х.х.х, заходило на порт 7777 внутреннего ip 192.168.10.3
DarkSpider Опубліковано: February 9, 2011 at 08:55 Опубліковано: February 9, 2011 at 08:55 Например так ? iptables -t nat -A PREROUTING -d 172.5.9.200 -p tcp -m tcp --dport 777 -j DNAT --to 192.168.10.3:777
datagroup Опубліковано: February 9, 2011 at 13:02 Автор Опубліковано: February 9, 2011 at 13:02 правило становится без ошибок, но на этот порт нельзя зайти
DarkSpider Опубліковано: February 9, 2011 at 13:25 Опубліковано: February 9, 2011 at 13:25 А правило создается на машине 172.5.9.200 ? Или на роутере раньше ? Если на роутере раньше - как ходит 192.168.10.3 через этот роутер ? (и ходит ли вообще). В общем Вы спросили как сделать - я предложил вариант - дайте больше информации. Кстати поиск тоже рулит - на форуме тема не раз поднималась.
aike Опубліковано: February 9, 2011 at 15:44 Опубліковано: February 9, 2011 at 15:44 А так ? iptables -t nat -A PREROUTING -p tcp -d 172.5.9.200 --dport 7777 -j DNAT --to-destination 192.168.10.3:7777 iptables -A FORWARD -i eth2 -d 172.5.9.200 -p tcp --dport 7777 -j ACCEPT
aike Опубліковано: February 9, 2011 at 15:49 Опубліковано: February 9, 2011 at 15:49 Например так ? iptables -t nat -A PREROUTING -d 172.5.9.200 -p tcp -m tcp --dport 777 -j DNAT --to 192.168.10.3:777 у него 7777, скорее всего скопировал и вставил ваше правило для 777, а подключается на 7777 )))
datagroup Опубліковано: February 9, 2011 at 16:18 Автор Опубліковано: February 9, 2011 at 16:18 у него 7777, скорее всего скопировал и вставил ваше правило для 777, а подключается на 7777 ))) Нет, для 7777 я прописал, я видел что без одной семерки. Все-таки хоть и не сисадмин, но менеджер, цифры узнаю Второй вариант попробую завтра на работе. Правило прописываю на машине, где сама OS Debian и 2 аплинка, третий в локальную сеть. А кто в курсе, как все правила iptables посмотреть? Чувствую прийдет админ и получу я по шапке, что там и куда маршрутизируется, по типу коллизий Там поидее какое-то общее должно быть правило для eth2, чтобы все соединения на этот порт не зависели от ip-адреса, который заходит на него ...
aike Опубліковано: February 9, 2011 at 16:34 Опубліковано: February 9, 2011 at 16:34 у него 7777, скорее всего скопировал и вставил ваше правило для 777, а подключается на 7777 ))) Нет, для 7777 я прописал, я видел что без одной семерки. Все-таки хоть и не сисадмин, но менеджер, цифры узнаю Второй вариант попробую завтра на работе. Правило прописываю на машине, где сама OS Debian и 2 аплинка, третий в локальную сеть. А кто в курсе, как все правила iptables посмотреть? Чувствую прийдет админ и получу я по шапке, что там и куда маршрутизируется, по типу коллизий Там поидее какое-то общее должно быть правило для eth2, чтобы все соединения на этот порт не зависели от ip-адреса, который заходит на него ... +1 ))) это правило все подключения на 172.5.9.200:7777 переадресовует на 192.168.10.3:7777 Проброс порта внутрь сети через NAT в Linux (nat iptables linux) просмотр правил: iptables -nvL iptables-save
datagroup Опубліковано: February 10, 2011 at 09:33 Автор Опубліковано: February 10, 2011 at 09:33 А так ? спасибо всем, заработало так iptables -t nat -A PREROUTING -p tcp -d 172.5.9.200 --dport 7777 -j DNAT --to-destination 192.168.10.3:7777 iptables -A FORWARD -i eth2 -p tcp --dport 7777 -j ACCEPT
антоха Опубліковано: February 21, 2011 at 12:13 Опубліковано: February 21, 2011 at 12:13 кстати, а есть пример полного отключения iptables?
datagroup Опубліковано: February 21, 2011 at 13:12 Автор Опубліковано: February 21, 2011 at 13:12 еще одна проблемка, пока народ есть в этой теме ... есть таблица, через нее прописано ходить в локалку ip ro ls table megabit 192.168.0.0/16 dev eth0 scope link 172.5.0.0/16 dev eth2 scope link 127.0.0.0/8 dev lo scope link default via 172.5.0.1 dev eth2 почему сервер пингует 172.5.0.1, а с компа когда я пускаю ip rule add from 192.168.10.10 table megabit не пингует 172.5.0.1, что еще закрыто или что прописать надо? Через таблицу main есть выход в интернет, через megabit нету ... ip route flush cache в данной ситуации не помогаетiptables -I FORWARD -s и -d для данного айпи открыто, в чем еще косяк?
Рекомендованные сообщения
Создайте аккаунт или войдите в него для комментирования
Вы должны быть пользователем, чтобы оставить комментарий
Создать аккаунт
Зарегистрируйтесь для получения аккаунта. Это просто!
Зарегистрировать аккаунтВхід
Уже зарегистрированы? Войдите здесь.
Войти сейчас