Проподает интернет, nat

[kostryukov]

Периодически пропадает интернет через NAT, нет пинга не по ip, не по имени.

Схема следующая:
адсл роутер -> ubuntu сервер -> компьютер

на ubuntu сервер поднят nat и прокси

на "ubuntu сервере" интернет стабилен
Если на клиентах указывать прокси "ubuntu сервер", то интернет также стабилен, т.е. дело только в nat ?

traceroute на сервере

(Нажмите, чтобы показать/скрыть)

traceroute ya.ru
traceroute to ya.ru (87.250.250.3), 30 hops max, 60 byte packets
 1  192.168.2.1 (192.168.2.1)  0.963 ms  1.367 ms  1.910 ms
 2  10.50.254.197 (10.50.254.197)  23.089 ms  25.112 ms  26.951 ms
 3  * * *
 4  * * *
 5  * * *
 6  * * *
 7  62.148.159.81 (62.148.159.81)  26.564 ms  23.390 ms  25.362 ms
 8  77.51.254.177 (77.51.254.177)  28.561 ms  28.703 ms  27.610 ms
 9  77.51.253.1 (77.51.253.1)  30.342 ms  28.773 ms  30.386 ms
10  msk-ix-m10.yandex.net (193.232.246.93)  29.824 ms  29.835 ms  29.961 ms
11  toyota-vlan602.yandex.net (77.88.16.125)  28.314 ms  30.232 ms  30.004 ms
12  l3-s3500-s650.yandex.net (213.180.213.6)  28.930 ms  30.625 ms  29.012 ms
13  l3-s3600-s3500-2.yandex.net (213.180.213.15)  108.158 ms  107.777 ms  105.908 ms
14  * * *
15  * * *
16  * * *
17  * * *
18  * * *
19  * * *
20  * * *
21  * * *
22  * * *
23  * * *
24  * * *
25  * * *
26  * * *
27  * * *
28  * * *
29  * * *
30  * * *

tracert на клиенте

(Нажмите, чтобы показать/скрыть)

  1    <1 ¬б    <1 ¬б    <1 ¬б  ubuntu [192.168.0.1]

  2     1 ms    <1 ¬б     1 ms  192.168.2.1

  3    23 ms    21 ms    21 ms  10.50.254.197

  4     *        *        *     Превышен интервал ожидания для запроса .

  5     *        *        *     Превышен интервал ожидания для запроса .

  6     *        *        *     Превышен интервал ожидания для запроса .

  7     *        *        *     Превышен интервал ожидания для запроса .

  8     *        *        *     Превышен интервал ожидания для запроса .

  9     *        *        *     Превышен интервал ожидания для запроса .

 10     *        *        *     Превышен интервал ожидания для запроса .

 11     *        *        *     Превышен интервал ожидания для запроса .

 12     *        *        *     Превышен интервал ожидания для запроса .

 13     *        *        *     Превышен интервал ожидания для запроса .

 14     *        *        *     Превышен интервал ожидания для запроса .

 15     *        *        *     Превышен интервал ожидания для запроса .

 16     *       29 ms    28 ms  www.yandex.ru

[87.250.250.3]

nslookup сервер

(Нажмите, чтобы показать/скрыть)

nslookup ya.ru
Server:         62.148.128.1
Address:        62.148.128.1#53

nat

(Нажмите, чтобы показать/скрыть)

iptables-save
[sudo] password for router:
# Generated by iptables-save v1.4.4 on Mon Aug 23 14:36:37 2010
*nat
:PREROUTING ACCEPT [57392:4149557]
:POSTROUTING ACCEPT [5738:628326]
:OUTPUT ACCEPT [27770:1893944]
-A POSTROUTING -o eth1 -j MASQUERADE
-A POSTROUTING -o eth1 -j MASQUERADE
-A POSTROUTING -o eth1 -j MASQUERADE
COMMIT
# Completed on Mon Aug 23 14:36:37 2010
# Generated by iptables-save v1.4.4 on Mon Aug 23 14:36:37 2010
*filter
:INPUT ACCEPT [179351:24074414]
:FORWARD ACCEPT [124:13414]
:OUTPUT ACCEPT [58375:16337425]
:fail2ban-ssh - [0:0]
-A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh
-A INPUT -i eth0 -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 110 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 143 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 8888 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 2010 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 2025 -j ACCEPT
-A INPUT -i eth -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -d 192.168.0.3/32 -j ACCEPT
-A FORWARD -s 192.168.0.3/32 -j ACCEPT
-A FORWARD -o eth0 -p tcp -j DROP
-A fail2ban-ssh -j RETURN
COMMIT
# Completed on Mon Aug 23 14:36:37 2010

Адсл роутер в диагностике пишет - ping default gateway: false
в роутере указаны днс

62.148.128.1
62.148.159.188

менял их, резальтат тотже, ошибка остается

содержимое /etc/resolv.conf

nameserver 62.148.128.1
nameserver 8.8.8.8

[AnrDaemon]

DNS в роутере могут быть какие угодно. Ты используешь свои собственные.

-A POSTROUTING -o eth1 -j MASQUERADE
-A POSTROUTING -o eth1 -j MASQUERADE
-A POSTROUTING -o eth1 -j MASQUERADE

Откуда это? Чем/как грузишь правила? И правила у тебя какие-то архаичные.

[kostryukov]

вообще скрипт с правилами в /etc/init.d/

раньше работало, а последние 3-4 дня что-то неладное творится

-A POSTROUTING -o eth1 -j MASQUERADE
-A POSTROUTING -o eth1 -j MASQUERADE
-A POSTROUTING -o eth1 -j MASQUERADE

Откуда это

сам не знаю откуда/почему

И правила у тебя какие-то архаичные.

как интернет расшарился, больше правила и не трогал

DNS в роутере могут быть какие угодно. Ты используешь свои собственные

это я к тому, что раньше такое ошибки не было

[MaratSh]

kostrukov
Можешь смело убрать эти правила

-A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh
-A INPUT -i eth0 -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 110 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 143 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 8888 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 2010 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 2025 -j ACCEPT
-A INPUT -i eth -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j REJECT --reject-with icmp-port-unreachable
-A fail2ban-ssh -j RETURN

Всё равно они у тебя не работают.  

Пользователь решил продолжить мысль 23 Августа 2010, 15:27:19:

-A FORWARD -d 192.168.0.3/32 -j ACCEPT
-A FORWARD -s 192.168.0.3/32 -j ACCEPT

А что это за компьютер 192.168.0.3/32, которому разрешен форвард в обе стороны.  

-A FORWARD -o eth0 -p tcp -j DROP

И что должно делать это правило? Не пускать в интернет всех, кроме вышеуказанного 192.168.0.3? Тогда почему только TCP-протокол? И если указываешь -p tcp, рядом должно стоять -m tcp.

[AnrDaemon]

-A FORWARD -o eth0 -p tcp -j DROP

(Нажмите, чтобы показать/скрыть)

И что должно делать это правило? Не пускать в интернет всех, кроме вышеуказанного 192.168.0.3? Тогда почему только TCP-протокол?

И если указываешь -p tcp, рядом должно стоять -m tcp.

C какого перепугу?

вообще скрипт с правилами в /etc/init.d/

раньше работало, а последние 3-4 дня что-то неладное творится

-A POSTROUTING -o eth1 -j MASQUERADE
-A POSTROUTING -o eth1 -j MASQUERADE
-A POSTROUTING -o eth1 -j MASQUERADE

Откуда это

сам не знаю откуда/почему

И правила у тебя какие-то архаичные.

как интернет расшарился, больше правила и не трогал

DNS в роутере могут быть какие угодно. Ты используешь свои собственные

это я к тому, что раньше такое ошибки не было

Ясно...
https://forum.ubuntu.ru/index.php?topic=99586.0
читать. Прочитаешь - возвращайся, буду объяснять, что у тебя за ужас в правилах.
А там может и до работоспособной сети доберёмся.

[kostryukov]

А что это за компьютер 192.168.0.3/32, которому разрешен форвард в обе стороны.

комп в локальной сети, которому нужен интернет

-A FORWARD -o eth0 -p tcp -j DROP

И что должно делать это правило? Не пускать в интернет всех, кроме вышеуказанного 192.168.0.3?

да, должно не пускать в интернет всех, кроме 0.3,

Тогда почему только TCP-протокол?

т.е. блокировать и udp ?

[MaratSh]

т.е. блокировать и udp ?

Нет, лучше сменить в FORWARD  политику по-умолчанию на DROP и поставить разрешающее правило для этого 192.168.0.3

И если указываешь -p tcp, рядом должно стоять -m tcp.

C какого перепугу?

Ну насчет "должно стоять", я немного преувеличил. Просто во всех правилах выше, этот неявный критерий явно указан, так что хуже точно не будет.  

[kostryukov]

испарвил

# Generated by iptables-save v1.4.4 on Mon Aug 23 16:05:34 2010
*mangle
:PREROUTING ACCEPT [502:127568]
:INPUT ACCEPT [157:12672]
:FORWARD ACCEPT [345:114896]
:OUTPUT ACCEPT [47:4502]
:POSTROUTING ACCEPT [394:119873]
COMMIT
# Completed on Mon Aug 23 16:05:34 2010
# Generated by iptables-save v1.4.4 on Mon Aug 23 16:05:34 2010
*nat
:PREROUTING ACCEPT [53:3663]
:POSTROUTING ACCEPT [1:240]
:OUTPUT ACCEPT [9:714]
-A POSTROUTING -o eth1 -j MASQUERADE
COMMIT
# Completed on Mon Aug 23 16:05:34 2010
# Generated by iptables-save v1.4.4 on Mon Aug 23 16:05:34 2010
*filter
:INPUT ACCEPT [157:12672]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [47:4502]
-A INPUT -i eth0 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -d 192.168.0.31/32 -j ACCEPT
-A FORWARD -s 192.168.0.31/32 -j ACCEPT
-A FORWARD -d 192.168.0.30/32 -j ACCEPT
-A FORWARD -s 192.168.0.30/32 -j ACCEPT
-A FORWARD -d 192.168.0.32/32 -j ACCEPT
-A FORWARD -s 192.168.0.32/32 -j ACCEPT
-A FORWARD -d 192.168.0.20/32 -j ACCEPT
-A FORWARD -s 192.168.0.20/32 -j ACCEPT
-A FORWARD -d 192.168.0.9/32 -j ACCEPT
-A FORWARD -s 192.168.0.9/32 -j ACCEPT
-A FORWARD -d 192.168.0.5/32 -j ACCEPT
-A FORWARD -s 192.168.0.5/32 -j ACCEPT
-A FORWARD -d 192.168.0.27/32 -j ACCEPT
-A FORWARD -s 192.168.0.27/32 -j ACCEPT
-A FORWARD -d 192.168.0.24/32 -j ACCEPT
-A FORWARD -s 192.168.0.24/32 -j ACCEPT
-A FORWARD -d 192.168.0.3/32 -j ACCEPT
-A FORWARD -s 192.168.0.3/32 -j ACCEPT
-A FORWARD -d 192.168.0.21/32 -j ACCEPT
-A FORWARD -s 192.168.0.21/32 -j ACCEPT
-A FORWARD -o eth0 -j DROP
COMMIT
# Completed on Mon Aug 23 16:05:35 2010

и сохранил в /etc/network/if-up.d/iptables-rules

[MaratSh]

-A FORWARD -o eth0 -j DROP

Политика по-умолчанию задается так

-P FORWARD DROP

[kostryukov]

-A INPUT -i eth0 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j REJECT --reject-with icmp-port-unreachable

а разрешить 22 забыл ))) пойду навещу сервер..

[AnrDaemon]

Ну насчет "должно стоять", я немного преувеличил. Просто во всех правилах выше, этот неявный критерий явно указан, так что хуже точно не будет.  

Во всех правилах выше кроме -p tcp были дополнительные проверки, специфичные для протокола.
В этом не было, значит, и грузить протокольный модуль не было смысла.

испарвил

# Generated by iptables-save v1.4.4 on Mon Aug 23 16:05:34 2010

и сохранил в /etc/network/if-up.d/iptables-rules

А шебанг не забыл?
И... посмотри внимательно пример правил в том топике.

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Mon Aug 23 16:05:34 2010
*mangle
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
COMMIT
# Completed on Mon Aug 23 16:05:34 2010
# Generated by iptables-save v1.4.4 on Mon Aug 23 16:05:34 2010
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -o eth1 -j MASQUERADE
COMMIT
# Completed on Mon Aug 23 16:05:34 2010
# Generated by iptables-save v1.4.4 on Mon Aug 23 16:05:34 2010
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:ACL-SOURCE - [0:0]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
# ХЗ чего это правило делает, оставил...
-A INPUT -i eth0 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j REJECT --reject-with icmp-port-unreachable
-A INPUT -i eth0 -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -s 192.168.0.0/24 -m conntrack --ctstate NEW -j ACL-SOURCE
-A ACL-SOURCE -s 192.168.0.3/32 -j ACCEPT
-A ACL-SOURCE -s 192.168.0.5/32 -j ACCEPT
-A ACL-SOURCE -s 192.168.0.9/32 -j ACCEPT
-A ACL-SOURCE -s 192.168.0.20/32 -j ACCEPT
-A ACL-SOURCE -s 192.168.0.21/32 -j ACCEPT
-A ACL-SOURCE -s 192.168.0.24/32 -j ACCEPT
-A ACL-SOURCE -s 192.168.0.27/32 -j ACCEPT
-A ACL-SOURCE -s 192.168.0.30/32 -j ACCEPT
-A ACL-SOURCE -s 192.168.0.31/32 -j ACCEPT
-A ACL-SOURCE -s 192.168.0.32/32 -j ACCEPT
COMMIT
# Completed on Mon Aug 23 16:05:35 2010

проверьте кто-нить. Я ничего не забыл?

[kostryukov]

Спасибо, c помощью opennet и wiki вроде бы разобрался что в приведенных правилах происходит.
теперь необходимо разобратся со всем тем что используется, и разрешить это в правилах (прокси, вебсервер, шара..).

на счет темы - интернет пропадает только на двух компьютерах в сети, на остальных работает без нареканий.
проблемы в Windowsх..