Printable View
кто либо можеть сказать в чем глубинный смысл такой записи в таблице nat
Chain POSTROUTING (policy ACCEPT 113K packets, 6722K bytes)
pkts bytes target prot opt in out source destination
0 0 MASQUERADE all -- * br0 192.168.1.0/24 192.168.1.0/24
где 192.168.1.0/24 адреса локальной сети.
?
С какой целью интересуешься? :DQuote:
Originally Posted by gaaronk
А вообще не помешало бы указать конфигурацию сетки, а то у меня сегодня с телепатическими способности не очень...
Короче, здесь в цепочке POSTROUTING (на выходе роутера) задано маскардить пакеты из 192.168.1.0/24 в 192.168.1.0/24, казалось бы бред, но если железка у тебя работает как активный ретранслятор (шлюз) объединяющий две части одной подсетки, то почему бы и нет?
с целью понять - НО ЗАЧЕМ?Quote:
Originally Posted by andlev
поподробнее плз. шлюз он то с одной стороны одна сеть с другой другая. и маршрутизация между ними. натить из 1.1.1.1 в 1.1.1.1 для меня кажется бредомQuote:
Originally Posted by andlev
Частный случай, _ два куска одной подсетки _, между ними 200 метров (или одна проводная, другая Wi-Fi), одним куском провода объединить не реально (воздух с проводом не склеить). Вот и ставиться по середине шлюз который помогает докидывать пакеты, а чтобы все работало как надо (кваку в локалке погонять), пакеты нужно маскарадить, вот это действие данное правило и определяет.Quote:
Originally Posted by gaaronk
для таких вещщей ставят свич посрединеQuote:
Originally Posted by andlev
но даже такое правило я бы понял. если бы был включен proxy arp.
вообщем посмотрел что в это правило попадают только пакеты когда инициируешь сессию с роутера внутрь сети, при работе одного клиента по ethernet а другого через wi-fi слава богу этот ужас не задействуется.
Возможно я не теми метафорами говорю, но рисовать лень... В общем есть две подсетки, она на одном роутере, вторая на другом, надо соединить их в одну подсетку 192.168.1.0/24. Для этого выделяется на обоих роутерах по интерфейсу, и прописываются правило, маскарадить все входящие соединения (из сети) на выход (другой роутер). На втором, очевидно, пишется тоже самое. Как по другому можно объединить данные сетки я не представляю.Quote:
Originally Posted by gaaronk
Да этот случай надо фильтровать отдельно, чтобы с роутера небыло возможности шариться по локалке, но это уже другая тема.Quote:
Originally Posted by gaaronk
это другое, это мы понимаем. двойной нат. но в этом случае локалка натится в ип что смотрит в сторону транспортной сетки. там все по другому и к этому нату оно отношения не имеет. вообщем непонятно и бесполезно.Quote:
Originally Posted by andlev
ну с этим то у меня слава богу проблем нет.Quote:
Originally Posted by andlev
Вот бодягу развели :D
http://www.wl500g.info/showthread.php?t=4921
Quote:
Originally Posted by Oleg
Хочу немного усложнить работу iptables в коробке. опыт настройки iptables есть нормальный.
Чтобы не работать в режиме "метода тыка" для этого надо бы разобраться как происходит загрузка цепочек в роутере, а ещё лучше как происходит инциализация системы в целом. может есть неведомый мне init - скрипт который всё делает?
Нашёл в tmp некие filter_rules и nat_rules. Кем они и когда используются? Можно ли их править?
Про post-firewall читал и даже немного его использую. Но было бы намного проще если бы разобрался в системе в целом.
Где бы почитать? Или подскажите на пальцах.
Проще всего - в post-firewall почисть все цепочки и пиши с чистого листа.
да, такой варинат пока единственный =(Quote:
Originally Posted by Duke
но разобраться как оно работает было бы тоже неплохо =)
Хотите разобраться - читайте исходники. Только не пойму, что за вопросы... Генерирует он эти файлы по содержимому nvram, потом запускает iptables-restore. Потом я дёргаю post-firewall...
примерно такого ответа я и ждал, спасибо! =)Quote:
Originally Posted by Oleg
просьба кому не лень стукнуть в аську 740004
требуется открыть порт исходящий.
буду очень признателен
сперва:
если определён VSERVER то:Code:iptables -nvL -t nat
если нет:Code:iptables -t nat -A VSERVER -j DNAT -i vlan1 -d <твой внешний IP> -p tcp --dport <твой порт> --to <твой внутренний IP>:<твой порт>
Code:iptables -t nat -I PREROUTING 1 -j DNAT -i vlan1 -d <твой внешний IP> -p tcp --dport <твой порт> --to <твой внутренний IP>:<твой порт>
iptables --list
iptables -t nat --list
порой выводит все сразу, а порой по строчке в минуту.
роутер ничем не занят, остальные команды не тормозят
дайте опцию -n для команд или почините DNSQuote:
Originally Posted by Rambalac
DNS? у меня там всегда были IP, и когда тормозит, и когда нет
А DNS сервер работает нормально, вроде.
Тормозит когда доходит до строк, где ИП локальных компов
с опцией -n тормозит вывод ?Quote:
Originally Posted by Rambalac
дома надо будет проверить
дОлжно отметить, что с опцией -n вывод не тормозит.
Вместо, скажем, такого глубокомысленного резолвинга имени как anywhere (который действительно занимает с полминуты) получаем 0.0.0.0 мгновенно.
А что не так с ДНС? Вроде работает довольно шустро...
Quote:
Originally Posted by al37919
iptables пытается обротно-отрезолвить адреса. Не получается для некоторых адресов . Вот и паузы.
Пропишите в DNS in-arpa зоны или забейте и пользуйте -n :cool:
Подскажите плз, как настроить маршрутизацию
ситуация следуюшая:
1-я сетка (wl500gP) vlan1 - 10.1.1.2 MASK 255.255.255.0 GW 10.1.1.1
br0 - 192.168.0.1 MASK 255.255.255.0
2-я сетка (wl500gP) vlan1 - 10.1.1.3 MASK 255.255.255.0 GW 10.1.1.1
br0 - 192.168.1.1 MASK 255.255.255.0
Вапрос в том, что и где прописать чтоб из первой сети получить доступ ко второй и наоборот.
По-моему у вас тут перепутаны айпи-адреса на br0 и vlan1, или я чего-то не понял.
Можно ситуацию подробнее изложить, что прописано на роутере (WAN IP, LAN IP), что за сеть, куда надо получить доступ.
Да ничего не перепутано. Городская сетка с адресами 10.1.1.* подключена у обоих роутеров к WANQuote:
Originally Posted by SpiderX
первая домашняя сеть:
Внешний IP 10.1.1.2 маска 255.255.255.0 шлюз 10.1.1.1
Внутренние IP 192.168.0.* (у роутера 192.168.0.1) mask 255.255.255.0
вторая домашняя сеть:
Внешний IP 10.1.1.3 маска 255.255.255.0 шлюз 10.1.1.1
Внутренние IP 192.168.1.* (у роутера 192.168.1.1) mask 255.255.255.0
Требуется чтобы компы из 192.168.0.* (первая сетка) имели достут к компам 192.168.1.* (вторая сетка) и наоборот
Поднимай VPN между роутерами, настраивай маршрутизацию и все :)
Как это сделать описывалось здесь много, много раз.
А зачем мне ВПН подымать ?? Они у меня итак оба в одной сетке (на Ванах)Quote:
Originally Posted by KOCTET
Ткните меня в настройку маршрутизации или повторите, бо я чесно говоря даж незнаю де искать. да и чтоб впн поднять нуна чтото ставить в роутер а у меня к ним даж флешки пока непоцеплены. Это раз.
А два - у меня скорость тада между сетками будет 2-3 мега, у меня в роутерах ващето ещё и pptp соединение для интернета, так что боюсь роутер будет тупо загибаца
Умом понимаю что нужно как минимум:
на первом роутере (1-я сеть) добавить маршрут
route add 192.168.1.0 netmask 255.255.255.0 GW 10.1.1.3
на втором (2-я сеть) соотведственно
route add 192.168.0.0 netmask 255.255.255.0 GW 10.1.1.2
Но када я это сделал почемуто пакеты не ходять
наверное нужно еще чтото в iptables сделать.
Самый простой вариант - это вот этим компам за роутером раздать айпи адреса из 10.1.1.х.
Не простой вариант - впн.
А вообще как компьютеры должны быть видимы? Может там пару сервисов, и можно ограничиться прокидыванием портов?
Это ни к чему не приведет, ибо 10.1.1.3 для 192.168.1.х не существует, для них есть айпи роутера в 192.168.1.х, для 192.168.0.0 и 10.1.1.2 ситуация аналогична.Quote:
Originally Posted by tchaynik
Почитав много чего на этом форуме я понял как сформулировать задачу правельнее. Мне нужно включить NAT пакетов с MAN(vlan1) в локалку (br0) но только для определенного IP. А как это сделать - я вощемто и пытаюсь узнать.
В более ранних версиях вродебы была такая дырка в безопастности и для ее закрытия, Олег писал, что нужно чтобы обязательно был включен фильтр пакетов с WAN в LAN.
Вот такое вот сообщение получаю. Пытаюсь воспользоваться различными скриптами с форума, но там, где содержится аргумент "j" они не работают.
Хелп iptable выдает только аргумент --jump -j target
target for rule (may load target extension)
, но ведь это, насколько я понимаю, не одно и то же.
Где копать?
Прошивка в подписи, пакеты ставил с альтернативного репозитария, но видимо какой-то пакет не переустановил. А отдельно пакета iptable я не нашел.
Пакеты здесь не причем. На команду, которую вводишь можно взглянуть?
Ну это не тайна. Используется скрипт Вашего (Гранд мерси!) приготовления ipmac.sh.Quote:
Originally Posted by Mam(O)n
И вот когда дело доходит до строк:
... и далее, выдаются такие сообщения.Code:$IPT -t nat -A ${pref}REDIR -p tcp --dport 80 -j REDIRECT --to-port $tport
$IPT -t nat -A ${pref}REDIR -j DROP
$IPT -t nat -N ${pref}FILTER
Единственное, что может быть, данный скрипт был вставлен в редактор MC методом copy/paste непостредственно со странички форума. Но весь скрипт до этих строк работает нормально.
Хм. Обычно такое бывает, когда после -j ничего нет. Проверь параметры запуска, cкорее всего ошибки вываливаются на этой строчке.
Хотя может и глюк при copy-paste. Я временно скрипт выложил в инете, попробуй скачать:Code:$IPT -t nat -I PREROUTING -m mac --mac-source $mac -j $pref$mac &&
Code:wget http://mamon.xost.ru/ipmac.sh
Спасибо. "Натуральный" скрипт очень даже помог. :) Где-то я у себя намудрил (пришлось редактировать "сбившиеся" табуляции при вставке в MC).
Чтоб при копи-пасте в mc табуляции не сбивались отключи опцию в редакторе F9 => Options => General => Return does autoindent
Спасибо за совет. Век живи, век учись.
Однако по самому скрипту возникли вопросы. Если не в тягость, то прошу ответить в соответствующей теме.
Знаю, что это некоторый оффтопик, но тем не менее.
Мне нужен специалист по iptables, способный написать правила для требуемой мне конфигурации за денежку.
У самого меня, видимо, мозг на это не заточен - я пару раз попытался, но ничего приличного изобразить не смог. Готов заплатить, скажем, полстоимости нового премиума.
Существует ли на патч mport для iptables роутера?
Очень бы хотелось в правилах просто перечислить нужные мне порыт через запятую, а не создавать одно правило на каждый порт.
Например, вот так
Code:iptables -A INPUT -p tcp -m mport --ports 20:23,80 -j DROP