Интернет шлюз 3 сетевых адаптера 2 провайдера

[MonoLife]

Если только ближе к вечеру..

Спасибо за понимание.

виде сорванного шланга ГВС

сочувствую, частое явление от соседей.

Есть ну ОООЧЕНЬ простой вариант.

заинтриговал..

Настройте уже оба канала параллельно…

Мне показалось это дико сложным. Хотя, это был бы самый приемлемый  вариант.

[AnrDaemon]

Это дико просто, если на интерфейсах адреса из разных подсетей.
Вот настроить два аплинка в одной подсети - да, было не так просто, но я справился.

[fisher74]

но я справился.

Заметка для блокнотика будет?

[MonoLife]

было не так просто, но я справился.

я читал ваш блог в т.ч.
так как?

Это дико просто

Есть ну ОООЧЕНЬ простой вариант.

[AnrDaemon]

но я справился.

Заметка для блокнотика будет?

http://anr-daemon.livejournal.com/1655.html
http://anr-daemon.livejournal.com/14768.html
оно?

[MonoLife]

..1655 там я был, а ...14768 еще не видел. Спасибо. Но теперь гляжу на это по новому, что ли...
Вопрос про "Маршрутизация трафика от 2 шлюзов":
Создаем таблицы "tvpn", "tadsl" а далее обращаемся к таблицам по имени vpn и adsl. Опечатка?
Скрипт по маршрутизации (не iptables) нужно запускать каждый раз при старте системы? Или достаточно его запустить 1 раз, а затем стартовать скрипт из ..14768?
И еще, можно вместо --mac-source вставить eth? Или обязательно использовать mac адрес?

Код: [Выделить]

iptables -t mangle -A PREROUTING ! -s 192.168.1.0/28 -m conntrack --ctstate NEW,RELATED -i eth1 -j VPN
-A PREROUTING ! -s 192.168.1.0/28 -i eth0 -m conntrack --ctstate NEW,RELATED -j VPN
Спасибо.
******
Можете пояснить

# When main system interface is brought up, set routing tables
if [ "br0" = "$IFACE" ] ; then

" когда главный интерфейс "поднят" " только тогда вызывается функция set_gateway, а если нет, может кабель откусили или еще что-то? Запутался я что-то..
Пользователь добавил сообщение 22 Июля 2016, 11:15:32:Мучения мои ни к чему пока не привели  eth1 подключен кабелем, eth2 нет. В interfaces закомментированы gw в eth1 и eth2. не пингуется ничего.

(Нажмите, чтобы показать/скрыть)

0: from all lookup local
32762: from all to 192.168.1.0/24 lookup rostele
32763: from all to 1.2.3.5/30 lookup enforta 
32764: from all fwmark 0x2 lookup enforta
32765: from all fwmark 0x1 lookup rostele
32766: from all lookup main
32767: from all lookup default

(Нажмите, чтобы показать/скрыть)

default via 192.168.1.1 dev eth1 table rostele src 192.168.0.90
default via 1.2.3.6 dev eth2 table enforta src 1.2.3.4
1.2.3.5/30 dev eth2 proto kernel scope link src 1.2.3.4
192.168.1.0/24 dev eth1 proto kernel scope link src 192.168.1.90
192.168.2.0/24 dev eth0 proto kernel scope link src 192.168.2.1
fe80::/64 dev eth1 proto kernel metric 256
fe80::/64 dev eth2 proto kernel metric 256
ff00::/8 dev eth1 table local metric 256
ff00::/8 dev eth2 table local metric 256

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.21 on Fri Jul 22 15:54:52 2016
*mangle
:PREROUTING ACCEPT [198:23057]
:INPUT ACCEPT [116:14071]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [9:543]
:POSTROUTING ACCEPT [9:543]
:DEFAULT - [0:0]
:ENFORTA - [0:0]
:ROSTELE - [0:0]
-A PREROUTING -i lo -j ACCEPT
-A PREROUTING ! -s 192.168.2.0/24 -i eth1 -m conntrack --ctstate NEW,RELATED -j ROSTELE
-A PREROUTING ! -s 192.168.2.0/24 -i eth2 -m conntrack --ctstate NEW,RELATED -j ENFORTA
-A PREROUTING -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
-A OUTPUT -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
-A DEFAULT -j ROSTELE
-A ENFORTA -j CONNMARK --set-xmark 0x2/0xffffffff
-A ROSTELE -j CONNMARK --set-xmark 0x1/0xffffffff
COMMIT

# Completed on Fri Jul 22 15:54:52 2016
# Generated by iptables-save v1.4.21 on Fri Jul 22 15:54:52 2016
*nat
:PREROUTING ACCEPT [198:23057]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [4:204]
:POSTROUTING ACCEPT [2:102]
-A POSTROUTING -o eth1 -j SNAT --to-source 192.168.1.90
-A POSTROUTING -o eth2 -j SNAT --to-source 1.2.3.4
COMMIT
 
# Completed on Fri Jul 22 15:54:52 2016
# Generated by iptables-save v1.4.21 on Fri Jul 22 15:54:52 2016
*filter
:INPUT DROP [110:13681]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [9:543]
-A INPUT -i lo -j ACCEPT -A FORWARD -s 192.168.2.0/24 -i eth0 -j ACCEPT
-A FORWARD -i eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth1 -o eth0 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i eth2 -o eth0 -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Fri Jul 22 15:54:52 2016

[AnrDaemon]

Статьи были не для вас приведены. У вас на интерфейсах разные подсети, достаточно правильно развести lookup.

Код: [Выделить]

ip rule add from <local.ip> table <table>

[MonoLife]

так, а вместе 2-канально их можно заставить работать?

[AnrDaemon]

Они и будут работать вместе. Вы же их по разным таблицам распихали, они больше не конфликтуют.
Осталось либо SNAT зафиксить, либо на роутерах, на которые вы маршрутизируетесь, прописать маршруты обратно в локальную подсеть через ваш сервер.
И, да, пока вы не уверены в работе схемы, не устанавливайте никакие скрипты и не редактируйте никакие файлы.
Делайте всё командами с консоли. В худшем случае вам придётся перезагрузить сервер.

[MonoLife]

так в том-то и затык!!
пингую с eth1 - он дефолтный (ip r типа так и говорит) и работает. . пингую с eth2, который в текущий момент не дефолтный - пинги идут все работает. Переключаю на eth2:
eth2 дефолтный, работает. А вот eth1 перестает пинговать
eth2 пингует, ну, и дефолтный eth1 тоже.. Затык с первым eth, после смены текущего.
Пока не представляю как побороть..

[AnrDaemon]

Код: [Выделить]

ip rule show; ip route show table all type unicast; iptables-saveпод спойлер. И не надо ничего редактировать, а то мы до третьего пришествия тут сидеть будем.

[MonoLife]

извиняюсь за редактирование, просто ошибки нашел, исправил, повторил. Всё равно не работало..оказывается я весь день тестил пример не подходящий ко моей конфигурации.. Сейчас я верну в то состояние, когда худо-бедно работало и скину результат.
Пользователь добавил сообщение 22 Июля 2016, 15:54:58:

(Нажмите, чтобы показать/скрыть)

0: from all lookup local
32764: from 1.2.3.4 lookup T2
32765: from 192.168.1.90 lookup T1
32766: from all lookup main
32767: from all lookup default

(Нажмите, чтобы показать/скрыть)

default via 192.168.1.1 dev eth1 table T1
1.2.3.5/30 dev eth2 table T1 scope link
127.0.0.0/8 dev lo table T1 scope link
192.168.1.0/24 dev eth1 table T1 scope link src 192.168.1.90
192.168.2.0/24 dev eth0 table T1 scope link default via 1.2.3.6 dev eth2 table T2
1.2.3.5/30 dev eth2 table T2 scope link src 1.2.3.4
127.0.0.0/8 dev lo table T2 scope link
192.168.1.0/24 dev eth1 table T2 scope link
192.168.2.0/24 dev eth0 table T2 scope link
default via 192.168.1.1 dev eth1 1.2.3.5/30 dev eth2 proto kernel scope link src 1.2.3.4
192.168.1.0/24 dev eth1 proto kernel scope link src 192.168.1.90
192.168.2.0/24 dev eth0 proto kernel scope link src 192.168.2.1
fe80::/64 dev eth2 proto kernel metric 256
fe80::/64 dev eth1 proto kernel metric 256
ff00::/8 dev eth2 table local metric 256
ff00::/8 dev eth1 table local metric 256

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.21 on Fri Jul 22 20:24:14 2016
*filter
:INPUT DROP [10:2670]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [49:3656]
:common-check - [0:0]
:icmp-in - [0:0]
:statefull - [0:0]
-A INPUT -j common-check
-A INPUT -j icmp-in
-A INPUT -i eth0 -j ACCEPT
-A INPUT -d 127.0.0.0/8 -i lo -j ACCEPT
-A INPUT -j statefull
-A FORWARD -j common-check
-A FORWARD -s 192.168.2.0/24 -i eth0 -j ACCEPT
-A FORWARD -j statefull
-A OUTPUT -j common-check
-A common-check -m state --state INVALID -j DROP
-A common-check -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset
-A common-check -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A common-check -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j DROP
-A common-check -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP
-A common-check -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,ACK,URG -j DROP
-A common-check -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A common-check -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A common-check -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
-A icmp-in -p icmp -m state --state NEW -m icmp --icmp-type 8 -j ACCEPT
-A icmp-in -p icmp -m state --state NEW -m icmp --icmp-type 11 -j ACCEPT
-A icmp-in -p icmp -m state --state NEW -m icmp --icmp-type 3 -j ACCEPT
-A statefull -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Fri Jul 22 20:24:14 2016
# Generated by iptables-save v1.4.21 on Fri Jul 22 20:24:14 2016
*mangle
:PREROUTING ACCEPT [50:5550]
:INPUT ACCEPT [50:5550]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [49:3656]
:POSTROUTING ACCEPT [49:3656]
COMMIT
# Completed on Fri Jul 22 20:24:14 2016
# Generated by iptables-save v1.4.21 on Fri Jul 22 20:24:14 2016
*nat
:PREROUTING ACCEPT [10:2670]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [16:960]
:POSTROUTING ACCEPT [3:180]
-A POSTROUTING -o eth1 -j SNAT --to-source 192.168.1.90
-A POSTROUTING -o eth2 -j SNAT --to-source 1.2.3.4
COMMIT
# Completed on Fri Jul 22 20:24:14 2016

[AnrDaemon]

У вас в таблицах должно быть только по одному правилу.
default via XXX.
А правило завода в таблицу должно быть вида from <localip> not to <localnet>

[MonoLife]

У вас в таблицах должно быть только по одному правилу default via XXX.

Для каждого интерфейса?

А правило завода в таблицу должно быть вида from <localip> not to <localnet>

Не понял:( особенно, not to <localnet>.

[AnrDaemon]

Что там можно не понять?…

Код: [Выделить]

ip rule add from 192.168.1.90 not to 192.168.1.0/24 table T1