Forum Guru
Ну тогда просто замечательно. Просто пропишешь мак соседнего роутера в том правиле и твои сети будут защищены.Originally Posted by tchaynik
Нет, ненужно. Разве при настройке маршрутизации для домашних сетей мы какие-нибудь дополнительные правила прописываем? По-умолчанию такие пакеты не режутся. Посмотри iptables -L FORWARD -vn и всё поймешь. Это таблица правил для пакетов, транзитно проходящих роутер.
Forum Guru
Посмотрел. Ничего не понял
Я пытаюсь разобраться вот в чем: как в таком случае роутер узнает, что пакеты идушие, к примеру, на IP 10.10.10.10 нужно пускать через NAT, т.е. подменять IP источника, а вот идущие на IP 192.168.2.2 нужно просто роутить, т.е. предпринимать несколько более другие действия.
Forum Guru
Nat реализован в iptables и чтоб понять, как это работает нужно обратится к документации, которую я здесь пересказывать не буду ибо нет смысла, т.к. объем немалый. Только одно скажу, то, в чем ты пытаешься разобраться, прописано в таблицах iptables (см. iptables -L POSTROUTING -vnt nat)Посмотрел. Ничего не понял
Я пытаюсь разобраться вот в чем: как в таком случае роутер узнает, что пакеты идушие, к примеру, на IP 10.10.10.10 нужно пускать через NAT, т.е. подменять IP источника, а вот идущие на IP 192.168.2.2 нужно просто роутить, т.е. предпринимать несколько более другие действия.
upd
Кстати меня на мысль навел, ведь всё на выходе натится же... надо подумать(/me убежал в магазин)
Last edited by Mam(O)n; 06-09-2007 at 17:44.
Forum Guru
Дык а я о чем?
Senior Member
тут была подобная тема...
Last edited by Omega; 21-01-2012 at 11:23. Reason: fixed
Forum Guru
/me вернулся из магаза довольный ;)
Сам nat не будет мешать обмену трафиком между двумя сетями. Дело в том, что не будут видны реальные ip с которых заходят из другой сети. Тут надо подправить правила маскардинга. Например в post-firewall можно прописать:
updCode:# Очищаем все правила в цепочке POSTROUTING iptables -t nat -F POSTROUTING # Маскардинг на исходящие пакеты с wan/man интерфейсов при условии что они не предназначены для сети 192.168.0.0/24 iptables -t nat -A POSTROUTING -o $1 -s ! $2 -d ! 192.168.0.0/24 -j MASQUERADE iptables -t nat -A POSTROUTING -o $5 -s ! $6 -d ! 192.168.0.0/24 -j MASQUERADE # Полезное правило. Догадайтесь, зачем оно ;) ($3=br0) iptables -t nat -A POSTROUTING -o $3 -s $(nvram get lan_ipaddr)/$(nvram get lan_netmask) -d $(nvram get lan_ipaddr)/$(nvram get lan_netmask) -j MASQUERADE
еще раз перечитал ветку и снова поймал себя на невнимательности:
Iptables это firewall/nat, он ничего не роутит. Он только режет/видоизменяет пакеты. Роутингом заведует ядро.
Last edited by Mam(O)n; 06-09-2007 at 19:49. Reason: upd
Forum Guru
Mam(O)n
А я так и не понял, для чего 3-е правило. Что-то не получается представить ситуацию, когда одновременно и источником и назначением будет сам роутер.
Forum Guru
источником и назначением является не сам роутер а вся подсеть Lan (который не Man). Кстати это правило в прошивке по дефолту
Forum Guru
Хорошо, понятно. Но зачем нам маскарадинг внутри локалки?
Forum Guru
Я щас нарвался на объяснение этому явлению от Олега. Странно, но именно так я это и использовал, хотя подразумевал нечто большее
Forum Guru
Ну вот теперь все прояснилось.
Дождемся результатов полевых испытаний правил от tchaynik, и тему можно будет считать полностью раскрытой.
Senior Member
Все работает. Большушее спасибо. Пока не придумал как заставить винду видеть компы из другой сетки, но по IP видно.
Более детально отпишусь как время будет.
Я в post-firewall обоих роутеров дописал правила по очистке nat:
и потом:Code:# Очищаем все правила в цепочке POSTROUTING iptables -t nat -F POSTROUTING # Маскардинг на исходящие пакеты с wan/man интерфейсов при условии что они не предназначены для сети 192.168.0.0/24 iptables -t nat -A POSTROUTING -o $1 -s ! $2 -d ! 192.168.0.0/24 -j MASQUERADE iptables -t nat -A POSTROUTING -o $5 -s ! $6 -d ! 192.168.0.0/24 -j MASQUERADE # Полезное правило. Догадайтесь, зачем оно ;) ($3=br0) iptables -t nat -A POSTROUTING -o $3 -s $(nvram get lan_ipaddr)/$(nvram get lan_netmask) -d $(nvram get lan_ipaddr)/$(nvram get lan_netmask) -j MASQUERADE
Code:# Разрешаем проходящие пакеты. Мак адрес здесь защита от дурака. iptables -I FORWARD -i vlan1 -o br0 -d 192.168.x.0/24 -m mac --mac-source мак_адрес_соседнего_роутера -j ACCEPT # На случай, если кто до роутера захочет докопатся iptables -I FORWARD -i vlan1 -d 192.168.x.1 -j DROP # Правила нужно прописывать именно в этой последовательности
Last edited by tchaynik; 08-09-2007 at 09:03.
Forum Guru
Небольшое дополнение:
[QUOTE=tchaynik;62803]
Здесь вместо 192.168.0.0/24 следует прописывать сеть соседнего роутера.Code:iptables -t nat -A POSTROUTING -o $1 -s ! $2 -d ! 192.168.0.0/24 -j MASQUERADE iptables -t nat -A POSTROUTING -o $5 -s ! $6 -d ! 192.168.0.0/24 -j MASQUERADE
А чтоб венда в сетевом окружении смогла видеть компьютеры друой подсети нужно поднимать wins сервер. Но вроде как можно на другой комп войти по ip (\\x.x.x.x)
Member
Коллеги, подскажите, пожалуйста.
Существует задача - замкнуть три раутера 500GP в кольцо через сети общего доступа туннелями (ну и пустить внутри протокол динамической маршрутизации, но это уже как раз не вопрос, использование квагги на 500gp уже отработано).
Возник вопрос, который, конечно, снимется при тестировании - но если кто-нибудь пояснит, буду признателен. Поскольку раутера три, то одному из них в любом случае придется быть сервером на одном линке и клиентом на втором. Как я смог вычитать в описании, и vtun, и openvpn одновременно могут работать только в одном режиме - либо сервер, либо клиент. Как обходится такая проблема? Очевидное решение - пускать две копии приложения с разными конфигами - оно адекватно, не несет в себе подводных камней? На чем лучше решать эту задачу (vtun, openvpn, smth else)?
Senior Member
А зачем одному из них нужно быть одновременно сервером и клиентом?
Мне кажется 1 сервер - 2 клиента, клиенты при настройке client-to-client для openvpn видят друг друга и сервер, или я не правильно понял?
Posting Permissions
Reply With Quote