🚀 go-pugleaf

Pewnego dnia, a było to Sun, 2 Nov 2003 20:57:23 +0100, przyszła do mnie
wiadomość z adresu <jamp@jamrozik.toya.net.pl> i powiedziała:

[..]
> konfiguracja mojej sieci ma wyglądać tak:
> eth0 - wyjście stałe na świat
> eth1 - sieć lokalna
> na eth1 ma być serwer DHCP i  komputery muszą mieć wyjście na świat przez
> eth0
> 
> o ile z eth0 jest 0 stresów to co zainstalować i gdzie pozmieniać, żeby sieć
> wewnętrzna działała prawidłowo.
> Udało mi się skonfigurować kartę eth1 i DHCP ale nie widzę z sieci
> wewnętrznej internetu.

"A co widzisz?"

1) powinieneś skonfigurować maskaradę/nat (man iptables)

Message-ID: <slrnbq4ncg.pln.gd_NOSPAM_@it.4it.pl>:
//---
jesli 2.2.x tp
ipchains -A FORWARD -s 192.168.0.0/24 -j MASQ

jesli 2.4.x
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE

eth0 = interfejs do ktorego przychodzi internet

192.168.0.0/24 klasa adresowa dla osob za masquerada
---//

2) powinieneś włączyć przekazywanie pakietów między kartami sieciowymi:

/etc/network/interfaces

ip_forward=yes

  eloy
-- 
-------e-l-o-y-----------e-l-o-y-@-t-r-a-n-s-i-l-v-a-n-i-a-.-e-u-.-o-r-g------

             jeżeli nam zabraknie sił zostaną jeszcze morze i wiatr

Widzę dokładnie sieć wewnętrzną na eth1

> jesli 2.4.x
> iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE

a gdzie to dopisać ?

> ip_forward=yes
to jest :)

Pozdrawiam Piotr

Pewnego dnia, a było to Sun, 2 Nov 2003 23:50:41 +0100, przyszła do mnie
wiadomość z adresu <jamp@jamrozik.toya.net.pl> i powiedziała:

> Widzę dokładnie sieć wewnętrzną na eth1
> 
>> jesli 2.4.x
>> iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
> 
> a gdzie to dopisać ?

Np. tak

ulubiony_edytor /etc/rc.boot/nat

a w pliku

#!/bin/sh
/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE

albo bardziej po debianowemu:

1) czytasz ze zrozumieniem /etc/default/iptables

2) poprawiasz w nim co treba

3) wpisujesz "z palca":
/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE

4) uruchamiasz /etc/init.d/iptables save active

  eloy
-- 
-------e-l-o-y-----------e-l-o-y-@-t-r-a-n-s-i-l-v-a-n-i-a-.-e-u-.-o-r-g------

             jeżeli nam zabraknie sił zostaną jeszcze morze i wiatr

Mon, 03 Nov 2003 at 07:56 GMT,
Krzysztof Krzyżaniak <eloy@pawnhearts.eu.org>:

>> a gdzie to dopisać ?
> albo bardziej po debianowemu:
> 1) czytasz ze zrozumieniem /etc/default/iptables

	No właśnie. Od jakiegoś czasu dręczy mnie ten problem i chętnie bym
się zorientował, jak robią inni. Do tej pory optymalnej metody na na
trzymanie rulsetow nie znalazłem. Doskwiera mi to zwłaszcza w przypadku np.
brzegówek, gdzie tych regułek jest kilkaset i więcej. Mam w tej chwili 
zrobiony skrypt, który odpala edytor na pliku z regułkami i po wyjściu,
jeżeli plik został zmieniony, to robiony jest całkowity restart, w sensie
-X -F i załadowanie wszystkiego od nowa. Debianowa metoda z init.d/iptables
niestety jest zdecydowanie mało wygodna, ze względu na utrudnioną edycję.
:/



-- 
                                                    Mariusz.
 
== e-mail: mariusz@teleaudio.com.pl ==== http://tank.polsat.com.pl/~nova/ ==
== 2:482/52@fidonet.org == gpg: 46e57e6c07c1e2d67d92 17477014d50bb2cdf245 ==

On Mon, 03 Nov 2003 09:47:34 +0100, Mariusz Drozdziel wrote:

> Mon, 03 Nov 2003 at 07:56 GMT,
> Krzysztof Krzyżaniak <eloy@pawnhearts.eu.org>:
> 
>>> a gdzie to dopisać ?
>> albo bardziej po debianowemu:
>> 1) czytasz ze zrozumieniem /etc/default/iptables
> 
> 	No właśnie. Od jakiegoś czasu dręczy mnie ten problem i chętnie bym
> się zorientował, jak robią inni. Do tej pory optymalnej metody na na
> trzymanie rulsetow nie znalazłem. Doskwiera mi to zwłaszcza w przypadku np.
> brzegówek, gdzie tych regułek jest kilkaset i więcej. Mam w tej chwili 
> zrobiony skrypt, który odpala edytor na pliku z regułkami i po wyjściu,
> jeżeli plik został zmieniony, to robiony jest całkowity restart, w sensie
> -X -F i załadowanie wszystkiego od nowa. Debianowa metoda z init.d/iptables
> niestety jest zdecydowanie mało wygodna, ze względu na utrudnioną edycję.
> :/

Założenie: zainstalować pakiet ifupdown.
Plik /etc/networking/interfaces
W tym pliku można podawać przy okazji stawiania i wyłączania
interfejsu polecenie, które ma być uruchomione. Szczegóły są podane w
manach. Wydaje się, że jest to najwłaściwsza metoda ustawiania
czegokolwiek przy okazji stawiania interfejsu - rc.boot jest chyba trochę
nie trafiony, acz skutkuje, a powyższe rozwiązanie podane przez eloya
nie uwzględnia akcji przed i po ustawieniu danego ifejsu. Jednakże:
patrz założenie :)

-- 
Pozdrawiam
water
shanti shanti shanti

Pewnego dnia, a było to Mon, 3 Nov 2003 09:47:34 +0100, przyszła do mnie
wiadomość z adresu <mariusz@teleaudio.com.pl> i powiedziała:

> Mon, 03 Nov 2003 at 07:56 GMT,
> Krzysztof Krzyżaniak <eloy@pawnhearts.eu.org>:
> 
>>> a gdzie to dopisać ?
>> albo bardziej po debianowemu:
>> 1) czytasz ze zrozumieniem /etc/default/iptables
> 
> 	No właśnie. Od jakiegoś czasu dręczy mnie ten problem i chętnie bym
> się zorientował, jak robią inni. Do tej pory optymalnej metody na na
> trzymanie rulsetow nie znalazłem. Doskwiera mi to zwłaszcza w przypadku np.
> brzegówek, gdzie tych regułek jest kilkaset i więcej. Mam w tej chwili 
> zrobiony skrypt, który odpala edytor na pliku z regułkami i po wyjściu,
> jeżeli plik został zmieniony, to robiony jest całkowity restart, w sensie
> -X -F i załadowanie wszystkiego od nowa. Debianowa metoda z init.d/iptables
> niestety jest zdecydowanie mało wygodna, ze względu na utrudnioną edycję.
>:/

Ja akurat nie mam wiele reguł, dla mnie standardowe
/etc/init.d/iptables jest wystarczające.

  eloy
-- 
-------e-l-o-y-----------e-l-o-y-@-t-r-a-n-s-i-l-v-a-n-i-a-.-e-u-.-o-r-g------

             jeżeli nam zabraknie sił zostaną jeszcze morze i wiatr

Dopisałem
#!/bin/bash
/sbin/iptables -t nat -A POSTROUTING -s 192.168.50.0/24 -o eth0 -j
MASQUERADE
 i dalej cisza brak dostępu do internetu :(
Co jeszcze nie tak ??

moje ustawienia

/etc/network/ifstate

lo=lo
eth0=eth0
eth1=eth1

/etc/network/interfaces

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
address 222.222.222.222
netmask 255.255.255.0
network 222.222.222.0
boardcast 222.222.222.255
gateway 222.222.222.1

auto eth1
iface eth1 inet static
address 192.168.50.1
netmask 255.255.255.0
network 192.168.50.0
boardcast 192.168.50.255

/etc/network/options

ip_forward=yes
spoofprotect=yes
syncookies=no

/etc/dhcp3/dhcpd.config

ddns-update-style none;
option domain-name "moja.domena.pl";
default-lease-time 31622400;
max-lease-time 31622400;
log-facility local7;
subnet 192.168.50.0 netmask 255.255.255.0 {
range 192.168.50.100 192.168.50.105;
}
host piotr {
fixed-address 192.168.50.100;
hardware ethernet 12:34:56:78:90:12;
}
host edek {
fixed-address 192.168.50.101;
hardware ethernet 12:34:56:78:90:13;
}
...


Pozdrawiam Piotr

Pewnego dnia, a było to Mon, 3 Nov 2003 16:52:37 +0100, przyszła do mnie
wiadomość z adresu <jamp@jamrozik.toya.net.pl> i powiedziała:

> Dopisałem
> #!/bin/bash
> /sbin/iptables -t nat -A POSTROUTING -s 192.168.50.0/24 -o eth0 -j
> MASQUERADE
>  i dalej cisza brak dostępu do internetu :(
> Co jeszcze nie tak ??

Pokaż wynik 

1) netstat -rn
2) iptables -L -t nat


> host piotr {
> fixed-address 192.168.50.100;
> hardware ethernet 12:34:56:78:90:12;
> }

Sprawdź czy hot piotr może pingować 192.168.50.1

  eloy
-- 
-------e-l-o-y-----------e-l-o-y-@-t-r-a-n-s-i-l-v-a-n-i-a-.-e-u-.-o-r-g------

             jeżeli nam zabraknie sił zostaną jeszcze morze i wiatr

> 1) netstat -rn
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
222.222.222.0  0.0.0.0  255.255.255.0 U    40 0 0 eth0
192.168.50.0    0.0.0.0  255.255.255.0 U    40 0 0  eth1
0.0.0.0             222.222.222.1  0.0.0.0 UG 40 0 0  eth0
> 2) iptables -L -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
LOG     all  --  192.168.50.0/24     anywhere           LOG level warning
DROP   all  --  192.168.50.0/24     anywhere

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  192.168.50.0/24       anywhere
MASQUERADE  all  --  192.168.50.0/24       anywhere

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination


> host piotr {
> fixed-address 192.168.50.100;
> hardware ethernet 12:34:56:78:90:12;
> }
>Sprawdź czy hot piotr może pingować 192.168.50.1
Bez problemu :)

Pozdrawiam Piotr

Pewnego dnia, a było to Mon, 3 Nov 2003 20:48:47 +0100, przyszła do mnie
wiadomość z adresu <jamp@jamrozik.toya.net.pl> i powiedziała:

>> 1) netstat -rn
> Kernel IP routing table
> Destination Gateway Genmask Flags MSS Window irtt Iface
> 222.222.222.0  0.0.0.0  255.255.255.0 U    40 0 0 eth0
> 192.168.50.0    0.0.0.0  255.255.255.0 U    40 0 0  eth1
> 0.0.0.0             222.222.222.1  0.0.0.0 UG 40 0 0  eth0
>> 2) iptables -L -t nat
> Chain PREROUTING (policy ACCEPT)
> target     prot opt source               destination
> LOG     all  --  192.168.50.0/24     anywhere           LOG level warning
> DROP   all  --  192.168.50.0/24     anywhere

Odnoszę wrażenie, że wyrzucasz do kubła wszystkie pakiety przychodzące
z sieci 192.168.50.0 (aczkolwiek mogę się mylić bo na iptablesach znam
się raczej słabo). Postaraj się pozbyć powyższej reguły i sprawdź
ponownie.

  eloy
-- 
-------e-l-o-y-----------e-l-o-y-@-t-r-a-n-s-i-l-v-a-n-i-a-.-e-u-.-o-r-g------

             jeżeli nam zabraknie sił zostaną jeszcze morze i wiatr

> Odnoszę wrażenie, że wyrzucasz do kubła wszystkie pakiety przychodzące
> z sieci 192.168.50.0 (aczkolwiek mogę się mylić bo na iptablesach znam
> się raczej słabo). Postaraj się pozbyć powyższej reguły i sprawdź
> ponownie.

Będę się z tym jeszcze męczył, ale narazie nie muszę używać sieci
wewnętrznej.
Mam router sprzętowy na innym IP z którego doją moi ludzie :)

Narazie wielkie dzięki za dotychczasową pomoc.

Pozdrawiam Piotr