Проблема настройки маршрутизации на шлюзе

[zloymih]

Проблема в следующем:
Имеем:

 интернет через VPN--------------------------------ppp0 (213.176.1.17)\
                                                                                                                         ------[мой шлюз] eth1(192.168.11.1)--------компы(192.168.11.х)
 внешняя локальная сеть(172.16.100.1)-----eth0(172.16.100.18 )/

я получаю интернет через VPN, интрфесу ppp0 присваивается ip адрес 213.176.1.17 (например).
есть выход во внешнюю локальную сеть через интерфейс eth0 с ip адресом 172.16.100.18
мой компьютер выступает в роли шлюза - раздает инет ноутбуку из сетки 192.168.11.х

что сделано

1. включен форвардинг
   

Код: [Выделить]

echo 1 > /proc/sys/net/ipv4/ip_forward
2. настрен iptables

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

~# iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A FORWARD -s 192.168.11.0/24 -i eth0 -o eth1 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

что работает:
1. ноутбук имеет доступ в сеть 172.16.100.х
2. компы пингуются, соединения устанавливаются,но в интернет ноутбук не может попасть.

DNS на ноутбуке прописан правильно. команда ping ya.ru показывает, что ip адрес определяется. В Ubuntu 9.10 при такой конфигурации работало прекрасно. на ноутбуке ничего не менял. Заменил Ubuntu 9.10 на 10.4 путем переустановки. на самом шлюзе интернет работает.

Думаю, что проблема в маршрутизации, но самостоятельно не получается исправить.

вот моя таблица маршрутизации:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

~#route -n
Таблица маршутизации ядра протокола IP
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.130.10  0.0.0.0         255.255.255.255 UH    0      0        0 ppp0
192.168.11.0    0.0.0.0         255.255.255.0   U     0      0        0 eth1
172.16.100.0    0.0.0.0         255.255.252.0   U     0      0        0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 eth0
0.0.0.0         213.176.1.17  0.0.0.0         UG    0      0        0 ppp0

пожалуйста помогите решить проблему

[AnrDaemon]

iptables-save покажи.

[zloymih]

Код: [Выделить]

~# iptables-save

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

# Generated by iptables-save v1.4.4 on Tue May  4 19:56:44 2010
*filter
:INPUT ACCEPT [24116:3535921]
:FORWARD ACCEPT [63:3728]
:OUTPUT ACCEPT [9001:950036]
-A FORWARD -s 192.168.11.0/24 -i eth0 -o eth1 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Tue May  4 19:56:44 2010
# Generated by iptables-save v1.4.4 on Tue May  4 19:56:44 2010
*nat
:PREROUTING ACCEPT [4646:581819]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [644:40172]
-A POSTROUTING -s 192.168.11.0/24 -j SNAT --to-source 172.16.100.18
-A POSTROUTING -s 192.168.11.0/24 -j SNAT --to-source 172.16.100.18
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -j MASQUERADE
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -s 192.168.11.0/24 -j MASQUERADE
-A POSTROUTING -j MASQUERADE
-A POSTROUTING -j MASQUERADE
COMMIT

[AnrDaemon]

Сохрани спойлер, сделай исполняемым, положи в /etc/network/if-up.d/

(Нажмите, чтобы показать/скрыть)

#! /sbin/iptables-restore
*filter
:INPUT ACCEPT [24116:3535921]
:FORWARD ACCEPT [63:3728]
:OUTPUT ACCEPT [9001:950036]
-A FORWARD -s 192.168.11.0/24 -i eth0 -o eth1 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Tue May  4 19:56:44 2010
# Generated by iptables-save v1.4.4 on Tue May  4 19:56:44 2010
*nat
:PREROUTING ACCEPT [4646:581819]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [644:40172]
-A POSTROUTING -o eth1 -j MASQUERADE
COMMIT

После ребута должно заработать... надеюсь.

[zloymih]

сделал так.

1. # echo 1 > /proc/sys/net/ipv4/ip_forward
2. запустил скрипт от рута

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

#!/bin/bash
# очищаем
iptables -F
iptables -X
# действия по умолчанию
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -A POSTROUTING -t nat -j MASQUERADE
iptables -A FORWARD -i eth0 -o eth1 -s 192.168.11.0/24 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
exit 0

3. # iptables-save > /etc/iptables.rules
4. # iptables-restore < /etc/iptables.rules
5. # /etc/init.d/networking restart
6. перезагрузился

и все заработаело. Большое спасибо AnrDaemon за подсказку!

посмотрел iptables-save - снова там ерунда какая-то. маскарадинг по многу раз встречается. но работает.

[Mam(O)n]

Вобщето юзать надо iptables -P FORWARD DROP, чтоб враг не пролез. Иначе все манипуляции в цепочке FORWARD напрасны.

[AnrDaemon]

посмотрел iptables-save - снова там ерунда какая-то. маскарадинг по многу раз встречается. но работает.

Вот поэтому я и пользуюсь iptables-save/restore. Точно знаю, что правила будут загружены те, что мне нужны, а не непойми что.
Ну и всегда можно ДОПОЛНИТЕЛЬНО подвесить ПОПРАВКИ к основному набору.
Но это уже тема для отдельного семинара.

[zloymih]

Вобщето юзать надо iptables -P FORWARD DROP, чтоб враг не пролез. Иначе все манипуляции в цепочке FORWARD напрасны.

у меня так и сделано. а то, что я привел  - это только чтобы убедиться, что это проблема не с правилами iptables