Шлюз ubuntu, 2 сетевые карты, default gateway(решено)

[Veter9]

Приветствую вас.
Есть шлюз с двумя сетевыми картами на базе убунты 10.04
Один интерфейс смотрит в интернет, второй в локальную сеть.
Интерфейс eth1 еще и dhcp раздает локальной сети.
cat /etc/network/interfaces

(Нажмите, чтобы показать/скрыть)

root@mailserver:~# cat /etc/network/interfaces
# The loopback network interface

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
address 8*******
netmask 255.255.255.248
gateway 8*******

auto eth1
iface eth1 inet static
address 10.0.0.1
netmask 255.255.255.0
network 10.0.0.0
post-up /etc/nat

Вот что говорит route

(Нажмите, чтобы показать/скрыть)

root@mailserver:~# route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
86.*********    *               255.255.255.248 U     0      0        0 eth0
localnet        *               255.255.255.0   U     0      0        0 eth1
default         h86-*********** 0.0.0.0         UG    100    0        0 eth0
root@mailserver:~#

Интернет работает, почта ходит все сервисы работают.
Как начал пытаться работать с vpn ( pptp, openVPN - Клиенты на этом шлюзе) для связи с удаленным главным офисом, так выяснилось что у меня не совсем корректно настроен default gateway -> пинги в локальную сеть от сервера идут как от внешнего ип адреса.
ping 10.0.0.112 -I eth1 к примеру - на это устройство приходят пакеты от внешнего адреса.

Как быть ?

[fisher74]

Всё нормально у Вас с дефолтгетвей.

Пример "неправильного" пинга в студию.

(Нажмите, чтобы показать/скрыть)

И когда разбираетесь с сетью, то старайтесь всё отслеживать по IP-адресам, мало ли что там DNS накосячит или nsswitch. Да и когда другим показывете
согласитесь, что вот так

Код: [Выделить]

~$ route -n
Таблица маршутизации ядра протокола IP
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.4.0     0.0.0.0         255.255.255.0   U     1      0        0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 eth0
0.0.0.0         192.168.4.2     0.0.0.0         UG    0      0        0 eth0Более понятно читается, чем

Код: [Выделить]

~$ route
Таблица маршутизации ядра протокола IP
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.4.0     *               255.255.255.0   U     1      0        0 eth0
link-local      *               255.255.0.0     U     1000   0        0 eth0
default         dir-320         0.0.0.0         UG    0      0        0 eth0


[Veter9]

ping 10.0.0.42 -I eth0
root@mailserver:~# tcpdump  proto ICMP

(Нажмите, чтобы показать/скрыть)

root@mailserver:~# tcpdump  proto ICMP
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
11:37:41.878392 IP 89-178-66-230.broadband.corbina.ru > mail.eastar.ru: ICMP host 89-178-66-230.broadband.corbina.ru unreachable, length 139
11:37:50.001371 IP mail.eastar.ru > 10.0.0.42: ICMP echo request, id 28243, seq 1, length 64
11:37:51.000916 IP mail.eastar.ru > 10.0.0.42: ICMP echo request, id 28243, seq 2, length 64
11:37:52.000913 IP mail.eastar.ru > 10.0.0.42: ICMP echo request, id 28243, seq 3, length 64
11:37:53.000916 IP mail.eastar.ru > 10.0.0.42: ICMP echo request, id 28243, seq 4, length 64
^C
5 packets captured
5 packets received by filter
0 packets dropped by kernel
root@mailserver:~#

root@mailserver:~# route -n

(Нажмите, чтобы показать/скрыть)

root@mailserver:~# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
86.*********    0.0.0.0         255.255.255.248 U     0      0        0 eth0
10.0.0.0        0.0.0.0         255.255.255.0   U     0      0        0 eth1
0.0.0.0         8***********    0.0.0.0         UG    100    0        0 eth0

ping 10.0.0.42 -I eth1
root@mailserver:~# tcpdump  proto ICMP

(Нажмите, чтобы показать/скрыть)

пусто, не видит ничего

[/i]



root@mailserver:~# ping 10.0.0.42
приходят пакеты типа

(Нажмите, чтобы показать/скрыть)

remote_unit#
8*********** -> 10.0.0.42  84 bytes
8*********** -> 10.0.0.42  84 bytes
8*********** -> 10.0.0.42  84 bytes
8*********** -> 10.0.0.42  84 bytes

ДОБАВИЛ:
С Linuxа(мой шлюз) на Linux(внутри комп для экспериментов поставил сейчас)

Отправляющая сторона

(Нажмите, чтобы показать/скрыть)

root@mailserver:~# ping 10.0.0.2
PING 10.0.0.2 (10.0.0.2) 56(84) bytes of data.
64 bytes from 10.0.0.2: icmp_req=1 ttl=64 time=0.218 ms
64 bytes from 10.0.0.2: icmp_req=2 ttl=64 time=0.163 ms
64 bytes from 10.0.0.2: icmp_req=3 ttl=64 time=0.167 ms
64 bytes from 10.0.0.2: icmp_req=4 ttl=64 time=0.169 ms
64 bytes from 10.0.0.2: icmp_req=5 ttl=64 time=0.167 ms
64 bytes from 10.0.0.2: icmp_req=6 ttl=64 time=0.164 ms
64 bytes from 10.0.0.2: icmp_req=7 ttl=64 time=0.146 ms

Принимающая сторона

(Нажмите, чтобы показать/скрыть)

root@10.0.0.2's password:
Last login: Mon Nov 21 15:07:14 2011 from 10.0.0.73
[root@localhost ~]# tcpdump proto ICMP
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
11:48:37.194137 IP mail.DOMAIN.ru > 10.0.0.2: ICMP echo request, id 28283, seq 1, length 64
11:48:37.311945 IP 10.0.0.2 > mail.DOMAIN.ru: ICMP echo reply, id 28283, seq 1, length 64
11:48:38.193042 IP mail.DOMAIN.ru > 10.0.0.2: ICMP echo request, id 28283, seq 2, length 64
11:48:38.193068 IP 10.0.0.2 > mail.DOMAIN.ru: ICMP echo reply, id 28283, seq 2, length 64
11:48:39.192532 IP mail.DOMAIN.ru > 10.0.0.2: ICMP echo request, id 28283, seq 3, length 64
11:48:39.192559 IP 10.0.0.2 > mail.DOMAIN.ru: ICMP echo reply, id 28283, seq 3, length 64

[root@localhost ~]# tcpdump -n proto ICMP

(Нажмите, чтобы показать/скрыть)

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
11:51:33.779283 IP 8******* > 10.0.0.2: ICMP echo request, id 28293, seq 1, length 64
11:51:33.779375 IP 10.0.0.2 > 8*******: ICMP echo reply, id 28293, seq 1, length 64
11:51:34.778194 IP 8******* > 10.0.0.2: ICMP echo request, id 28293, seq 2, length 64
11:51:34.778217 IP 10.0.0.2 > 8*******: ICMP echo reply, id 28293, seq 2, length 64

[fisher74]

Я же просил...

tcpdump -n proto ICMP

[Veter9]

С Linuxа(мой шлюз) на Linux(внутри комп для экспериментов поставил сейчас)

Отправляющая сторона

(Нажмите, чтобы показать/скрыть)

root@mailserver:~# ping 10.0.0.2
PING 10.0.0.2 (10.0.0.2) 56(84) bytes of data.
64 bytes from 10.0.0.2: icmp_req=1 ttl=64 time=0.218 ms
64 bytes from 10.0.0.2: icmp_req=2 ttl=64 time=0.163 ms
64 bytes from 10.0.0.2: icmp_req=3 ttl=64 time=0.167 ms
64 bytes from 10.0.0.2: icmp_req=4 ttl=64 time=0.169 ms
64 bytes from 10.0.0.2: icmp_req=5 ttl=64 time=0.167 ms
64 bytes from 10.0.0.2: icmp_req=6 ttl=64 time=0.164 ms
64 bytes from 10.0.0.2: icmp_req=7 ttl=64 time=0.146 ms

Принимающая сторона
[root@localhost ~]# tcpdump -n proto ICMP

(Нажмите, чтобы показать/скрыть)

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
11:51:33.779283 IP 8******* > 10.0.0.2: ICMP echo request, id 28293, seq 1, length 64
11:51:33.779375 IP 10.0.0.2 > 8*******: ICMP echo reply, id 28293, seq 1, length 64
11:51:34.778194 IP 8******* > 10.0.0.2: ICMP echo request, id 28293, seq 2, length 64
11:51:34.778217 IP 10.0.0.2 > 8*******: ICMP echo reply, id 28293, seq 2, length 64

[fisher74]

Код: [Выделить]

sudo iptables-save

[Veter9]

(Нажмите, чтобы показать/скрыть)

root@mailserver:~# sudo iptables-save
# Generated by iptables-save v1.4.4 on Thu Nov 24 12:02:47 2011
*mangle
:PREROUTING ACCEPT [6368726:2945310687]
:INPUT ACCEPT [6530626:1582196870]
:FORWARD ACCEPT [101801040:62048099491]
:OUTPUT ACCEPT [295804:164032076]
:POSTROUTING ACCEPT [106572018:64685325044]
COMMIT
# Completed on Thu Nov 24 12:02:47 2011
# Generated by iptables-save v1.4.4 on Thu Nov 24 12:02:47 2011
*nat
:PREROUTING ACCEPT [601967:69524829]
:OUTPUT ACCEPT [63071:4623637]
:POSTROUTING ACCEPT [155:9060]
-A PREROUTING -i eth0 -p udp -m udp --dport 4660 -j DNAT --to-destination 10.0.0.30:4660
-A PREROUTING -i eth0 -p udp -m udp --dport 10380 -j DNAT --to-destination 10.0.0.30:80
-A PREROUTING -i eth0 -p tcp -m tcp --dport 10380 -j DNAT --to-destination 10.0.0.30:80
-A PREROUTING -d 86.62.69.163/32 -i eth1 -p udp -m udp --dport 10380 -j DNAT --to-destination 10.0.0.30:80
-A PREROUTING -d 86.62.69.163/32 -i eth1 -p tcp -m tcp --dport 10380 -j DNAT --to-destination 10.0.0.30:80
-A PREROUTING -i eth0 -p udp -m udp --dport 10322 -j DNAT --to-destination 10.0.0.30:22
-A PREROUTING -i eth0 -p tcp -m tcp --dport 10322 -j DNAT --to-destination 10.0.0.30:22
-A PREROUTING -d 86.62.69.163/32 -i eth1 -p udp -m udp --dport 10322 -j DNAT --to-destination 10.0.0.30:22
-A PREROUTING -d 86.62.69.163/32 -i eth1 -p tcp -m tcp --dport 10322 -j DNAT --to-destination 10.0.0.30:22
-A PREROUTING -i eth0 -p tcp -m tcp --dport 10180 -j DNAT --to-destination 10.0.0.86:80
-A PREROUTING -d 86.62.69.163/32 -i eth1 -p tcp -m tcp --dport 10180 -j DNAT --to-destination 10.0.0.86:80
-A POSTROUTING -o eth0 -j SNAT --to-source 86.62.69.163
-A POSTROUTING -o eth1 -j SNAT --to-source 86.62.69.163
-A POSTROUTING -o ppp0 -j SNAT --to-source 172.16.16.1
COMMIT
# Completed on Thu Nov 24 12:02:47 2011
# Generated by iptables-save v1.4.4 on Thu Nov 24 12:02:47 2011
*filter
:INPUT DROP [49583:3002036]
:FORWARD DROP [14:1252]
:OUTPUT DROP [4:976]
:icmp_packets - [0:0]
:tcp_inbound - [0:0]
:tcp_outbound - [0:0]
:udp_inbound - [0:0]
:udp_outbound - [0:0]
-A INPUT -s 81.200.85.185/32 -i eth0 -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1723 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 10.0.0.0/24 -i eth1 -j ACCEPT
-A INPUT -d 10.0.0.255/32 -i eth1 -j ACCEPT
-A INPUT -s 10.20.0.0/24 -i eth1 -j ACCEPT
-A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -j tcp_inbound
-A INPUT -i eth0 -p udp -j udp_inbound
-A INPUT -i eth0 -p icmp -j icmp_packets
-A FORWARD -i eth1 -p tcp -j tcp_outbound
-A FORWARD -i eth1 -p udp -j udp_outbound
-A FORWARD -i eth1 -j ACCEPT
-A FORWARD -i eth0 -j ACCEPT
-A FORWARD -i ppp0 -j ACCEPT
-A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 10.0.0.30/32 -i eth0 -p udp -m udp --dport 80 -j ACCEPT
-A FORWARD -d 10.0.0.30/32 -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -d 10.0.0.2/32 -i eth0 -p udp -m udp --dport 5060 -j ACCEPT
-A FORWARD -d 10.0.0.2/32 -i eth0 -p tcp -m tcp --dport 5060 -j ACCEPT
-A FORWARD -d 10.0.0.86/32 -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -d 10.0.0.30/32 -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A OUTPUT -s 127.0.0.1/32 -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -s 10.0.0.1/32 -j ACCEPT
-A OUTPUT -o eth1 -j ACCEPT
-A OUTPUT -s 172.16.16.1/32 -j ACCEPT
-A OUTPUT -o ppp0 -j ACCEPT
-A OUTPUT -o eth0 -j ACCEPT
-A icmp_packets -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A icmp_packets -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 80 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 21 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --sport 20 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 62000:64000 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 25 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 110 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 143 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 995 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 993 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 22 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 2525 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 53 -j ACCEPT
-A tcp_inbound -p udp -m udp --dport 53 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 5060 -j ACCEPT
-A tcp_inbound -p udp -m udp --dport 5060 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 1024 -j ACCEPT
-A tcp_inbound -p udp -m udp --dport 87 -j ACCEPT
-A tcp_inbound -p tcp -j RETURN
-A tcp_outbound -p tcp -j ACCEPT
-A udp_inbound -p udp -m udp --dport 53 -j ACCEPT
-A udp_inbound -p udp -m udp --dport 69 -j ACCEPT
-A udp_inbound -p udp -j RETURN
-A udp_inbound -p udp -m udp --dport 1199 -j ACCEPT
-A udp_outbound -p udp -m udp --dport 69 -j ACCEPT
COMMIT
# Completed on Thu Nov 24 12:02:47 2011
root@mailserver:~#

(Нажмите, чтобы показать/скрыть)

root@mailserver:~# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  host185.vcmk.ru      anywhere
ACCEPT     gre  --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:1723
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  localnet/24          anywhere
ACCEPT     all  --  anywhere             10.0.0.255
ACCEPT     all  --  10.20.0.0/24         anywhere
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
tcp_inbound  tcp  --  anywhere             anywhere
udp_inbound  udp  --  anywhere             anywhere
icmp_packets  icmp --  anywhere             anywhere

Chain FORWARD (policy DROP)
target     prot opt source               destination
tcp_outbound  tcp  --  anywhere             anywhere
udp_outbound  udp  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     udp  --  anywhere             10.0.0.30           udp dpt:www
ACCEPT     tcp  --  anywhere             10.0.0.30           tcp dpt:www
ACCEPT     udp  --  anywhere             10.0.0.2            udp dpt:sip
ACCEPT     tcp  --  anywhere             10.0.0.2            tcp dpt:sip
ACCEPT     tcp  --  anywhere             10.0.0.86           tcp dpt:www
ACCEPT     tcp  --  anywhere             10.0.0.30           tcp dpt:ssh

Chain OUTPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  support.eastar.ru    anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  mailserver           anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  172.16.16.1          anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere

Chain icmp_packets (1 references)
target     prot opt source               destination
ACCEPT     icmp --  anywhere             anywhere            icmp echo-request
ACCEPT     icmp --  anywhere             anywhere            icmp time-exceeded

Chain tcp_inbound (1 references)
target     prot opt source               destination
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:www
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ftp
ACCEPT     tcp  --  anywhere             anywhere            tcp spt:ftp-data
ACCEPT     tcp  --  anywhere             anywhere            tcp dpts:62000:64000
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:smtp
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:pop3
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:imap2
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:pop3s
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:imaps
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:2525
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:domain
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:sip
ACCEPT     udp  --  anywhere             anywhere            udp dpt:sip
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:1024
ACCEPT     udp  --  anywhere             anywhere            udp dpt:87
RETURN     tcp  --  anywhere             anywhere

Chain tcp_outbound (1 references)
target     prot opt source               destination
ACCEPT     tcp  --  anywhere             anywhere

Chain udp_inbound (1 references)
target     prot opt source               destination
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain
ACCEPT     udp  --  anywhere             anywhere            udp dpt:tftp
RETURN     udp  --  anywhere             anywhere
ACCEPT     udp  --  anywhere             anywhere            udp dpt:1199

Chain udp_outbound (1 references)
target     prot opt source               destination
ACCEPT     udp  --  anywhere             anywhere            udp dpt:tftp
root@mailserver:~#

[fisher74]

-A POSTROUTING -o eth1 -j SNAT --to-source 86.62.69.163

Так Вы же сами указали так делать.

[Veter9]

-A POSTROUTING -o eth1 -j SNAT --to-source 86.62.69.163

Так Вы же сами указали так делать.

Тваю ж налево..

Проблема решена, спасибо огромное.