Перейти до

Маршрутизация внешнего IP-адреса

Futura

Автор: Futura,
в Софт

 Share Подписчики 0

Рекомендованные сообщения

Futura

Futura 7

Опубликовано:
Опубликовано:

Имеем систему на Linux, Debian, arno iptables, работает NAT.

Оператор выдал блок /29, мы выдаем клиенту IP из этого блока, у него все работает, но адрес не пингуется извне.

Какие нужно применить правила для полноценной работы выделенных IP?

 

Ссылка на сообщение
Поделиться на других сайтах
Futura

Futura 7

Опубліковано:
  • Автор
Опубліковано:

Все телепаты в отпуске.

показали бы как прописали эту сетку на роутере и как выдали клиенту. а то ....

 

сетку никак не прописывали, выдаем IP клиенту через PPPoE

Ссылка на сообщение
Поделиться на других сайтах
KaYot

KaYot 3 605

Опубліковано:
Опубліковано:

Не пингуется - лечите ваш фаервол, а что конкретно надо править в вашем 'arno iptables' - думайте сами.

Тестово погасите его на минуту да попингуйте клиента.

Ссылка на сообщение
Поделиться на других сайтах
Darth Vader2

Darth Vader2 33

Опубліковано:
Опубліковано: (відредаговано)

tcpdump на интерфейсах NAT должен указать причину. Если пакет icmp приходит и уходит с NAT, то ищите причину дальше в сети.

Если приходит и никуда не уходит - фильтруется фаерволом. Тогда смотрите правила цепочки FORWARD.

Відредаговано Darth Vader2
Ссылка на сообщение
Поделиться на других сайтах
Darth Vader2

Darth Vader2 33

Опубліковано:
Опубліковано:

 

Все телепаты в отпуске.

показали бы как прописали эту сетку на роутере и как выдали клиенту. а то ....

 

сетку никак не прописывали, выдаем IP клиенту через PPPoE

 

 

Авторизатор декадно-шаговых АТС там же стоит где NAT или на другой машине? Пинганите с NAT внутренний адрес клиента, будет ответ или нет.

Хотя в своем болоте Вам лучше самим разбираться, тут много чего можно глупого насоветовать.

Ссылка на сообщение
Поделиться на других сайтах
Futura

Futura 7

Опубліковано:
  • Автор
Опубліковано: (відредаговано)

iptables-save:

# Generated by iptables-save v1.4.14 on Wed Jul 27 12:15:49 2016
*nat
:PREROUTING ACCEPT [3987:281961]
:INPUT ACCEPT [3:152]
:OUTPUT ACCEPT [19:4222]
:POSTROUTING ACCEPT [41:6022]
:NAT_POSTROUTING_CHAIN - [0:0]
:NAT_PREROUTING_CHAIN - [0:0]
:POST_NAT_POSTROUTING_CHAIN - [0:0]
:POST_NAT_PREROUTING_CHAIN - [0:0]
-A PREROUTING -j NAT_PREROUTING_CHAIN
-A PREROUTING -j POST_NAT_PREROUTING_CHAIN
-A POSTROUTING -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A POSTROUTING -j NAT_POSTROUTING_CHAIN
-A POSTROUTING -s 172.16.0.0/24 ! -d 172.16.0.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -j POST_NAT_POSTROUTING_CHAIN
COMMIT
# Completed on Wed Jul 27 12:15:49 2016
# Generated by iptables-save v1.4.14 on Wed Jul 27 12:15:49 2016
*mangle
:PREROUTING ACCEPT [139177:95701247]
:INPUT ACCEPT [2095:131364]
:FORWARD ACCEPT [137017:95563314]
:OUTPUT ACCEPT [142:34572]
:POSTROUTING ACCEPT [137069:95572872]
COMMIT
# Completed on Wed Jul 27 12:15:49 2016
# Generated by iptables-save v1.4.14 on Wed Jul 27 12:15:49 2016
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
:BASE_FORWARD_CHAIN - [0:0]
:BASE_INPUT_CHAIN - [0:0]
:BASE_OUTPUT_CHAIN - [0:0]
:DMZ_FORWARD_IN_CHAIN - [0:0]
:DMZ_FORWARD_OUT_CHAIN - [0:0]
:DMZ_INET_FORWARD_CHAIN - [0:0]
:DMZ_INPUT_CHAIN - [0:0]
:DMZ_LAN_FORWARD_CHAIN - [0:0]
:DMZ_OUTPUT_CHAIN - [0:0]
:EXT_BROADCAST_CHAIN - [0:0]
:EXT_FORWARD_IN_CHAIN - [0:0]
:EXT_FORWARD_OUT_CHAIN - [0:0]
:EXT_ICMP_FLOOD_CHAIN - [0:0]
:EXT_INPUT_CHAIN - [0:0]
:EXT_MULTICAST_CHAIN - [0:0]
:EXT_OUTPUT_CHAIN - [0:0]
:FORWARD_CHAIN - [0:0]
:HOST_BLOCK_DROP - [0:0]
:HOST_BLOCK_DST - [0:0]
:HOST_BLOCK_SRC - [0:0]
:INET_DMZ_FORWARD_CHAIN - [0:0]
:INPUT_CHAIN - [0:0]
:INT_FORWARD_IN_CHAIN - [0:0]
:INT_FORWARD_OUT_CHAIN - [0:0]
:INT_INPUT_CHAIN - [0:0]
:INT_OUTPUT_CHAIN - [0:0]
:LAN_INET_FORWARD_CHAIN - [0:0]
:OUTPUT_CHAIN - [0:0]
:POST_FORWARD_CHAIN - [0:0]
:POST_INPUT_CHAIN - [0:0]
:POST_INPUT_DROP_CHAIN - [0:0]
:POST_OUTPUT_CHAIN - [0:0]
:RESERVED_NET_CHK - [0:0]
:SPOOF_CHK - [0:0]
:VALID_CHK - [0:0]
-A INPUT -j BASE_INPUT_CHAIN
-A INPUT -j INPUT_CHAIN
-A INPUT -j HOST_BLOCK_SRC
-A INPUT -j SPOOF_CHK
-A INPUT -i eth0 -j VALID_CHK
-A INPUT -i eth0 ! -p icmp -m state --state NEW -j EXT_INPUT_CHAIN
-A INPUT -i eth0 -p icmp -m state --state NEW -m limit --limit 60/sec --limit-burst 100 -j EXT_INPUT_CHAIN
-A INPUT -i eth0 -p icmp -m state --state NEW -j EXT_ICMP_FLOOD_CHAIN
-A INPUT -i ppp+ -j INT_INPUT_CHAIN
-A INPUT -j POST_INPUT_CHAIN
-A INPUT -m limit --limit 1/sec -j LOG --log-prefix "AIF:Dropped INPUT packet: " --log-level 6
-A INPUT -j DROP
-A OUTPUT -j BASE_OUTPUT_CHAIN
-A OUTPUT -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A OUTPUT -j OUTPUT_CHAIN
-A OUTPUT -j HOST_BLOCK_DST
-A OUTPUT -f -m limit --limit 3/min -j LOG --log-prefix "AIF:Fragment packet: " --log-level 6
-A OUTPUT -f -j DROP
-A OUTPUT -o eth0 -j EXT_OUTPUT_CHAIN
-A OUTPUT -o ppp+ -j INT_OUTPUT_CHAIN
-A OUTPUT -j POST_OUTPUT_CHAIN
-A OUTPUT -j ACCEPT
-A BASE_FORWARD_CHAIN -m state --state ESTABLISHED -j ACCEPT
-A BASE_FORWARD_CHAIN -p tcp -m state --state RELATED -m tcp --dport 1024:65535 -j ACCEPT
-A BASE_FORWARD_CHAIN -p udp -m state --state RELATED -m udp --dport 1024:65535 -j ACCEPT
-A BASE_FORWARD_CHAIN -p icmp -m state --state RELATED -j ACCEPT
-A BASE_FORWARD_CHAIN -i lo -j ACCEPT
-A BASE_INPUT_CHAIN -m state --state ESTABLISHED -j ACCEPT
-A BASE_INPUT_CHAIN -p tcp -m state --state RELATED -m tcp --dport 1024:65535 -j ACCEPT
-A BASE_INPUT_CHAIN -p udp -m state --state RELATED -m udp --dport 1024:65535 -j ACCEPT
-A BASE_INPUT_CHAIN -p icmp -m state --state RELATED -j ACCEPT
-A BASE_INPUT_CHAIN -i lo -j ACCEPT
-A BASE_OUTPUT_CHAIN -m state --state ESTABLISHED -j ACCEPT
-A BASE_OUTPUT_CHAIN -o lo -j ACCEPT
-A EXT_BROADCAST_CHAIN -p tcp -m tcp --dport 0:1023 -m limit --limit 6/min --limit-burst 2 -j LOG --log-prefix "AIF:PRIV TCP broadcast: " --log-level 6
-A EXT_BROADCAST_CHAIN -p udp -m udp --dport 0:1023 -m limit --limit 6/min --limit-burst 2 -j LOG --log-prefix "AIF:PRIV UDP broadcast: " --log-level 6
-A EXT_BROADCAST_CHAIN -p tcp -m tcp --dport 1024:65535 -m limit --limit 6/min --limit-burst 2 -j LOG --log-prefix "AIF:UNPRIV TCP broadcast: " --log-level 6
-A EXT_BROADCAST_CHAIN -p udp -m udp --dport 1024 -m limit --limit 6/min --limit-burst 2 -j LOG --log-prefix "AIF:UNPRIV UDP broadcast: " --log-level 6
-A EXT_BROADCAST_CHAIN -j DROP
-A EXT_FORWARD_IN_CHAIN -j VALID_CHK
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m icmp --icmp-type 3 -m limit --limit 12/hour --limit-burst 1 -j LOG --log-prefix "AIF:ICMP-unreachable flood: " --log-level 6
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m icmp --icmp-type 3 -j POST_INPUT_DROP_CHAIN
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m icmp --icmp-type 11 -m limit --limit 12/hour --limit-burst 1 -j LOG --log-prefix "AIF:ICMP-time-exceeded fld: " --log-level 6
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m icmp --icmp-type 11 -j POST_INPUT_DROP_CHAIN
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m icmp --icmp-type 12 -m limit --limit 12/hour --limit-burst 1 -j LOG --log-prefix "AIF:ICMP-param-problem fld: " --log-level 6
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m icmp --icmp-type 12 -j POST_INPUT_DROP_CHAIN
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m icmp --icmp-type 8 -m limit --limit 12/hour --limit-burst 1 -j LOG --log-prefix "AIF:ICMP-request(ping) fld: " --log-level 6
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m icmp --icmp-type 8 -j POST_INPUT_DROP_CHAIN
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m icmp --icmp-type 0 -m limit --limit 12/hour --limit-burst 1 -j LOG --log-prefix "AIF:ICMP-reply(pong) flood: " --log-level 6
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m icmp --icmp-type 0 -j POST_INPUT_DROP_CHAIN
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m icmp --icmp-type 4 -m limit --limit 12/hour --limit-burst 1 -j LOG --log-prefix "AIF:ICMP-source-quench fld: " --log-level 6
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m icmp --icmp-type 4 -j POST_INPUT_DROP_CHAIN
-A EXT_ICMP_FLOOD_CHAIN -p icmp -m limit --limit 12/hour --limit-burst 1 -j LOG --log-prefix "AIF:ICMP(other) flood: " --log-level 6
-A EXT_ICMP_FLOOD_CHAIN -p icmp -j POST_INPUT_DROP_CHAIN
-A EXT_INPUT_CHAIN -p tcp -m tcp --dport 0 -m limit --limit 6/hour --limit-burst 1 -j LOG --log-prefix "AIF:Port 0 OS fingerprint: " --log-level 6
-A EXT_INPUT_CHAIN -p udp -m udp --dport 0 -m limit --limit 6/hour --limit-burst 1 -j LOG --log-prefix "AIF:Port 0 OS fingerprint: " --log-level 6
-A EXT_INPUT_CHAIN -p tcp -m tcp --dport 0 -j POST_INPUT_DROP_CHAIN
-A EXT_INPUT_CHAIN -p udp -m udp --dport 0 -j POST_INPUT_DROP_CHAIN
-A EXT_INPUT_CHAIN -p tcp -m tcp --sport 0 -m limit --limit 6/hour -j LOG --log-prefix "AIF:TCP source port 0: " --log-level 6
-A EXT_INPUT_CHAIN -p udp -m udp --sport 0 -m limit --limit 6/hour -j LOG --log-prefix "AIF:UDP source port 0: " --log-level 6
-A EXT_INPUT_CHAIN -p tcp -m tcp --sport 0 -j POST_INPUT_DROP_CHAIN
-A EXT_INPUT_CHAIN -p udp -m udp --sport 0 -j POST_INPUT_DROP_CHAIN
-A EXT_INPUT_CHAIN -p tcp -m tcp --dport 9898 -j ACCEPT
-A EXT_INPUT_CHAIN -p tcp -m tcp --dport 9443 -j ACCEPT
-A EXT_INPUT_CHAIN -p tcp -m tcp --dport 9000:9010 -j ACCEPT
-A EXT_INPUT_CHAIN -p icmp -m icmp --icmp-type 8 -m limit --limit 20/sec --limit-burst 100 -j ACCEPT
-A LAN_INET_FORWARD_CHAIN -p icmp -m icmp --icmp-type 8 -m limit --limit 3/min --limit-burst 1 -j LOG --log-prefix "AIF:ICMP-request: " --log-level 6
-A LAN_INET_FORWARD_CHAIN -p icmp -m icmp --icmp-type 8 -j DROP
-A LAN_INET_FORWARD_CHAIN -j ACCEPT
-A POST_INPUT_DROP_CHAIN -j DROP
-A SPOOF_CHK -s 192.168.4.0/24 -i ppp+ -j RETURN
-A SPOOF_CHK -s 192.168.4.0/24 -m limit --limit 3/min -j LOG --log-prefix "AIF:Spoofed packet: " --log-level 6
-A SPOOF_CHK -s 192.168.4.0/24 -j POST_INPUT_DROP_CHAIN
-A SPOOF_CHK -j RETURN
-A VALID_CHK -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -m limit --limit 3/min -j LOG --log-prefix "AIF:Stealth XMAS scan: " --log-level 6
-A VALID_CHK -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,ACK,URG -m limit --limit 3/min -j LOG --log-prefix "AIF:Stealth XMAS-PSH scan: " --log-level 6
-A VALID_CHK -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -m limit --limit 3/min -j LOG --log-prefix "AIF:Stealth XMAS-ALL scan: " --log-level 6
-A VALID_CHK -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN -m limit --limit 3/min -j LOG --log-prefix "AIF:Stealth FIN scan: " --log-level 6
-A VALID_CHK -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -m limit --limit 3/min -j LOG --log-prefix "AIF:Stealth SYN/RST scan: " --log-level 6
-A VALID_CHK -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -m limit --limit 3/min -j LOG --log-prefix "AIF:Stealth SYN/FIN scan?: " --log-level 6
-A VALID_CHK -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -m limit --limit 3/min -j LOG --log-prefix "AIF:Stealth Null scan: " --log-level 6
-A VALID_CHK -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j POST_INPUT_DROP_CHAIN
-A VALID_CHK -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,ACK,URG -j POST_INPUT_DROP_CHAIN
-A VALID_CHK -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j POST_INPUT_DROP_CHAIN
-A VALID_CHK -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN -j POST_INPUT_DROP_CHAIN
-A VALID_CHK -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j POST_INPUT_DROP_CHAIN
-A VALID_CHK -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j POST_INPUT_DROP_CHAIN
-A VALID_CHK -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j POST_INPUT_DROP_CHAIN
-A VALID_CHK -p tcp -m tcp --tcp-option 64 -m limit --limit 3/min --limit-burst 1 -j LOG --log-prefix "AIF:Bad TCP flag(64): " --log-level 6
-A VALID_CHK -p tcp -m tcp --tcp-option 128 -m limit --limit 3/min --limit-burst 1 -j LOG --log-prefix "AIF:Bad TCP flag(128): " --log-level 6
-A VALID_CHK -p tcp -m tcp --tcp-option 64 -j POST_INPUT_DROP_CHAIN
-A VALID_CHK -p tcp -m tcp --tcp-option 128 -j POST_INPUT_DROP_CHAIN
-A VALID_CHK -m state --state INVALID -j POST_INPUT_DROP_CHAIN
-A VALID_CHK -f -m limit --limit 3/min --limit-burst 1 -j LOG --log-prefix "AIF:Fragment packet: "
-A VALID_CHK -f -j DROP
COMMIT
# Completed on Wed Jul 27 12:15:49 2016
Відредаговано Futura
Ссылка на сообщение
Поделиться на других сайтах
KaYot

KaYot 3 605

Опубліковано:
Опубліковано:

У вас стоит дефолтное :FORWARD DROP [0:0]

и при этом нигде нет разрешения на форвард к конкретному хосту из интернета. Добавьте правило и заработает.

Ссылка на сообщение
Поделиться на других сайтах
Futura

Futura 7

Опубліковано:
  • Автор
Опубліковано:

У вас стоит дефолтное :FORWARD DROP [0:0]

и при этом нигде нет разрешения на форвард к конкретному хосту из интернета. Добавьте правило и заработает.

 

не подскажите пример такого правила?

Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Вхід

Уже зарегистрированы? Войдите здесь.

Войти сейчас
 Share
Подписчики 0
Перейти до переліку тем

  • Зараз на сторінці   0 користувачів

    Немає користувачів, що переглядають цю сторінку.

  • Схожий контент

    • Туйон
      IP-адреса стали принадлежать временно оккупированному городу
      Від Туйон
      Доброго вечера!
      Нахожусь в Кривом Роге, закупаю трафик у местного провайдера, а так же небольшое количество IP.
      Раньше сайты типа 2ip.ua однозначно писали местоположение что это Кривой Рог.
      А теперь пишут что это Новотроицкое, Херсонская область.
      У некоторых людей перестали открываться определенные сайты, не работает антивирус Аваст, пишет, мол, в этом регионе мы не работаем.
      Т.е. мои айпишники считают временно оккупированной территорией.
      Это как, просто невезение, или есть способ решения проблемы?
      Вышестоящий провайдер сказал, мол, у него то же самое но пользователи не жалуются.
      Да и у меня пока по сути один человек, какой-то программист, но тенденция напрягает.
      Сразу отвечу, что аплинк менять не собираюсь.
      Так же аплинк может выдать другие IP из схожих подсетей но там та же ситуация.
    • Дядя Рома
      Сервис по объединению списка ip адресов по номерам AS провайдера.
      Від Дядя Рома
      На роутере сделал правила, собираю в блэклист адреса пытающихся подобрать пароль. Набил уже больше 50 тыс.  Роутер в общем переваривает такое количество, но всё равно, как-то многовато их. Пробовал объединять в ручную, очень долго получается, не реально всё перебрать. Нормальных сервисов которые бы это делали именно по AS провайдера. проверяя в онлайн WhoIs не нашёл. 
      Куда копать, как автоматизировать?
    • alexcom
      Продам /24
      Від alexcom
      Продам /24.
      $37 (торг)
       
      Всі питання в особисті.
    • dummy
      Здам в оренду блок /24 IPv4
      Від dummy
      Здам в оренду блок /24 IPv4
    • VladimirFN
      Продается Хостинг-компания
      Від VladimirFN
      Продается Хостинг-компания

      Компания предоставляет услуги аренды выделенных и виртуальных серверов.
      Что входит в комплект продажи:
      IPv4: 512 шт ( два блока /24), AS
      Около сотни  счастливых клиентов, средний чек около $50/в месяц
      Оборудование:
          1) 16 нод виртуализации на Xeon-E3-1230v2 (32GB RAM)
          2) 32 блейда с десктопными материнками (Core-3,Core-5, Celeron)
          3) 4 шт Core 7
          4) оборудование собрано в корзины "Индустриальный компьютер" DC 62 (4 шт) DC 91 (2 шт)
          5) сетевое оборудование: роутер Juniper MX-80, 2 свича Extreme Networks 48 портов
      Биллинг, сайт, панель управления виртуальными серверами, софт, панель управления выделенными серверами, панель управления IP - адресами, панель DNS (Все ISPsystems 5-й версии).
      месячный обороот по итогам ноября 2022: 2300usd, оборот до войны около $5000/месяц
      расходы: размещение оборудования в дата-центре 11 500 грн + электроэнергия по счетчику (около 20 тыс. грн), арендуем дополнительно 4 блока адресов по $129 
       
      Стоимость 38000 у.е. подробности в ЛС
       
      -------------
      Отдельно продаем 2 шт ИБП General Electric LP10-31T, укомплектованы практически новыми аккумуляторами (полная замена в 2021), в комплекте плата SNMP и плата паралельной работы, могут работать паралельно, просим 5000  у.е.
      -------------
×
×
  • Створити нове...