форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение		[ Отслеживать ]

"NAT не маскирует все пакеты"

Сообщение от Влад (??) on 09-Июл-08, 19:56

Здравствуйте вот сталкнулся с такой проблемой У меня есть 2 сетевых интерфейса eth1(LAN) eth2(INET) Добавил правило в iptables iptables -t nat -I POSTROUNTING -i eth1 -o eth2 -j SNAT --to-source INET_IP Но почемуто не все локальные преобразовываются и при вводе команды tcpdump -i eth2 я их вижу и мой интернет провайдер видет и ему это очень не нравится в чем тут проблема? Я уже и ядро перекомпилировал и дистрибутив линукса другой установил но ничего не помогает!

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "NAT не маскирует все пакеты"

Сообщение от Oyyo on 09-Июл-08, 22:00

>[оверквотинг удален] > >и при вводе команды > >tcpdump -i eth2 я их вижу и мой интернет провайдер видет и >ему это очень не нравится > >в чем тут проблема? > >Я уже и ядро перекомпилировал и дистрибутив линукса другой установил >но ничего не помогает! всё правильно, правило >iptables -t nat -I POSTROUNTING -i eth1 -o eth2 -j SNAT --to-source INET_IP натит только то, что приходит с eth1(LAN), перепешите правило iptables -t nat -I POSTROUNTING -o eth2 -j SNAT --to-source INET_IP в этом случае будет натиться всё что уходит с eth2(INET)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "NAT не маскирует все пакеты"
	Сообщение от PavelR (??) on 10-Июл-08, 08:54
	>[оверквотинг удален] >> >>Я уже и ядро перекомпилировал и дистрибутив линукса другой установил >>но ничего не помогает! > >всё правильно, правило >>iptables -t nat -I POSTROUNTING -i eth1 -o eth2 -j SNAT --to-source INET_IP > >натит только то, что приходит с eth1(LAN), перепешите правило >iptables -t nat -I POSTROUNTING -o eth2 -j SNAT --to-source INET_IP >в этом случае будет натиться всё что уходит с eth2(INET) по идее, локальные пакеты должны генерироваться с адресом интерфейса, смотрящего к провайдеру.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "NAT не маскирует все пакеты"

Сообщение от angra (ok) on 10-Июл-08, 08:48

>Но почему-то не все локальные преобразовываются Что не преобразовывается, как именно это видно >и при вводе команды >tcpdump -i eth2 я их вижу и мой интернет провайдер видет и >ему это очень не нравится Что именно видите? >в чем тут проблема? В том что вы не можете внятно изложить проблему

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "NAT не маскирует все пакеты"

Сообщение от PavelR (??) on 10-Июл-08, 08:57

>[оверквотинг удален] > >iptables -t nat -I POSTROUNTING -i eth1 -o eth2 -j SNAT --to-source >INET_IP > >Но почемуто не все локальные преобразовываются > >и при вводе команды > >tcpdump -i eth2 я их вижу и мой интернет провайдер видет и >ему это очень не нравится Офигенный провайдер. Пусть фильтрацию у себя настроит. А если его оборудование поломают- из-за отсутствия внятных фильтров, ему тоже "будет не нравиться"? У меня другой случай - в сегменте, куда я присоединен к провайдеру, присутствуют как реальные адреса, так и фейковые, моему серверу тоже "не нравится", а что делать ? :) > >в чем тут проблема? > >Я уже и ядро перекомпилировал и дистрибутив линукса другой установил >но ничего не помогает! Мозги перекомпилировать, чтением литературы. Жаль вот другие установить не получится.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "NAT не маскирует все пакеты"

Сообщение от tux (??) on 10-Июл-08, 09:04

>Здравствуйте вот сталкнулся с такой проблемой >У меня есть 2 сетевых интерфейса eth1(LAN) eth2(INET) > >Добавил правило в iptables > >iptables -t nat -I POSTROUNTING -i eth1 -o eth2 -j SNAT --to-source >INET_IP >Я уже и ядро перекомпилировал и дистрибутив линукса другой установил >но ничего не помогает!

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "NAT не маскирует все пакеты"

Сообщение от tux2002 on 10-Июл-08, 09:06

>Здравствуйте вот сталкнулся с такой проблемой >У меня есть 2 сетевых интерфейса eth1(LAN) eth2(INET) > >Добавил правило в iptables > >iptables -t nat -I POSTROUNTING -i eth1 -o eth2 -j SNAT --to-source >INET_IP Покажите iptables-save > >Я уже и ядро перекомпилировал и дистрибутив линукса другой установил >но ничего не помогает! Интересные методы решения задачи :)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "NAT не маскирует все пакеты"
	Сообщение от tux2002 on 10-Июл-08, 09:11
	IP реальные не показывайте
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 12:54
	Спасибо конечно за такое большое количество "умных" советов ... особенно понравилась идея про переустановку мозгов. Да, не увсех так просто они переустанавливаюися. А вот насчет литературы, то я ее уже достаточно перечитал и все бесполезно. Кстати зделать переустановку системы мне один админ посоветовал. у меня LINUX SLACKWARE 12 ядро 2.6.21.5 (ставил ядро 2.6.23) Пробовал DEBIAN 4 ядро 2.6.18 даже iptables обновил Напоминаю eth1(LAN) eth2(INET) Вот мои правила Chain POSTROUTING (policy ACCEPT 33 packets, 4728 bytes) pkts bytes target     prot opt in     out     source        destination    70  3569 SNAT       all  --  *      eth2    0.0.0.0/0     0.0.0.0/0 to:10.100.250.2 Chain FORWARD (policy DROP) target     prot opt source               destination ACCEPT     all  --  anywhere             anywhere Вот результат tcpdump tcpdump -i eth2 | grep 192.168.1. tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth2, link-type EN10MB (Ethernet), capture size 96 bytes 09:46:59.219162 IP 192.168.1.15.3484 > bu-in-f147.google.com.http: F 3094018935:3094018935(0) ack 393800694 win 64865 09:47:01.420422 IP 192.168.1.7.2934 > bu-in-f91.google.com.http: F 3007321576:3007321576(0) ack 569050773 win 65249 09:47:05.644846 IP 192.168.1.7.2938 > bu-in-f99.google.com.http: F 2357605203:2357605203(0) ack 601534958 win 65233 09:47:09.064632 IP 192.168.1.7.2934 > bu-in-f91.google.com.http: F 0:0(0) ack 1 win 65249 09:47:10.415208 IP 192.168.1.8.2071 > bu-in-f99.google.com.http: F 1748623268:1748623268(0) ack 451744655 win 65535 09:47:11.478590 IP 192.168.1.7.2892 > bu-in-f127.google.com.http: F 3728662923:3728662923(0) ack 183309366 win 65206 09:47:21.133729 IP 192.168.1.8.2056 > bu-in-f127.google.com.http: F 1904490767:1904490767(0) ack 156266093 win 65206 09:47:24.252465 IP 192.168.1.7.2934 > bu-in-f91.google.com.http: F 0:0(0) ack 1 win 65249 09:47:24.855947 IP 192.168.1.7.2938 > bu-in-f99.google.com.http: F 0:0(0) ack 1 win 65233 09:47:25.314436 IP 192.168.1.6.3146 > bu-in-f99.google.com.http: F 4205143613:4205143613(0) ack 281893596 win 65167 09:47:48.804998 IP 192.168.1.8.2071 > bu-in-f99.google.com.http: F 0:0(0) ack 1 win 65535 09:47:54.628128 IP 192.168.1.7.2934 > bu-in-f91.google.com.http: F 0:0(0) ack 1 win 65249 09:47:54.747449 IP 192.168.1.6.3145 > bu-in-f127.google.com.http: F 2298305406:2298305406(0) ack 446786012 win 65206 09:47:55.068698 IP 192.168.1.6.3154 > bu-in-f99.google.com.http: F 2139689385:2139689385(0) ack 652079942 win 65233 09:47:57.198405 IP 192.168.1.6.3145 > bu-in-f127.google.com.http: F 0:0(0) ack 1 win 65206 09:47:57.500037 IP 192.168.1.6.3154 > bu-in-f99.google.com.http: F 0:0(0) ack 1 win 65233 09:48:02.126713 IP 192.168.1.6.3145 > bu-in-f127.google.com.http: F 0:0(0) ack 1 win 65206 09:48:02.529032 IP 192.168.1.6.3154 > bu-in-f99.google.com.http: F 0:0(0) ack 1 win 65233 09:48:03.177560 IP 192.168.1.7.2938 > bu-in-f99.google.com.http: F 0:0(0) ack 1 win 65233 Да как видно что большинство пакетов проходят так именно на поисковые системы google rambler yahoo и т.д То же самое видно и у инет провайдера и они из-за этого отключают нам интернет.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 13:01
	В локальной сети все компы под WINXP professional Локальный адрес сервера  eth1(192.168.1.70) Второй интерфейс DHCP eth2(10.100.250.2) а интернет адрес реальный 194.9.69.34 все WINDOWS компъютеры настроены так IP  :  192.168.1.x MASK:  255.255.255.0 GW  :  192.168.1.70 DNS :  192.168.1.70
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "NAT не маскирует все пакеты"
	Сообщение от PavelR (??) on 10-Июл-08, 13:29
	>[оверквотинг удален] >Локальный адрес сервера  eth1(192.168.1.70) >Второй интерфейс > DHCP eth2(10.100.250.2) а интернет адрес реальный 194.9.69.34 > >все WINDOWS компъютеры настроены так > > IP  :  192.168.1.x > MASK:  255.255.255.0 > GW  :  192.168.1.70 > DNS :  192.168.1.70 Адрес - 10.100.250.2 - значит у вас нет нормального провайдера. Далее. Попробуйте сделать tcpdump без grep.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	11. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 14:13
	Что значит нет нормального? tcpdump без grep выдает очень моного текста вот его часть tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth1, link-type EN10MB (Ethernet), capture size 96 bytes 11:10:55.494599 arp who-has 10.100.100.1 tell 10.100.7.2 11:10:55.540360 arp who-has 10.100.68.80 tell 10.100.176.144 11:10:55.592082 arp who-has 10.100.100.1 (ff:ff:ff:ff:ff:ff) tell 10.100.200.73 11:10:55.655429 arp who-has 10.100.100.1 tell 10.100.200.73 11:10:55.819849 arp who-has 10.100.131.252 tell 10.100.68.202 11:10:55.823565 arp who-has 10.100.129.244 tell 10.100.131.1 11:10:55.868850 IP 10.100.130.238.6771 > 239.192.152.143.6771: UDP, length 119 11:10:55.938352 IPX 00000002.00:17:9a:7e:5c:39.0455 > 00000000.ff:ff:ff:ff:ff:ff.0455: ipx-netbios 50 11:10:55.952068 arp who-has 10.100.100.5 tell 10.100.130.240 11:10:55.989839 arp who-has 10.100.129.180 tell 10.100.100.2 11:10:55.999888 arp who-has 10.100.100.1 (00:30:48:58:e4:b1) tell 10.100.131.67 11:10:56.027523 arp who-has 10.100.131.186 tell 10.100.68.43 11:10:56.419811 arp who-has 10.100.130.204 tell 10.100.130.199 11:10:56.434185 IP 192.168.1.15.4813 > 91.198.174.2.80: F 3598858420:3598858420(0) ack 4149909570 win 65535 11:10:56.534193 arp who-has 10.100.64.193 tell 10.100.6.254 11:10:56.534280 arp who-has 10.100.176.195 tell 10.100.6.254 11:10:56.534381 arp who-has 10.100.68.140 tell 10.100.6.254 11:10:56.616921 arp who-has 10.100.100.1 (ff:ff:ff:ff:ff:ff) tell 10.100.200.73 11:10:56.717219 IPX 00000002.00:17:9a:7e:5c:39.0455 > 00000000.ff:ff:ff:ff:ff:ff.0455: ipx-netbios 50 11:10:56.801012 arp who-has 10.100.128.26 tell 10.100.100.2 11:10:56.847207 IP 10.100.7.5.1028 > 239.255.255.250.1900: UDP, length 133 11:10:56.861982 arp who-has 10.100.100.1 tell 10.100.200.73 11:10:57.261873 IP 10.100.129.80.4794 > 255.255.255.255.1900: UDP, length 137 11:10:57.261943 IP 10.100.129.80.4794 > 239.255.255.250.1900: UDP, length 137 11:10:57.411080 arp who-has 10.100.100.1 (00:30:48:58:e4:b1) tell 10.100.5.229 11:10:57.496516 IPX 00000002.00:17:9a:7e:5c:39.0455 > 00000000.ff:ff:ff:ff:ff:ff.0455: ipx-netbios 50 11:10:57.513916 IP 91.203.5.42.80 > 10.100.67.56.1359: . ack 975893154 win 33580 11:10:57.513927 IP 91.203.5.42.80 > 10.100.67.56.1359: . ack 1 win 0 11:10:57.513941 IP 91.203.5.42.80 > 10.100.67.56.1355: . ack 586359375 win 0 11:10:57.513952 IP 91.203.5.42.80 > 10.100.67.56.1364: . ack 446668822 win 0 11:10:57.513962 IP 91.203.5.42.80 > 10.100.67.56.1355: . ack 1 win 33580 11:10:57.513973 IP 91.203.5.42.80 > 10.100.67.56.1368: . ack 1952235278 win 0 11:10:57.513985 IP 91.203.5.42.80 > 10.100.67.56.1362: . ack 3740252483 win 0 11:10:57.513995 IP 91.203.5.42.80 > 10.100.67.56.1363: . ack 2322373077 win 0 11:10:57.514006 IP 91.203.5.42.80 > 10.100.67.56.1364: . ack 1 win 33580 11:10:57.514017 IP 91.203.5.42.80 > 10.100.67.56.1361: . ack 1766994142 win 0 11:10:57.514028 IP 91.203.5.42.80 > 10.100.67.56.1357: . ack 3136480911 win 0 11:10:57.514038 IP 91.203.5.42.80 > 10.100.67.56.1362: . ack 1 win 33580 11:10:57.514049 IP 91.203.5.42.80 > 10.100.67.56.1368: . ack 1 win 33580 11:10:57.514059 IP 91.203.5.42.80 > 10.100.67.56.1356: . ack 1628050175 win 0 11:10:57.514080 IP 91.203.5.42.80 > 10.100.67.56.1363: . ack 1 win 33580 11:10:57.514082 IP 91.203.5.42.80 > 10.100.67.56.1354: . ack 3752332288 win 0 11:10:57.514094 IP 91.203.5.42.80 > 10.100.67.56.1365: . ack 469167298 win 0 11:10:57.514650 IP 91.203.5.42.80 > 10.100.67.56.1360: . ack 120888387 win 0 11:10:57.514653 IP 91.203.5.42.80 > 10.100.67.56.1358: . ack 1557217367 win 0 11:10:57.514670 IP 91.203.5.42.80 > 10.100.67.56.1344: . ack 3303006904 win 0 11:10:57.514672 IP 91.203.5.42.80 > 10.100.67.56.1366: . ack 4259143637 win 0 11:10:57.514679 IP 91.203.5.42.80 > 10.100.67.56.1343: . ack 2264960551 win 0 11:10:57.514685 IP 91.203.5.42.80 > 10.100.67.56.1361: . ack 1 win 33580 11:10:57.514691 IP 91.203.5.42.80 > 10.100.67.56.1357: . ack 1 win 33580 11:10:57.514701 IP 91.203.5.42.80 > 10.100.67.56.1349: . ack 859383643 win 0 11:10:57.515342 IP 91.203.5.42.80 > 10.100.67.56.1356: . ack 1 win 33580 11:10:57.515352 IP 91.203.5.42.80 > 10.100.67.56.1354: . ack 1 win 33580 11:10:57.515364 IP 91.203.5.42.80 > 10.100.67.56.1365: . ack 1 win 33580 11:10:57.515373 IP 91.203.5.42.80 > 10.100.67.56.1360: . ack 1 win 33580 11:10:57.515383 IP 91.203.5.42.80 > 10.100.67.56.1358: . ack 1 win 33580 11:10:57.515518 IP 91.203.5.42.80 > 10.100.67.56.1344: . ack 1 win 33580 11:10:57.515521 IP 91.203.5.42.80 > 10.100.67.56.1366: . ack 1 win 33580 11:10:57.515549 IP 91.203.5.42.80 > 10.100.67.56.1343: . ack 1 win 33580 11:10:57.515887 IP 91.203.5.42.80 > 10.100.67.56.1349: . ack 1 win 33580 11:10:57.701780 arp who-has 10.100.100.1 (ff:ff:ff:ff:ff:ff) tell 10.100.200.73 11:10:57.767494 arp who-has 10.100.100.1 tell 10.100.200.73 11:10:57.950084 arp who-has 10.100.68.57 tell 10.100.68.236 11:10:58.100487 IP 10.100.224.55.6771 > 239.192.152.143.6771: UDP, length 119 11:10:58.101150 IP 10.100.224.55.6771 > 239.192.152.143.6771: UDP, length 119 11:10:58.151048 arp who-has 10.100.129.95 tell 10.100.131.57 11:10:58.323583 arp who-has 10.100.100.2 tell 10.100.130.15 11:10:58.620263 arp who-has 10.100.100.1 (ff:ff:ff:ff:ff:ff) tell 10.100.200.24
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	18. "NAT не маскирует все пакеты"
	Сообщение от PavelR (??) on 10-Июл-08, 16:00
	Вас что, к инету через хаб подключают ?? Откуда там светятся всякие левые адреса  типа 10.100.67.56, например ? Думаю, что требуется более подробное описание структуры сети.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	34. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 11-Июл-08, 14:10
	>Вас что, к инету через хаб подключают ?? Откуда там светятся всякие >левые адреса  типа 10.100.67.56, например ? > >Думаю, что требуется более подробное описание структуры сети. Подключаюсь через DHCP кабель идет 100мб к свичу это типа локальная сеть типа по городу + инет.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	12. "NAT не маскирует все пакеты"
	Сообщение от ALex_hha (ok) on 10-Июл-08, 14:16
	# iptables -t nat -A POSTROUTING -o eth2 -s 192.168.1.0/24 -j SNAT --to-source 10.100.250.2 Кстати, что это за адрес 10.100.250.2?! Chain FORWARD (policy DROP) target     prot opt source               destination ACCEPT     all  --  anywhere             anywhere какой в этом смысл? Политика по умолчанию DROP и стоит правило, которое разрешает всем и все.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	13. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 14:25
	Это адресс 10.100.250.2 локальной сети провайдера выдается через DHCP Провайдеру нужно чтобы все пакеты шли только с этого адреса чтобы не нарушать политику безопасности сети(как они говорят). Смысла ни какого разумеется просто я уже столько всего перепробовал что на это внимания уже не обращаю(темболее это не каксается моей проблемы), к стати если вставить правило iptables -I FORWARD -s 192.168.1.0/24 -d ! 192.168.1.0/24 -j DROP или iptables -I FORWARD -s 192.168.1.0/24 -o eth2 -j DROP то интернет не работает в локалке
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	14. "NAT не маскирует все пакеты"
	Сообщение от reader (ok) on 10-Июл-08, 15:08
	194.9.69.34 - это реальный провайдера или у вас 2 ip на интерфейсе? тогда уж показывайте ifconfig и route -n
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	15. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 15:19
	>194.9.69.34 - это реальный провайдера или у вас 2 ip на интерфейсе? > >тогда уж показывайте ifconfig и route -n на интерфейсе 1 IP 10.100.250.2 а 194.9.69.34 выдается уже на сервере провайдера тоже SNAT по видимому ifconfig eth0      Link encap:Ethernet  HWaddr 00:19:D1:02:3F:CE           inet addr:192.168.1.70  Bcast:192.168.1.255  Mask:255.255.255.0           inet6 addr: fe80::219:d1ff:fe02:3fce/64 Scope:Link           UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1           RX packets:273203 errors:0 dropped:0 overruns:0 frame:0           TX packets:339299 errors:0 dropped:0 overruns:0 carrier:0           collisions:0 txqueuelen:100           RX bytes:46669192 (44.5 MiB)  TX bytes:266553640 (254.2 MiB)           Base address:0x30e0 Memory:50300000-50320000 eth1      Link encap:Ethernet  HWaddr 00:11:95:F6:5C:E6           inet addr:10.100.250.2  Bcast:10.100.255.255  Mask:255.255.0.0           inet6 addr: fe80::211:95ff:fef6:5ce6/64 Scope:Link           UP BROADCAST NOTRAILERS RUNNING MULTICAST  MTU:1500  Metric:1           RX packets:322354 errors:0 dropped:0 overruns:0 frame:0           TX packets:111531 errors:0 dropped:0 overruns:0 carrier:0           collisions:0 txqueuelen:1000           RX bytes:179216452 (170.9 MiB)  TX bytes:17322458 (16.5 MiB)           Interrupt:21 lo        Link encap:Local Loopback           inet addr:127.0.0.1  Mask:255.0.0.0           inet6 addr: ::1/128 Scope:Host           UP LOOPBACK RUNNING  MTU:16436  Metric:1           RX packets:312 errors:0 dropped:0 overruns:0 frame:0           TX packets:312 errors:0 dropped:0 overruns:0 carrier:0           collisions:0 txqueuelen:0           RX bytes:163254 (159.4 KiB)  TX bytes:163254 (159.4 KiB) route: Destination     Gateway         Genmask         Flags Metric Ref    Use Iface 194.9.69.27     10.100.65.198   255.255.255.255 UGH   0      0        0 eth1 193.27.0.247    10.100.100.1    255.255.255.255 UGH   0      0        0 eth1 194.9.69.251    10.100.100.1    255.255.255.255 UGH   0      0        0 eth1 194.9.69.249    10.100.100.2    255.255.255.255 UGH   0      0        0 eth1 193.27.0.251    10.100.100.1    255.255.255.255 UGH   0      0        0 eth1 194.9.69.33     10.100.224.11   255.255.255.255 UGH   0      0        0 eth1 193.27.0.233    10.100.100.1    255.255.255.255 UGH   0      0        0 eth1 194.9.69.234    10.100.100.1    255.255.255.254 UG    0      0        0 eth1 194.9.69.8      10.100.64.135   255.255.255.248 UG    0      0        0 eth1 193.27.0.248    10.100.100.1    255.255.255.248 UG    0      0        0 eth1 192.168.1.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0 10.100.0.0      0.0.0.0         255.255.0.0     U     0      0        0 eth1 127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0 lo 0.0.0.0         10.100.100.1    0.0.0.0         UG    0      0        0 eth1
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	16. "NAT не маскирует все пакеты"
	Сообщение от reader (ok) on 10-Июл-08, 15:24
	и где тут eth2? в правилах ната исправляйте на eth1
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	17. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 16:00
	>и где тут eth2? >в правилах ната исправляйте на eth1 Когда я писал топик у меня стояла Debian там было eth1(LAN) eth1(INET) сейчас я вернул SlacWare  тут eth0(LAN) eth1(INET) Поэтому там все верно. Вот самое простое что мне посоветовал провайдер Chain INPUT (policy ACCEPT 341 packets, 48453 bytes)     pkts      bytes target     prot opt in     out     source               destination Chain FORWARD (policy DROP 0 packets, 0 bytes)     pkts      bytes target     prot opt in     out     source               destination      884   844497 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0 Chain OUTPUT (policy ACCEPT 335 packets, 57202 bytes)     pkts      bytes target     prot opt in     out     source               destination Chain PREROUTING (policy ACCEPT 31 packets, 6653 bytes)     pkts      bytes target     prot opt in     out     source               destination Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)     pkts      bytes target     prot opt in     out     source               destination        1       48 SNAT       all  --  *      eth1    0.0.0.0/0            0.0.0.0/0           to:10.100.250.2        0        0 DROP       all  --  *      eth1    0.0.0.0/0            0.0.0.0/0 Chain OUTPUT (policy ACCEPT 656 packets, 52692 bytes)     pkts      bytes target     prot opt in     out     source               destination Chain PREROUTING (policy ACCEPT 1249 packets, 896K bytes) pkts bytes target     prot opt in     out     source               destination Chain INPUT (policy ACCEPT 262K packets, 45M bytes) pkts bytes target     prot opt in     out     source               destination Chain FORWARD (policy ACCEPT 299K packets, 202M bytes) pkts bytes target     prot opt in     out     source               destination Chain OUTPUT (policy ACCEPT 343 packets, 59330 bytes) pkts bytes target     prot opt in     out     source               destination Chain POSTROUTING (policy ACCEPT 553K packets, 320M bytes) pkts bytes target     prot opt in     out     source               destination ifconfig eth0      Link encap:Ethernet  HWaddr 00:19:D1:02:3F:CE           inet addr:192.168.1.70  Bcast:192.168.1.255  Mask:255.255.255.0           inet6 addr: fe80::219:d1ff:fe02:3fce/64 Scope:Link           UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1           RX packets:349794 errors:0 dropped:0 overruns:0 frame:0           TX packets:422270 errors:0 dropped:0 overruns:0 carrier:0           collisions:0 txqueuelen:100           RX bytes:61793315 (58.9 MiB)  TX bytes:310487446 (296.1 MiB)           Base address:0x30e0 Memory:50300000-50320000 eth1      Link encap:Ethernet  HWaddr 00:11:95:F6:5C:E6           inet addr:10.100.250.2  Bcast:10.100.255.255  Mask:255.255.0.0           inet6 addr: fe80::211:95ff:fef6:5ce6/64 Scope:Link           UP BROADCAST NOTRAILERS RUNNING MULTICAST  MTU:1500  Metric:1           RX packets:391657 errors:0 dropped:0 overruns:0 frame:0           TX packets:133422 errors:0 dropped:0 overruns:0 carrier:0           collisions:0 txqueuelen:1000           RX bytes:211370725 (201.5 MiB)  TX bytes:21003392 (20.0 MiB)           Interrupt:21 lo        Link encap:Local Loopback           inet addr:127.0.0.1  Mask:255.0.0.0           inet6 addr: ::1/128 Scope:Host           UP LOOPBACK RUNNING  MTU:16436  Metric:1           RX packets:416 errors:0 dropped:0 overruns:0 frame:0           TX packets:416 errors:0 dropped:0 overruns:0 carrier:0           collisions:0 txqueuelen:0           RX bytes:217672 (212.5 KiB)  TX bytes:217672 (212.5 KiB)
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	19. "NAT не маскирует все пакеты"
	Сообщение от reader (ok) on 10-Июл-08, 16:18
	>[оверквотинг удален] >          UP LOOPBACK >RUNNING  MTU:16436  Metric:1 >          RX packets:416 >errors:0 dropped:0 overruns:0 frame:0 >          TX packets:416 >errors:0 dropped:0 overruns:0 carrier:0 >          collisions:0 txqueuelen:0 > >          RX bytes:217672 >(212.5 KiB)  TX bytes:217672 (212.5 KiB) то что и Oyyo советовал в первом ответе, только без DROP в которое и так ничего не должно попасть
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	20. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 16:22
	ДА только Oyyo про iptables -I FORWARD -j ACCEPT не писал. Мне кажется что надо еще DROOP где-то добавить вот только не знаю куда.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	21. "NAT не маскирует все пакеты"
	Сообщение от reader (ok) on 10-Июл-08, 16:44
	>ДА только Oyyo про >iptables -I FORWARD -j ACCEPT не писал. так если пакеты из локалки до провайдерской сети доходили значит форвард был разрешен. > > >Мне кажется что надо еще DROOP где-то добавить вот только не знаю >куда. drop по умолчанию, как и у вас в форвард, последнее разрешающее убрать и корректно разрешить то что нужно, так же и во входящих и исходящих http://www.opennet.me/docs/RUS/iptables/
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	22. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 16:56
	Спасибо за мануал я его видел уже ни один раз. А что разрешить например. ну допустим iptables -I FORWARD -s 192.168.1.0/24 -j ACCEPT у меня это тоже что и iptables -I FORWARD -j ACCEPT так как больше сетей нету если зделать так iptables -I FORWARD -s 192.168.1.0/24 -o eth1 -j DROP или что-то подобное зделать инет вообще не работает И как я понял цепочка POSTROUTING таблици nat - самая последняя тоесть после нее зарезать пакеты уже не вазможно хоть бери и второй сервер ставь. А если роутер купить он поможет или нет?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	24. "NAT не маскирует все пакеты"
	Сообщение от reader (ok) on 10-Июл-08, 17:15
	>Спасибо за мануал я его видел уже ни один раз. > >А что разрешить например. >ну допустим > 1 >iptables -I FORWARD -s 192.168.1.0/24 -j ACCEPT >у меня это тоже что и >iptables -I FORWARD -j ACCEPT >так как больше сетей нету >если зделать так нет не одно и тоже. iptables -I FORWARD -s 192.168.1.0/24 -j ACCEPT разрешает из 192.168.1.0/24 к провайдеру, но от провайдера в локалку - нет. iptables -I FORWARD -j ACCEPT разрешает в обе стороны, включая установку соединения с вашей локалкой, а это уже плохо. так что читайте про флаги еще и переписывайте правила. входящие тоже все разрешены, тоесть можно из провайдерской сети устанавливать соединения с вашим шлюзом, это тоже плохо. > >iptables -I FORWARD -s 192.168.1.0/24 -o eth1 -j DROP >или что-то подобное зделать инет вообще не работает этим вы отрубили локалку от провайдера > >И как я понял цепочка POSTROUTING таблици nat - самая последняя >тоесть после нее зарезать пакеты уже не вазможно >хоть бери и второй сервер ставь. режте , хотя лучше по умолчанию запретить  и разрешать то что должно быть разрешено, в таблице фильтров и тогда до POSTROUTING таблици nat дойдет только то что разрешено > >А если роутер купить он поможет или нет? его тоже настраивать нужно
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	26. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 17:29
	Это все я понимаю прекрасно на самом деле это простой пример в полном правил много я использую arno's firewall http://rocky.molphys.leidenuniv.nl/ вот FORWARD например Chain FORWARD (policy DROP 0 packets, 0 bytes) pkts bytes target     prot opt in     out     source               destination     0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0    25  1200 TCPMSS     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0         tcp flags:0x06/0x02 TCPMSS clamp to PMTU 1353  947K ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0         state ESTABLISHED     0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0         state RELATED tcp dpts:1024:65535     0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0         state RELATED udp dpts:1024:65535     0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0         state RELATED    54  2360 HOST_BLOCK  all  --  *      *       0.0.0.0/0            0.0.0.0/0    54  2360 MAC_FILTER  all  --  eth0   *       0.0.0.0/0            0.0.0.0/0    54  2360 SPOOF_CHK  all  --  *      *       0.0.0.0/0            0.0.0.0/0     0     0 VALID_CHK  all  --  eth1   *       0.0.0.0/0            0.0.0.0/0     0     0 RESERVED_NET_CHK  all  --  eth1   *       0.0.0.0/0            0.0.0 .0/0     0     0 ACCEPT     all  --  eth0   eth0    0.0.0.0/0            0.0.0.0/0    54  2360 LAN_INET_FORWARD_CHAIN  all  --  eth0   eth1    0.0.0.0/0 0.0.0.0/0     0     0 LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0         limit: avg 1/min burst 3 LOG flags 0 level 7 prefix `Dropped FORWARD pac ket: '     0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0 так что же мне резать подскажите?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	27. "NAT не маскирует все пакеты"
	Сообщение от reader (ok) on 10-Июл-08, 17:45
	>[оверквотинг удален] >3 LOG flags 0 level 7 prefix `Dropped FORWARD pac >ket: ' >    0     0 DROP   >     all  --  *   >    *       >0.0.0.0/0           > 0.0.0.0/0 > > >так что же мне резать подскажите? тут есть пользовательские цепочки в которые не понятно что попадет, так что лучше iptables-save  и не зная что вы хотите разрешить , а что нет, советовать трудно
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	31. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 18:11
	Еще есть один момент интересный у моего знакомого тот-же провайдер но ядро 2.4 а не 2.6 как у меня и у него все ОК!!!. Провайдер не обижается
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	32. "NAT не маскирует все пакеты"
	Сообщение от Oyyo on 11-Июл-08, 10:19
	>Еще есть один момент интересный у моего знакомого тот-же провайдер но ядро >2.4 а не 2.6 как у меня и у него все >ОК!!!. Провайдер не обижается версия ядра здесь ни причём из всего, что я прочёл в постах выше, почемуто начинает казаться что ваш провайдер ДЕБИЛ 1. если пров отдаёт вам статический IP по DHCP (хочется смеятся) лучше используйте не SNAT, а MASQUERADE, вдруг завтра пров поменяет вам IP, а вы и знать не будете 2. непонятно как пров отдаёт вам реальный IP, если он делает DNAT, то это полный дебилизм ни один пакет не может обойти цепочку POSTROUTIG таблицы nat, если только правило прописанное там не делает отбора пакетов т.е. правило должно быть самым простым iptables -t nat -I POSTROUTING -o eth2(или что там у вас смотрит на прова) -j MASQUERADE в цепочке FORWARD уберите всё, что там есть (правда я не понял зачем там накручены такие сложности) и начните с самого простого, а потом усложняйте iptables -A FORWARD -j ACCEPT -i eth1(LAN) -o eth2(INET) iptables -A FORWARD -j ACCEPT -o eth1(LAN) -i eth2(INET) -m state --state RELATED,ESTABLISHED +++++++++++++++++++++++++ вы показали tcpdump с интерфейса который смотрит на провайдера, повторю кусочек tcpdump -i eth2 | grep 192.168.1. tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth2, link-type EN10MB (Ethernet), capture size 96 bytes 09:46:59.219162 IP 192.168.1.15.3484 > bu-in-f147.google.com.http: F 3094018935:3094018935(0) ack 393800694 win 64865 09:47:01.420422 IP 192.168.1.7.2934 > bu-in-f91.google.com.http: F 3007321576:3007321576(0) ack 569050773 win 65249 09:47:05.644846 IP 192.168.1.7.2938 > bu-in-f99.google.com.http: F 2357605203:2357605203(0) ack 601534958 win 65233 вы уверены, что  IP 192.168.1.7 и 192.168.1.15 принадлежат вашей подсетке, а не какой нибудь другой? tcpdump показывает всё, что творится на внешней стороне интерфеса
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	33. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 11-Июл-08, 13:42
	Насчет IP 192.168.1.7 и 192.168.1.15 я уверен потому-что менял IP 192.168.1.8 на 192.168.1.15 и 192.168.1.8 уже не было в дампе Как ни странно MASQUERADE тоже не помогает а для IP у меня есть скрипт на пхп который его подставляет в правило firewall но он всегда один и тот же Насчет реального IP я не вкурсе как он выдается но сервер его не видет и ваще вся локальная сеть. Его видно только с другого интернет провайдера.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	36. "Спасибо  NAT уже  маскирует все пакеты"
	Сообщение от Влад (??) on 12-Июл-08, 18:42
	Спасибо!! Я последовал вашему примеру и вот такой скрипт действительно все маскирует tcpdump пустой. Работает как SNAT так и MASQUERADE. #!/bin/sh IPTAB=/usr/sbin/iptables #LAN CONFIGURATION ------------------------------------ LAN="192.168.1.0/24" LAN_IF="eth1" #INET CONFIGURATION ------------------------------------ INET_IF="eth2" # SCRIPT BODY ------------------------------------ #SETTING DEFAULT POLICY --------------------------- $IPTAB -F $IPTAB -X $IPTAB -F INPUT $IPTAB -F OUTPUT $IPTAB -F FORWARD $IPTAB -t nat -F $IPTAB -t nat -X $IPTAB -t mangle -F $IPTAB -t mangle -X #SET DEFAULT POLICY $IPTAB -P FORWARD DROP $IPTAB -P OUTPUT ACCEPT $IPTAB -P INPUT ACCEPT #FORWARD RULES -------------------------------------- $IPTAB -A FORWARD -i $LAN_IF -o $INET_IF -m state --state NEW -j ACCEPT $IPTAB -A FORWARD -i $LAN_IF -o $INET_IF -m state --state ESTABLISHED -j ACCEPT $IPTAB -A FORWARD -i $LAN_IF -o $INET_IF -m state --state RELATED -j ACCEPT $IPTAB -A FORWARD -o $LAN_IF -i $INET_IF -m state --state ESTABLISHED -j ACCEPT $IPTAB -A FORWARD -o $LAN_IF -i $INET_IF -m state --state RELATED -j ACCEPT #NAT RULES------------------------------------------------------------- $IPTAB -t nat -I POSTROUTING -o $INET_IF -j MASQUERADE
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	23. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 17:02
	Как я понял некотрые пакеты не доходят до POSTROUTING что кажется не вазможным судя из специфики iptables и рисунка с примером движения пакетов по цепочкам. Получается что последняя цепочка FORWARD самое интересное то что большая часть пакетов 95% идут на google rambler и т.д других сайтов не видно
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	25. "NAT не маскирует все пакеты"
	Сообщение от reader (ok) on 10-Июл-08, 17:23
	>Как я понял некотрые пакеты не доходят до POSTROUTING что кажется не >вазможным судя из специфики iptables и рисунка с примером движения пакетов >по цепочкам. все зависит от того какие пакеты, некоторые и не должны попасть > >Получается что последняя цепочка FORWARD она не последняя, через нее идут транзитные пакеты, а локальные по отношению к шлюзу через другие > >самое интересное то что большая часть пакетов 95% идут на google rambler >и т.д > >других сайтов не видно
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	28. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 17:51
	Мне нужно что бы из локальной сети eth0 192.168.1.0/24 был доступ в интернет через нат при этом все пакеты с локальной сети должны получить source address 10.100.250.2(eth1) Вот и все. Как мне зарезать пакеты котрые не попали под NAT
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	29. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 17:53
	Приведите простой пример правил для этого. Политику безопасности я и сам настрою с этим проблем пока небыло
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	35. "NAT не маскирует все пакеты"
	Сообщение от KobaLTD on 11-Июл-08, 15:20
	>Приведите простой пример правил для этого. >Политику безопасности я и сам настрою с этим проблем пока небыло iptables -P FORWARD DROP iptables -A FORWARD -i eth0 -s 192.168.0.0/24 -o eth1 -j ACCEPT iptables -A FORWARD -i eth1 -d 192.168.0.0/24 --state RELATED,ESTABLSHED -j ACCEPT iptables -t nat -A POSTROUTING -s 192.168.0./24 -o eth1 -j MASQUERADE это минимум который нужен и который реально работает + советы 1) если у вас шнурок воткнут в какой то хаб тонадо вытащить локалку и подампить, может это действительно не ваши пакеты ловяться, не вы один можете юзать 192.168.0.0/24, дампом особо не пользовался но могу предположить что как умная прога он сразу расшифровывает NAT в локальные адреса (если пускаеться на роутере) - для этого дампить нужно на другом конце. 2) Не знаю как дебиане а в слаке 12 по умолчанию в ядре включен роутинг брадкаст пакетов и MAC брадкаст - вот это и может видеть вашь пров и ругаться 3) Возьмите машину какуюнибуть и вокните к eth1 и на ней продампи что утебя выходит с интерфейса.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	30. "NAT не маскирует все пакеты"
	Сообщение от Влад (??) on 10-Июл-08, 17:59
	А как-то перехватывать пакеты после файервола iptables можна? Я бы тогда зарезл все пакеты которые не прошли SNAT
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]