Настройка маршрутизации при VLAN и OpenVPN

[cav]

Имеется центральный офис и разнесенные подразделения. Было решено некоторые из них с помощью VLAN 2 уровня от провайдера зацепить с офисом
на каждом объекте своя подсеть вида 192.168.XXX.0/24 в офисе 192.168.1.1/24. При работе с OpenVPN не возникало проблем пакеты ходили без проблем. Для подключения VLAN на маршрутизаторе (машина под ubuntu) была добавлена сетевая с ip 192.168.100.2 и подсетью /24
На объекте была к сетевой добавлен второй ip вида 192.168.100.101 (подсеть объекта 192.168.101.0/24). На маршрутизаторе был добавлен маршрут через VLAN но подсеть объекта видится только с маршрутизатора. Все машины из первой подсети не видят 101 в обратку с 101 подсети видно только маршрутизатор. таблица маршрутизации на сервере выглядит следующим образом :

Код: [Выделить]

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.250.2   *               255.255.255.255 UH    0      0        0 tun0
xxx.xxx.96.160  *               255.255.255.252 U     0      0        0 eth4
192.168.100.0   *               255.255.255.0   U     0      0        0 eth5
192.168.101.0   192.168.100.2   255.255.255.0   UG    0      0        0 eth5
localnet        *               255.255.255.0   U     0      0        0 eth0
192.168.250.0   192.168.250.2   255.255.254.0   UG    0      0        0 tun0
192.168.0.0     192.168.250.2   255.255.128.0   UG    0      0        0 tun0
default         xxx-xxx-96-161. 0.0.0.0         UG    100    0        0 eth4
где tun0 - канал OpenVPN , eth5 сетевая поключеная к VLAN,  eth4 - сетевая на интернет. Думаю второй день но не могу сообразить в чем дело

[fisher74]

В таблицах маршрутизации клиентов подсети объекта есть намёк на 101-ую сеть? А у клиентов 101-ой сети  в таблице маршрутищации есть про 100-ую сеть? (default gateway через рассматриваемый шлюз так же можно принять за эти маршруты)

P.S. Что-то на самом деле объяснили витиевато. Чую, что на картинке будет смотреться более просто.

[cav]

у клиентов 101 подсети есть указание на шлюз который знает про 101 подсеть
проблемма в том что шлюз из 1 подсети видет всю 101 подсеть а другие машины из 1 подсети ее не видят
при тасировке происходит прыжок до шлюза 1 подсети и все.

[fisher74]

Показывайте ещё таблесы и интерфейсы маршрутизаторе, а так же интерфейсы и марщруты на клиентах с обоих сторон. Иначе это будет гадание на кофейной гуще.

P.S. про ip_forward я не спрашиваю, думаю, что с ним всё ОК.

[cav]

форвард пакетов включен. iptables не влияет на прохождение пакетов
интерфейсы на сервере:

Код: [Выделить]

eth0      Link encap:Ethernet  HWaddr 00:03:47:2f:95:56 
          inet addr:192.168.1.1  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::203:47ff:fe2f:9556/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:618534 errors:0 dropped:0 overruns:0 frame:0
          TX packets:438917 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:344412707 (328.4 MB)  TX bytes:145789708 (139.0 MB)
          Base address:0x1440 Memory:fe860000-fe880000

eth4      Link encap:Ethernet  HWaddr 28:10:7b:45:f9:89 
          inet addr:176.197.96.162  Bcast:176.197.96.163  Mask:255.255.255.252
          inet6 addr: fe80::2a10:7bff:fe45:f989/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:3609898 errors:0 dropped:0 overruns:0 frame:0
          TX packets:4250189 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:626816772 (597.7 MB)  TX bytes:750136112 (715.3 MB)
          Interrupt:22 Base address:0xe000

eth5      Link encap:Ethernet  HWaddr 28:10:7b:45:f9:91 
          inet addr:192.168.100.2  Bcast:192.168.100.255  Mask:255.255.255.0
          inet6 addr: fe80::2a10:7bff:fe45:f991/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:38747 errors:0 dropped:0 overruns:0 frame:0
          TX packets:6666 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:3589295 (3.4 MB)  TX bytes:350557 (342.3 KB)
          Interrupt:21 Base address:0x6000

lo        Link encap:Local Loopback 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:1197601 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1197601 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:284626612 (271.4 MB)  TX bytes:284626612 (271.4 MB)

tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 
          inet addr:192.168.250.1  P-t-P:192.168.250.2  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:1985622 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1703242 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:154617258 (147.4 MB)  TX bytes:417094535 (397.7 MB

[fisher74]

iptables не влияет на прохождение пакетов

Показывайте ещё таблесы и интерфейсы маршрутизаторе, а так же интерфейсы и маршруты на клиентах с обоих сторон. Иначе это будет
гадание на кофейной гуще.

Не мой конёк.

[xeon_greg]

Было решено некоторые из них с помощью VLAN 2 уровня от провайдера зацепить с офисом
на каждом объекте своя подсеть вида 192.168.XXX.0/24 в офисе 192.168.1.1/24. При работе с OpenVPN не возникало проблем пакеты ходили без проблем. Для подключения VLAN на маршрутизаторе (машина под ubuntu) была добавлена сетевая с ip 192.168.100.2 и подсетью /24
На объекте была к сетевой добавлен второй ip вида 192.168.100.101 (подсеть объекта 192.168.101.0/24). На маршрутизаторе был добавлен маршрут через VLAN но подсеть объекта видится только с маршрутизатора

читаю, читаю, понимаю что хочется получить , но не совсем пойму каким образом? что имеется в виду под названием VLAN ? стандарт 802.1Q ?
или таки vpn на базе openvpn в режиме моста ? или 802.1Q поверх openvpn ?

с помощью VLAN 2 уровня от провайдера

? и что значит

При работе с OpenVPN не возникало проблем пакеты ходили без проблем

, так значит все работало ? и куда тогда ходили и от кого пакеты и как? может лучше схематично нарисовать текущую топологию, и затем желаемую ?

[cav]

читаю, читаю, понимаю что хочется получить , но не совсем пойму каким образом? что имеется в виду под названием VLAN ? стандарт 802.1Q ?
или таки vpn на базе openvpn в режиме моста ? или 802.1Q поверх openvpn ?

Да имеется в виду 802.1Q но тунель предоставляет провайдер

приложил 2 файла в dia с топологией

[xeon_greg]

ну как я понимаю, маршрутизатора тут 2 (192,168,100,2 и 192,168,100,106), соответственно и таблицы маршрутизации(

Код: [Выделить]

ip r) надо показывать обоих, тк взаимная видимость сетей 192,168,1,0 и 192,168,101,0 зависит от обоих, также необходимо

Код: [Выделить]

iptables-save -c
sysctl net.ipv4.ip_forward обоих маршрутизаторов, кстати у 106  ось тоже Ubuntu ?

[cav]

ну как я понимаю, маршрутизатора тут 2 (192,168,100,2 и 192,168,100,106), соответственно и таблицы маршрутизации(

Код: [Выделить]

ip r) надо показывать обоих, тк взаимная видимость сетей 192,168,1,0 и 192,168,101,0 зависит от обоих, также необходимо

Код: [Выделить]

iptables-save -c
sysctl net.ipv4.ip_forward обоих маршрутизаторов, кстати у 106  ось тоже Ubuntu ?

ip r

Код: [Выделить]

192.168.250.2 dev tun0  proto kernel  scope link  src 192.168.250.1
xxx.xxx.96.160/30 dev eth4  proto kernel  scope link  src 176.197.96.162
192.168.100.0/24 dev eth5  proto kernel  scope link  src 192.168.100.2
192.168.101.0/24 via 192.168.100.2 dev eth5  scope link
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.1
192.168.250.0/23 via 192.168.250.2 dev tun0
192.168.0.0/17 via 192.168.250.2 dev tun0
default via xxx.xxx.96.161 dev eth4  metric 100
sysctl net.ipv4.ip_forward включен в 1
iptables не влияет потому что очищал его полностью и ситуация не изменилась

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

вторая машина windows xp

Код: [Выделить]

0x1 ........................... MS TCP Loopback interface
0x2 ...00 e0 4c 72 74 11 ...... Realtek RTL8139 Family PCI Fast Ethernet NIC - Минипорт планировщика пакетов
0x3 ...00 ff 7f 08 10 6f ...... TAP-Win32 Adapter V9 - Минипорт планировщика пакетов
===========================================================================
===========================================================================
ЂЄвЁў­лҐ ¬ аиагвл:
‘ҐвҐў®©  ¤аҐб           Њ бЄ  бҐвЁ      Ђ¤аҐб и«о§        €­вҐадҐ©б  ЊҐваЁЄ 
          0.0.0.0          0.0.0.0      10.10.101.1   192.168.101.6   20
      10.10.101.0    255.255.255.0      10.10.101.6   192.168.101.6   20
      10.10.101.6  255.255.255.255        127.0.0.1       127.0.0.1   20
   10.255.255.255  255.255.255.255    192.168.101.6   192.168.101.6   20
        127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1   1
      192.168.1.0    255.255.255.0    192.168.101.6   192.168.101.6   1
    192.168.100.0    255.255.255.0  192.168.100.101   192.168.101.6   20
  192.168.100.101  255.255.255.255        127.0.0.1       127.0.0.1   20
  192.168.100.255  255.255.255.255  192.168.100.101   192.168.101.6   20
    192.168.101.0    255.255.255.0    192.168.101.6   192.168.101.6   20
    192.168.101.6  255.255.255.255        127.0.0.1       127.0.0.1   20
  192.168.101.255  255.255.255.255    192.168.101.6   192.168.101.6   20
        224.0.0.0        240.0.0.0    192.168.101.6   192.168.101.6   20
  255.255.255.255  255.255.255.255  192.168.100.101               3   1
  255.255.255.255  255.255.255.255    192.168.101.6   192.168.101.6   1
Ћб­®ў­®© и«о§:         10.10.101.1
===========================================================================поставил сканировать tcpdump
не нравится мне строка arp who-has 192.168.1.23 tell 192.168.101.6
в выводе

[xeon_greg]

что-то в маршрутизации обоих серваков бардак полный,
где на убунте маршрут к 101.0 сети , шлюзом к которой является 100.106 ?
где на винде маршрут к 1.0 сети , шлюзом к которой я вляется 100.2 ?
у тебя же  нужные тебе подсети почему-то шлюзуются через адрес своего же сервера
еще, если Iptables пустой , как 1.0 сеть получает инет? или она его не должна получать ? или там еще кальмар живет?

[cav]

что-то в маршрутизации обоих серваков бардак полный,
где на убунте маршрут к 101.0 сети , шлюзом к которой является 100.106 ?
где на винде маршрут к 1.0 сети , шлюзом к которой я вляется 100.2 ?
у тебя же  нужные тебе подсети почему-то шлюзуются через адрес своего же сервера
еще, если Iptables пустой , как 1.0 сеть получает инет? или она его не должна получать ? или там еще кальмар живет?

100.106 - ошибка в схеме - 100.101
маршрут к 101 сети - 192.168.101.0   192.168.100.2   255.255.255.0   UG    0      0        0 eth5 в самом первом посте
192.168.1.0    255.255.255.0    192.168.101.6   192.168.101.6     1 - маршрут к 1 подсети на винде что видно в последнем посте
iptables был пустой для минимизации влияния внешних факторы.
то что на вин машине шлюзом стоит 101.6 получается из за того что у сетевой 2 ip из 100 и 101 подсети.

[xeon_greg]

маршрут к 101 сети - 192.168.101.0   192.168.100.2   255.255.255.0   UG    0      0        0 eth5 в самом первом посте

ну чего к 101 сети шлюзом должен быть 100.2 в то время как согласно твоей схеме им должен быть 100.106(101) сам то не запутался ?

192.168.1.0    255.255.255.0    192.168.101.6   192.168.101.6     1 - маршрут к 1 подсети на винде что видно в последнем посте

а тут шлюзом должен быть 100.2, а не 101.6

то что на вин машине шлюзом стоит 101.6 получается из за того что у сетевой 2 ip из 100 и 101 подсети.

зачем этот цирк? что сервер имеет всего 1 сетевую карту? да еще и на винде, да даже и при таком раскладе, чего вдруг шлюзом должен быть 106(101) ? 106(101)  - это адрес внешнего интерфейса сервера, и шлюзом в таблице маршрутизации этого сервера, должен быть адрес другого сервера, который знает где живет необходимая сеть.  может ты неверно понимаешь значение шлюза и на что он должен указывать ?

[cav]

маршрут к 101 сети - 192.168.101.0   192.168.100.2   255.255.255.0   UG    0      0        0 eth5 в самом первом посте

ну чего к 101 сети шлюзом должен быть 100.2 в то время как согласно твоей схеме им должен быть 100.106(101) сам то не запутался ?

192.168.1.0    255.255.255.0    192.168.101.6   192.168.101.6     1 - маршрут к 1 подсети на винде что видно в последнем посте

а тут шлюзом должен быть 100.2, а не 101.6

то что на вин машине шлюзом стоит 101.6 получается из за того что у сетевой 2 ip из 100 и 101 подсети.

зачем этот цирк? что сервер имеет всего 1 сетевую карту? да еще и на винде, да даже и при таком раскладе, чего вдруг шлюзом должен быть 106(101) ? 106(101)  - это адрес внешнего интерфейса сервера, и шлюзом в таблице маршрутизации этого сервера, должен быть адрес другого сервера, который знает где живет необходимая сеть.  может ты неверно понимаешь значение шлюза и на что он должен указывать ?

я показываю что показывает виндовый route
команда стот route add 192.168.1.0 255.255.255.0 192.168.100.101
при двух IP на одной сетевой route показывает то что показывает

[koshev]

Замечательный топик
Смотрю на схему "что надо". Есть два юнита пограничного оборудования сети, использующие инфраструктуру провайдера, скоммутированные между собой посредством VLAN с известным ID. Возьмём сеть VLAN - 192.168.255/30 (впринципе сеть любая из RFC1918, ведь ISP обеспечил связность на layer 2) и будем считать что тегированный траффик ходит по тому же шнурку что и основной, ибо нафига ставить сетевуху, когда прекрасно можно обойтись без неё. Впрочем, меняем VLAN на физическую сетевую карточку - получаем то же самое.
Отлично. Отбрасываем шелуху в виде OVPN. Роутинг в чистом виде выйдет такой.

(Нажмите, чтобы показать/скрыть)

Код: (text) [Выделить]

~# ifconfig
eth0      Link encap:Ethernet  HWaddr ma:ca:dd:re:ss:01 
          inet addr:192.168.1.1  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::f66d:4ff:fe94:c81d/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:945865 errors:0 dropped:0 overruns:0 frame:0
          TX packets:584981 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:1298831628 (1.2 GB)  TX bytes:42615965 (42.6 MB)
          Interrupt:27 Base address:0x8000

eth4      Link encap:Ethernet  HWaddr 28:10:7b:45:f9:89 
          inet addr:176.197.96.162  Bcast:176.197.96.163  Mask:255.255.255.252
          inet6 addr: fe80::2a10:7bff:fe45:f989/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:3609898 errors:0 dropped:0 overruns:0 frame:0
          TX packets:4250189 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:626816772 (597.7 MB)  TX bytes:750136112 (715.3 MB)
          Interrupt:22 Base address:0xe000 GB)  TX bytes:42615965 (42.6 MB)
          Interrupt:27 Base address:0x8000

vlanXXX      Link encap:Ethernet  HWaddr 28:10:7b:45:f9:89 
          inet addr:192.168.255.1  Bcast:192.168.255.3  Mask:255.255.255.252
          inet6 addr: fe80::2a10:7bff:fe45:f989/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:3609898 errors:0 dropped:0 overruns:0 frame:0
          TX packets:4250189 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:626816772 (597.7 MB)  TX bytes:750136112 (715.3 MB)

Код: (text) [Выделить]

~# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.1.0    0.0.0.0         255.255.255.0   U     0      0        0 eth0
192.168.100.0  192.168.255.2   255.255.255.0   UG    0      0        0 vlanXXX
176.197.96.160 0.0.0.0         255.255.255.252 U     0      0        0 eth4
192.168.255.0  0.0.0.0         255.255.255.252 U     0      0        0 vlanXXX
0.0.0.0        176.197.96.161  0.0.0.0         UG    0      0        0 eth4

(Нажмите, чтобы показать/скрыть)

Винду выкорчевать нахрен всеми доступными методами. Её место не на шлюзах. Будем считать что там пингвин.

Код: (text) [Выделить]

~# ifconfig
eth0      Link encap:Ethernet  HWaddr ma:ca:dd:re:ss:02 
          inet addr:192.168.100.1  Bcast:192.168.100.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:38133 errors:0 dropped:0 overruns:0 frame:0
          TX packets:43137 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:4085355 (4.0 MB)  TX bytes:45131911 (45.1 MB)
          Interrupt:44 Base address:0x2000

eth1      Link encap:Ethernet  HWaddr ma:ca:dd:re:ss:02 
          inet addr:10.10.101.6  Bcast:10.10.101.255  Mask:255.255.255.0
          inet6 addr: fe80::7271:bcff:fed5:3700/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:6821 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:0 (0.0 B)  TX bytes:693430 (693.4 KB)
          Interrupt:27 Base address:0x8000

vlanXXX      Link encap:Ethernet  HWaddr ma:ca:dd:re:ss:02
          inet addr:192.168.255.2  Bcast:192.168.255.3  Mask:255.255.255.252
          inet6 addr: fe80::2a10:7bff:fe45:f989/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:3609898 errors:0 dropped:0 overruns:0 frame:0
          TX packets:4250189 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:626816772 (715.3 MB)  TX bytes:750136112 (597.7 MB)

Код: (text) [Выделить]

~# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.10.101.0     0.0.0.0         255.255.255.0   U     0      0        0 eth1 
192.168.100.0   0.0.0.0         255.255.255.0   U     0      0        0 eth0
192.168.1.0     192.168.255.1   255.255.255.0   UG    0      0        0 vlanXXX
192.168.255.0   0.0.0.0         255.255.255.252 U     0      0        0 vlanXXX
0.0.0.0         10.10.101.1     0.0.0.0         UG    0      0        0 eth1

Вот собственно вся конфигурация. На каждой единице оборудования не менее трёх сетевых интерфейсов:
1-й - интерфейс на локальную сеть.
2-й - интерфейс на сеть провайдера.
3-й - VLAN на "провайдерском" интерфейсе (либо сетевая карточка на нужном порте провайдерского коммутатора).
Это похоже на то, что есть?