объединение двух сетей HELP = )

[ngu™]

Доброго времени суток!
есть два сервера(два компьютера ) Ubuntu 14.04
по задумке
два разных провайдера(в данный момент они в двух разных подсетях..подсети связаны между собой)
оба сервера раздуют интернет в свою подсеть (10.6.6.0/24 и 10.8.8.0/24)
так вот) сервера связаны между собой тунелем
маршрут прописан

(Нажмите, чтобы показать/скрыть)

Таблица маршутизации ядра протокола IP
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0         10.5.13.1       0.0.0.0         UG    0      0        0 p4p1
10.4.5.2        0.0.0.0         255.255.255.255 UH    0      0        0 tun0
10.5.13.0       0.0.0.0         255.255.255.0   U     0      0        0 p4p1
10.6.6.0        10.4.5.2        255.255.255.0   UG    0      0        0 tun0
10.8.8.0        0.0.0.0         255.255.255.0   U     0      0        0 p5p1

forward включен
iptables присутствуют

(Нажмите, чтобы показать/скрыть)

*filter
:INPUT ACCEPT [174:14495]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [87:10408]
-A INPUT -i lo -j ACCEPT
-A FORWARD -i p5p1 -o p4p1 -j ACCEPT
-A FORWARD -i p4p1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i p5p1 -o tun0 -j ACCEPT
-A FORWARD -i tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
*nat
:PREROUTING ACCEPT [4:963]
:INPUT ACCEPT [4:963]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.8.8.0/24 -o p4p1 -j MASQUERADE
-A POSTROUTING -s 10.8.8.0/24 -o tun0 -j MASQUERADE
COMMIT

interface

(Нажмите, чтобы показать/скрыть)

auto lo
iface lo inet loopback

# The primary network interface
auto p4p1
iface p4p1 inet dhcp

auto p5p1
iface p5p1 inet static
address 10.8.8.1
netmask 255.255.255.0

auto tun0
iface tun0 inet static
        address 10.4.5.1
        netmask 255.255.255.252
        pre-up iptunnel add tun0 mode gre local 10.5.13.33 remote 10.5.18.11 ttl 255
        up ifconfig tun0 multicast
        pointopoint 10.4.5.2
        post-down iptunnel del tun0

настройки второго сервера идентичны
проблема заключается в том что не получается объеденить подсети 10.6.6.0/24 и 10.8.8.0/24
НО с серверов адреса 10.6.6.1 и 10.8.8.1 пингуются

подскажите пож что забыл? или где накосячил?

[fisher74]

маршруты на клиентах можете показать?

Код: [Выделить]

-A POSTROUTING -s 10.8.8.0/24 -o tun0 -j MASQUERADEИ судя по таблесам клиенты сети 10.8.8.0/24 будут скрыты для сети 10.6.6.0/24

ЗЫ правила FORWARD "мусором" загружены, так как цепочка по-умолчанию ACCEPT

[ngu™]

маршруты на клиентах можете показать?

(Нажмите, чтобы показать/скрыть)

IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
          0.0.0.0          0.0.0.0         10.6.6.1        10.6.6.16     20
         10.6.6.0    255.255.255.0         On-link         10.6.6.16    276
        10.6.6.16  255.255.255.255         On-link         10.6.6.16    276
       10.6.6.255  255.255.255.255         On-link         10.6.6.16    276
        127.0.0.0        255.0.0.0         On-link         127.0.0.1    306
        127.0.0.1  255.255.255.255         On-link         127.0.0.1    306
  127.255.255.255  255.255.255.255         On-link         127.0.0.1    306
        224.0.0.0        240.0.0.0         On-link         127.0.0.1    306
        224.0.0.0        240.0.0.0         On-link         10.6.6.16    276
  255.255.255.255  255.255.255.255         On-link         127.0.0.1    306
  255.255.255.255  255.255.255.255         On-link         10.6.6.16    276
===========================================================================
Постоянные маршруты:
  Отсутствует

 

И судя по таблесам клиенты сети 10.8.8.0/24 будут скрыты для сети 10.6.6.0/24

ЗЫ правила FORWARD "мусором" загружены, так как цепочка по-умолчанию ACCEPT

изначально планировал блокировать все кроме...но так как не получается что то...решил открыть по умолчанию
очистил таблицу filter цепь FORWARD
и удалил правило nat -A POSTROUTING -s 10.8.8.0/24 -o tun0 -j MASQUERADE

(Нажмите, чтобы показать/скрыть)

*nat
:PREROUTING ACCEPT [148:27183]
:INPUT ACCEPT [148:27183]
:OUTPUT ACCEPT [9:700]
:POSTROUTING ACCEPT [9:700]
-A POSTROUTING -s 10.8.8.0/24 -o p4p1 -j MASQUERADE
COMMIT
*filter
:INPUT ACCEPT [1933:164878]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [129:16104]
-A INPUT -i lo -j ACCEPT
COMMIT

[fisher74]

От клиента с которого снимали таблицу маршрутизации(10.6.6.16) 10.8.8.1 пингуется?
И ещё раз, на всякий случай, перепроверьте на обоих шлюзах

Код: [Выделить]

sysctl net.ipv4.ip_forward

[ngu™]

От клиента с которого снимали таблицу маршрутизации(10.6.6.16) 10.8.8.1 пингуется?

да пинги по 10.8.8.1 проходят

И ещё раз, на всякий случай, перепроверьте на обоих шлюзах

проверил на обоих шлюзах

Код: [Выделить]

net.ipv4.ip_forward=1

[fisher74]

таблицу маршрутизации на клиентах из сети 10.8.8.0/24 покажите
а заодно с любого из них пинг на 10.6.6.1

[ngu™]

Код: [Выделить]

IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
          0.0.0.0          0.0.0.0         10.8.8.1        10.8.8.10     20
         10.8.8.0    255.255.255.0         On-link         10.8.8.10    276
        10.8.8.10  255.255.255.255         On-link         10.8.8.10    276
       10.8.8.255  255.255.255.255         On-link         10.8.8.10    276
        127.0.0.0        255.0.0.0         On-link         127.0.0.1    306
        127.0.0.1  255.255.255.255         On-link         127.0.0.1    306
  127.255.255.255  255.255.255.255         On-link         127.0.0.1    306
        224.0.0.0        240.0.0.0         On-link         127.0.0.1    306
        224.0.0.0        240.0.0.0         On-link         10.8.8.10    276
  255.255.255.255  255.255.255.255         On-link         127.0.0.1    306
  255.255.255.255  255.255.255.255         On-link         10.8.8.10    276
===========================================================================
Постоянные маршруты:
  Отсутствует

а заодно с любого из них пинг на 10.6.6.1

пинги идут

[fisher74]

тогда давайте таблесы и со второго шлюза, так как я пока не вижу препятствий
Пользователь решил продолжить мысль 10 Апреля 2015, 13:38:12:А! Стоп... А маршруты прописаны на шлюзах или в конфиге OpenVPN?

[ngu™]

инфа по второму шлюзу

interface

(Нажмите, чтобы показать/скрыть)

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet dhcp

auto eth1
iface eth1 inet static
address 10.6.6.1
netmask 255.255.255.0

auto tun0
iface tun0 inet static
        address 10.4.5.2
        netmask 255.255.255.252
        pre-up iptunnel add tun0 mode gre local 10.5.18.11 remote 10.5.13.33 ttl 255
        up ifconfig tun0 multicast
        pointopoint 10.4.5.1
        post-down iptunnel del tun0

iptables

(Нажмите, чтобы показать/скрыть)

*filter
:INPUT ACCEPT [2483:243693]
:FORWARD ACCEPT [15645:12841569]
:OUTPUT ACCEPT [498:70565]
-A INPUT -i lo -j ACCEPT
COMMIT

*nat
:PREROUTING ACCEPT [2622:185982]
:INPUT ACCEPT [1280:103411]
:OUTPUT ACCEPT [243:18554]
:POSTROUTING ACCEPT [248:18950]
-A POSTROUTING -s 10.6.6.0/24 -o eth0 -j MASQUERADE
COMMIT

route

(Нажмите, чтобы показать/скрыть)

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         10.5.18.1       0.0.0.0         UG    0      0        0 eth0
10.4.5.1        0.0.0.0         255.255.255.255 UH    0      0        0 tun0
10.5.18.0       0.0.0.0         255.255.255.0   U     0      0        0 eth0
10.6.6.0        0.0.0.0         255.255.255.0   U     0      0        0 eth1
10.8.8.0        10.4.5.1        255.255.255.0   UG    0      0        0 tun0

Пользователь решил продолжить мысль 10 Апреля 2015, 13:48:58:

А! Стоп... А маршруты прописаны на шлюзах или в конфиге OpenVPN?

на шлюзах из под рута прописал
route add -net 0.0.0.0/24(адрес подсети) gw 0.0.0.0(адрес тунеля) tun0

[fisher74]

да ну я уже понял в чёт трабла. Думаю Вы тоже
OpenVPN специфичен - у него в режиме tun есть свой встроенный маршрутизатор, которому тоже нужно маршруты на сети за клиентами скармливать. Хоть это в конфигах и не явно видно, но у многих время много отнимает...
Пользователь решил продолжить мысль 10 Апреля 2015, 14:00:53:Назначайте маршруты на клиентские сети из OpenVPN и будет Вам счастье.
Это будет даже правильней: есть туннель - есть маршруты; нет туннеля - нет маршрутов.

[ngu™]

ммм..возможно прозвучит странно.. ( =
если я прав то openVPN по умолчанию в системе не установлен...
и я не ставил... ( =
и нигде(форумах) информации не видел что openVPN нужен для объединения двух сетей

опыта мало пока что 
пойду читать инфу по openVPN

[fisher74]

А, сорри... смотрю в tun0 и думаю что объединено средствами OVPN. С iptunnel никогда не работал, потому перехожу в статус читателя
Пользователь решил продолжить мысль 10 Апреля 2015, 14:53:13:быстрогуглинг показал, что такой тип туннеля без шифрования. Если секьюрность важно, то рекомендую всё же OVPN осилить.

[ngu™]

почитал инфу
к сожалению openVPN в данный момент менее интересен
ищу решение именно
ipip
gre
l2tp
в общем все то что сможет сосуществовать с циской
в данный момент пытаюсь найти решения без шифрования... в дальнейшем буду с шифрованием разбираться =)

[fisher74]

а что там с циской? чтобы она одной из сторон туннеля являлась?

Если так, то зачем 2 раза голову ломать и костыли забивать? Может лучше сразу с IPSec разобраться и всё. Например с помощью OpenSPAWN

А если нет, то причём тут она вообще?

[ngu™]

добрый вечер =)
было много работы не занимался этим вопросом...

в продолжение темы
"зачем 2 раза голову ломать и костыли забивать?"
полезно знать...мало ли в жизни пригодится...
ведь так мы и не выяснили в чем проблема... почему не дает доступа из одной подсети в другую

"Может лучше сразу с IPSec разобраться и всё. Например с помощью OpenSPAWN"
пока что не рассматривал туннели с шифрованием т.к. возникали косяки с телефонией...(по словам предшественника)
если Вы точно знаете что не возникнет проблем с телефонией через IPSec тогда и правда можно попробовать настроить сразу с шифрованием...
или возможно есть еще какие то хорошие варианты?

"А если нет, то причём тут она вообще?"
кошка на будущее(т.к. в офисе именно она стоит и туннель в будущем надо будет поднимать с филиала(ubuntu server) на офис (кошку)
в данный момент все тестирую внутри офисной сети
в две разные подсети поставил два компа с ubuntu server OS

тестировал из дома пробовал поднять тунель с кошкой...
результат тот же... тунель поднимается но подсеть с ubuntu server не видет подсети офисной