Printable View
кто либо можеть сказать в чем глубинный смысл такой записи в таблице nat
Chain POSTROUTING (policy ACCEPT 113K packets, 6722K bytes)
pkts bytes target prot opt in out source destination
0 0 MASQUERADE all -- * br0 192.168.1.0/24 192.168.1.0/24
где 192.168.1.0/24 адреса локальной сети.
?
С какой целью интересуешься? :DQuote:
Originally Posted by gaaronk
А вообще не помешало бы указать конфигурацию сетки, а то у меня сегодня с телепатическими способности не очень...
Короче, здесь в цепочке POSTROUTING (на выходе роутера) задано маскардить пакеты из 192.168.1.0/24 в 192.168.1.0/24, казалось бы бред, но если железка у тебя работает как активный ретранслятор (шлюз) объединяющий две части одной подсетки, то почему бы и нет?
с целью понять - НО ЗАЧЕМ?Quote:
Originally Posted by andlev
поподробнее плз. шлюз он то с одной стороны одна сеть с другой другая. и маршрутизация между ними. натить из 1.1.1.1 в 1.1.1.1 для меня кажется бредомQuote:
Originally Posted by andlev
Частный случай, _ два куска одной подсетки _, между ними 200 метров (или одна проводная, другая Wi-Fi), одним куском провода объединить не реально (воздух с проводом не склеить). Вот и ставиться по середине шлюз который помогает докидывать пакеты, а чтобы все работало как надо (кваку в локалке погонять), пакеты нужно маскарадить, вот это действие данное правило и определяет.Quote:
Originally Posted by gaaronk
для таких вещщей ставят свич посрединеQuote:
Originally Posted by andlev
но даже такое правило я бы понял. если бы был включен proxy arp.
вообщем посмотрел что в это правило попадают только пакеты когда инициируешь сессию с роутера внутрь сети, при работе одного клиента по ethernet а другого через wi-fi слава богу этот ужас не задействуется.
Возможно я не теми метафорами говорю, но рисовать лень... В общем есть две подсетки, она на одном роутере, вторая на другом, надо соединить их в одну подсетку 192.168.1.0/24. Для этого выделяется на обоих роутерах по интерфейсу, и прописываются правило, маскарадить все входящие соединения (из сети) на выход (другой роутер). На втором, очевидно, пишется тоже самое. Как по другому можно объединить данные сетки я не представляю.Quote:
Originally Posted by gaaronk
Да этот случай надо фильтровать отдельно, чтобы с роутера небыло возможности шариться по локалке, но это уже другая тема.Quote:
Originally Posted by gaaronk
это другое, это мы понимаем. двойной нат. но в этом случае локалка натится в ип что смотрит в сторону транспортной сетки. там все по другому и к этому нату оно отношения не имеет. вообщем непонятно и бесполезно.Quote:
Originally Posted by andlev
ну с этим то у меня слава богу проблем нет.Quote:
Originally Posted by andlev
Вот бодягу развели :D
http://www.wl500g.info/showthread.php?t=4921
Quote:
Originally Posted by Oleg
Хочу немного усложнить работу iptables в коробке. опыт настройки iptables есть нормальный.
Чтобы не работать в режиме "метода тыка" для этого надо бы разобраться как происходит загрузка цепочек в роутере, а ещё лучше как происходит инциализация системы в целом. может есть неведомый мне init - скрипт который всё делает?
Нашёл в tmp некие filter_rules и nat_rules. Кем они и когда используются? Можно ли их править?
Про post-firewall читал и даже немного его использую. Но было бы намного проще если бы разобрался в системе в целом.
Где бы почитать? Или подскажите на пальцах.
Проще всего - в post-firewall почисть все цепочки и пиши с чистого листа.
да, такой варинат пока единственный =(Quote:
Originally Posted by Duke
но разобраться как оно работает было бы тоже неплохо =)
Хотите разобраться - читайте исходники. Только не пойму, что за вопросы... Генерирует он эти файлы по содержимому nvram, потом запускает iptables-restore. Потом я дёргаю post-firewall...
примерно такого ответа я и ждал, спасибо! =)Quote:
Originally Posted by Oleg
просьба кому не лень стукнуть в аську 740004
требуется открыть порт исходящий.
буду очень признателен
сперва:
если определён VSERVER то:Code:iptables -nvL -t nat
если нет:Code:iptables -t nat -A VSERVER -j DNAT -i vlan1 -d <твой внешний IP> -p tcp --dport <твой порт> --to <твой внутренний IP>:<твой порт>
Code:iptables -t nat -I PREROUTING 1 -j DNAT -i vlan1 -d <твой внешний IP> -p tcp --dport <твой порт> --to <твой внутренний IP>:<твой порт>