маршрутизация для wi-fi-роутера

[Sheffdop]

День добрый! В общем установил у шефа в кабинете точку доступа и все было бы не плохо, за исключением того, что она оказалась глючной. Не долго думая купил wi-fi-роутер. Но нормально раздавать через него интернет не могу. Сеть такая: стоит шлюзик на дебиан 6, поднят нат, прокси-сервер. eth1 смотрит в локалку, eth3 смотрит в инет.

Код: [Выделить]

ifconfig

(Нажмите, чтобы показать/скрыть)

eth1      Link encap:Ethernet  HWaddr 00:16:ec:6e:8e:43 
          inet addr:192.168.1.100  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::216:ecff:fe6e:8e43/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:40085090 errors:0 dropped:0 overruns:0 frame:0
          TX packets:25208252 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:3725654257 (3.4 GiB)  TX bytes:4011525759 (3.7 GiB)
          Interrupt:20

eth3      Link encap:Ethernet  HWaddr 00:50:ba:5c:2e:08 
          inet addr:195.82.x.x  Bcast:195.82.x.x  Mask:255.255.255.224
          inet6 addr: fe80::250:baff:fe5c:2e08/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:56675364 errors:1 dropped:2 overruns:1 frame:0
          TX packets:58467661 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:3529440181 (3.2 GiB)  TX bytes:2135566825 (1.9 GiB)
          Interrupt:19 Base address:0xec00

lo        Link encap:Local Loopback 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:23707 errors:0 dropped:0 overruns:0 frame:0
          TX packets:23707 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:3305472 (3.1 MiB)  TX bytes:3305472 (3.1 MiB)

Добился от роутера только того, чтобы интернет раздавался через проксю, что не удобно, хочется просто по нату. Внешний ip для роутера указал 192.168.1.11, разрешил этому ip получать инет по нату, при указании этого ip на локальной машине она в инет ходит спокойно. Но вот диапазон ip адресов, которые раздает роутер находятся в другой подсети 192.168.2.0/24 для этих адресов тоже разрешил получать инет по нату. Локальные машины и ресурсы из этой подссети видно хорошо, но интернет не хочет не в какую работать, только если указать прокси сервер. Как я понял надо замудриться с маршрутизацией, но вот как понять не могу. На мой взгляд задача не сложная, но из-за нехватки знаний и опыта решить ее не могу =(
P.S.: И еще вопросик, если не сложно объясните почему через обычную точку доступа интернет раздавался нормально? Как я понял, у точки доступа принцип работы как у хаба или я не прав?
P.S.S.: Маршрутизатор Netgear JWNR2000V2

[Гарри Кашпировский]

Если и раздавать инет по NAT, то не для 192.168.11, а для 192.168.2.0/24, и маршрут на 192.168.2.0/24 через 192.168.1.11 записать. NAT на WNR2000 - отключить.
Вообще в такой ситауции роутер - лишнее, достаточно точки доступа.

Как я понял, у точки доступа принцип работы как у хаба или я не прав?

Примерно так.

[Sheffdop]

То что роутер лишнее я уже понял... А каким образом маршрут прописать? В этом и есть загвоздка!

[Гарри Кашпировский]

Не совсем понял. Тебе синтаксис команды нужен или куда эту команду записать?
Синтаксис можно в справке почитать
man route
man ip
Смотря какой утилитой пользоваться будешь.
Куда записывать: общего мнения на этот счёт нет, кто-то делает скрипт в /etc/network/if-up.d/, кто-то вообще не парится и пихает в init. Я записываю в post-up описания интерфейса /etc/network/interfaces

Код: (text) [Выделить]

# Нужный кусок файла
iface eth1 inet static
      address 192.168.1.100
      netmask 255.255.255.0
      post-up <нужная_команда> #без <>и конечно же, справка по interfaces твой друг, помошник и ман

[Sheffdop]

Т.е. мне на шлюзе надо прописать маршрут чтобы машины из подсети 192.168.2.0/24 ходили в инет через ip роутера?
И еще, а если я воткну сетевой кабель с инетом в лан порт и просто настрою лан. Так не сработает?
Прописал на шлюзе такой маршрут: route add -net 192.168.2.0 netmask 255.255.255.0 gw 192.168.1.11
Изменений никаких нет =(

[fisher74]

Сработает. Только смотрите, чтобы 2 DHCP сервера не работали в одной сетке (один от шлюза, второй - роутерный)

[Sheffdop]

Совсем запутался. Вставляю кабель с локалки с инетом в лан1, второй кабель до компа в лан2, настраиваю на роутере лан инетрфейс (ip 192.168.1.11, маска 255.255.255.0, DHCP) и по прежнему ничего не работает, хотя опять же через прокси доступ в интернет есть. В чем может быть загвоздка? Все же мне кажется, что нужно роутинг прописать на шлюзе, только вот откуда куда и как, я не могу додумать.Хотя теперь комп через роутер получает ip из этой же подсети, только шлюзом пишется не 192.168.1.100, а ip роутера 192.168.1.11.tracert показывает, что запросы дальше роутера не проходят и еще при открытии любой страницы, меня через несколько секунд перебрасывает на веб-морду роутера. Прописывать маршруты на компах пользователей не вариант, т.к. wi-fi на то и wi-fi, чтобы принес ноут, открыл и подцепился =)

[fisher74]

DHCP на роутере отключили?

[Sheffdop]

Не отключал, т.к. в сети нет других серверов DHCP.
И да, если подключен через роутер, но ручками вбиваю тот же ip, что выдает роутер, но шлюз меняю на 192.168.1.100 (вместо 192.168.1.11, который выдает роутер), то все прекрасно коннектится.

[Гарри Кашпировский]

Может, настало время показать конфиг?

[Sheffdop]

interfaces

(Нажмите, чтобы показать/скрыть)

auto lo eth1 eth3
iface lo inet loopback

iface eth1 inet static
   address 192.168.1.100
   netmask 255.255.255.0
   network 192.168.1.0
   broadcast 192.168.1.255

iface eth3 inet static
        address 195.82.x.x
        netmask 255.255.255.224
        gateway 195.82.x.x
        broadcast 195.82.x.x
        network 195.82.x.x
        dns-nameservers 212.17.13.196 212.17.1.65

up route add -net 192.168.10.0 netmask 255.255.255.0 gw 192.168.1.1

post-up iptables -t nat -A POSTROUTING -o eth3 -j MASQUERADE
post-up iptables -t nat -A PREROUTING -p tcp -d 192.168.1.100 --dport 1101 -j DNAT --to-destination 195.62.52.19:110
post-up iptables -t nat -A PREROUTING -p tcp -d 192.168.1.100 --dport 5871 -j DNAT --to-destination 195.62.52.19:587
post-up iptables -t nat -A PREROUTING -p tcp -d 192.168.1.100 --dport 1102 -j DNAT --to-destination 195.93.186.193:110
post-up iptables -t nat -A PREROUTING -p tcp -d 192.168.1.100 --dport 5872 -j DNAT --to-destination 195.93.186.193:2525
post-up iptables -t nat -A PREROUTING -p tcp -d 192.168.1.100 --dport 3290 -j DNAT --to-destination 82.200.18.82:3290
post-up iptables -t nat -A PREROUTING -p tcp -d 195.82.x.x --dport 337 -j DNAT --to-destination 192.168.1.110:3389
post-up iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
post-up iptables -A INPUT -s 127.0.0.1 -j ACCEPT
post-up iptables -A INPUT -p tcp --dport 3128 -j ACCEPT
post-up iptables -A INPUT -p tcp --dport 2802 -j ACCEPT
post-up iptables -A INPUT -p tcp --dport 1234 -j ACCEPT
post-up iptables -A INPUT -p tcp --dport 5222 -j ACCEPT
post-up iptables -A INPUT -p tcp --dport 22 -j ACCEPT
post-up iptables -A INPUT -p tcp --dport 81 -j ACCEPT
post-up iptables -A INPUT -s 192.168.1.17 -j ACCEPT
post-up iptables -A INPUT -s 192.168.1.9 -j ACCEPT
post-up iptables -A INPUT -s 192.168.10.129 -j ACCEPT
post-up iptables -P OUTPUT ACCEPT
post-up iptables -P INPUT DROP

iptables -L -n

(Нажмите, чтобы показать/скрыть)

Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           ctstate RELATED,ESTABLISHED
ACCEPT     all  --  127.0.0.1            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:3128
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:2802
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:1234
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:5222
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:22
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:81
ACCEPT     all  --  192.168.1.17         0.0.0.0/0           
ACCEPT     all  --  192.168.1.9          0.0.0.0/0           
ACCEPT     all  --  192.168.10.129       0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:1947
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:5678
ACCEPT     all  --  192.168.1.11         0.0.0.0/0           
ACCEPT     all  --  192.168.1.131        0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Вот. Если вы про эти конфиги)
Пользователь решил продолжить мысль 13 Октября 2011, 08:50:52:Кажется понял в чем проблема, просто для подсети 192.168.2.0/24 не настроен нат. Как можно это осуществить, если внутренний интерфейс шлюза раздающего инет по нату находится в подсети 192.168.1.0/24? И вообще в ту ли сторону я копаю?

[Гарри Кашпировский]

Я, сначала был уверен, что WNR2000 хорошая коробка, это не совсем так. В родной прошивке роутера я не нашёл режима подобного такому.

(Нажмите, чтобы показать/скрыть)

на WNR2000, посмотрите, может я упустил этот пункт.
Вот документация
Но попался вот такой тернистый путь
На форуме http://forum.netgear.ru/, попалось упоминание, что в WNR2000 можно включить telnet, только прошив роутер, поскольку Netgear кроме Linuxа до этого в свои прошивки ничего не ставил, то с вероятностью 99,9% там окажется Linux + busybox, со всеми необходимыми утилитами для сетевого экрана (iptables) и маршрутизации (route/ip), а так же с программой управления flash-памяти  - nvram (справка)
Путем нехитрых манипуляций, вполне можно заставить WNR2000 работать машрутизатором БЕЗ NAT - самым распространённым и наиболее способом работы.
Поэтому, бросьте все эти хитрые манипуляции и сделайте так. Отключите DHCP на маршутизаторе, приходящий на WAN кабель, переткние его в любой свободный LAN-порт маршрутизатора и получите точку доступа с возможностью роутера, дальше все манипуляции выполнялись бы как с ТД. Это, на мой взгляд, самый быстрый и безболезненный способ.

[Sheffdop]

А для чего отключать DHCP, как тогда машины будут по wi-fi ip получать? И как я писал выше, что при таком подключении невозможно указать адрес шлюза и выход в интернет опять же закрыт.

[Гарри Кашпировский]

А на Linux разве не сконфигурирован DHCPd | dnsmasq? Тогда пардонте. Можно задействовать роутерный.

[Sheffdop]

Именно, на Linuxе нет DHCP. Так что можете подсказать по проблеме со шлюзом при таком подключении?