Форум русскоязычного сообщества Ubuntu


Хотите сделать посильный вклад в развитие Ubuntu и русскоязычного сообщества?
Помогите нам с документацией!

Автор Тема: Периодически пропадает пинг на внешнем интерфейсе  (Прочитано 982 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн achilles_85

  • Автор темы
  • Любитель
  • *
  • Сообщений: 60
    • Просмотр профиля
Всем привет. Пытался сам дотукаться, но никак. Даже тему как-то такую встречал, но не могу найти.
Политика по дефолту дроп. Заметил, что временами перестает отвечать на пинг внешний интерфейс. Но если в это время пустить пинг со шлюза куда-нить наружу, то он становится доступным извне. Знаю что намудрил с инпутом, но хз где.
xx.xx.xx.xx ресурс с которого хожу по 22 порту
xxx.xxx.xxx.xxx внешний адрес интерфейса ens32
192.168.5.0/24 диапазон на интерфейсе tun1

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -t filter -F
iptables -t filter -X
iptables -t nat -F
iptables -t nat -X

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

iptables -A INPUT -i ens32 -p icmp --icmp-type 0 -j ACCEPT
iptables -A INPUT -i ens32 -p icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -i br1 -p icmp --icmp-type 0 -j ACCEPT
iptables -A INPUT -i br1 -p icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -i tun0 -p icmp --icmp-type 0 -j ACCEPT
iptables -A INPUT -i tun0 -p icmp --icmp-type 8 -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT

iptables -A OUTPUT -p tcp --sport 32768:60999 -j ACCEPT
iptables -A OUTPUT -p udp --sport 32768:60999 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p udp -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -i ens32 -s xx.xx.xx.xx -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -o ens32 -s xx.xx.xx.xx -p tcp --sport 22 -j ACCEPT
iptables -A INPUT -i ens32 -p udp -m multiport --dports 1111,1112,1113 -j ACCEPT     #порты ovpn
iptables -A OUTPUT -o ens32 -p udp -m multiport --sports 1111,1112,1113 -j ACCEPT

iptables -t nat -A POSTROUTING -s 192.168.5.0/24 -j SNAT --to-source xxx.xxx.xxx.xxx

iptables -A FORWARD -s 192.168.5.0/24 -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i ens32 -m conntrack --ctstate NEW -p tcp -m multiport --dports xxxx,xxxx2,xxxx3 -j ACCEPT
iptables -A FORWARD -d 192.168.5.0/24 -m state --state ESTABLISHED,RELATED -j ACCEPT


Подскажи плиз в чем проблема.
« Последнее редактирование: 06 Декабрь 2016, 18:00:03 от achilles_85 »

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26062
    • Просмотр профиля
iptables-save покажите, пожалуйста.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн achilles_85

  • Автор темы
  • Любитель
  • *
  • Сообщений: 60
    • Просмотр профиля
# Generated by iptables-save v1.6.0 on Tue Dec  6 18:03:38 2016
*nat
:PREROUTING ACCEPT [3807:556807]
:INPUT ACCEPT [4:262]
:OUTPUT ACCEPT [1:76]
:POSTROUTING ACCEPT [1:76]
-A POSTROUTING -s 192.168.5.0/24 -j SNAT --to-source xxx.xxx.xxx.xxx
COMMIT
# Completed on Tue Dec  6 18:03:38 2016
# Generated by iptables-save v1.6.0 on Tue Dec  6 18:03:38 2016
*filter
:INPUT DROP [3370:521394]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -i ens32 -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -i ens32 -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -i br1 -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -i br1 -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -i tun0 -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -i tun0 -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p udp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -s xx.xx.xx.xx/32 -i ens32 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i ens32 -p udp -m multiport --dports xxxx,xxxx1,xxxx2 -j ACCEPT
-A FORWARD -s 192.168.5.0/24 -j ACCEPT
-A FORWARD -d 192.168.5.0/24 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 32768:60999 -j ACCEPT
-A OUTPUT -p udp -m udp --sport 32768:60999 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 22 -j ACCEPT
-A OUTPUT -s xx.xx.xx.xx/32 -o ens32 -p tcp -m tcp --sport 22 -j ACCEPT
-A OUTPUT -o ens32 -p udp -m multiport --sports xxxx,xxxx1,xxxx2 -j ACCEPT
COMMIT
# Completed on Tue Dec  6 18:03:38 2016

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26062
    • Просмотр профиля
(Нажмите, чтобы показать/скрыть)

Зелёное заменить на реальные значения, а синее вам придётся объяснить, что вы там пытаетесь придумать.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн achilles_85

  • Автор темы
  • Любитель
  • *
  • Сообщений: 60
    • Просмотр профиля
AnrDaemon, первое [quotе] синее вам придётся объяснить, что вы там пытаетесь придумать.
[/quote]
Первое разрешает ip хх.хх.хх.хх ходить на порт 22 через интерфейс ens32.
Второе разрешает входящие подключения на данные порты только по интерфейсу ens32. Эти порты случает openvpn сервер
А как потеря связи связана с зелеными пометками? Форвардинг и нат пока на втором плане, хотя и там имеются грабли.

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26062
    • Просмотр профиля
Потери никак не связаны, просто ваш конфиг настолько запущен, что проще было написать новый.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн achilles_85

  • Автор темы
  • Любитель
  • *
  • Сообщений: 60
    • Просмотр профиля
Печально( читал man к iptables, вот плоды всего этого. Мой первый серьезный конфиг, оно то вроде и работает, но вроде и косяк есть. А как лучше будет его составить?
На сервере два tun и один tap. Один внешний и один внутренний интерфейсы. Поднят мост залинкованый на внутренний интерфейс, tap интерфейс объединен с мостом.
Нужно чтобы один из tun и tap имели доступ только в сеть друг друга. С этим пунктом справился, все завелось. Второй tun нужен чтобы иметь доступ в интернет, в основном для работы через общедоступную файвай сеть. Как раз для этого второго tun и прописан конфиг в iptables.
Если не сложно подскажите как правильно реализовать.

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26062
    • Просмотр профиля
Скорее всего, проблемы в маршрутизации, а не в iptables.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн achilles_85

  • Автор темы
  • Любитель
  • *
  • Сообщений: 60
    • Просмотр профиля
ifconfig
(Нажмите, чтобы показать/скрыть)

route
(Нажмите, чтобы показать/скрыть)


Сегодня опять пропала связь с сервером. После того как с него пустил пинг во внешний мир связь появилась. До потери связи и после таблица маршрутов не менялась. Все таки мне кажется это проблем iptables. Кто-нибудь подскажите на что обратить внимание.

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26062
    • Просмотр профиля
Показывайте диагностику полностью.
ip addr; ip -s link; ip rule; ip route show table all type unicast; iptables-save
мне кажется
В таких случаях обычно крестятся.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн achilles_85

  • Автор темы
  • Любитель
  • *
  • Сообщений: 60
    • Просмотр профиля
AnrDaemon,
(Нажмите, чтобы показать/скрыть)

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26062
    • Просмотр профиля
Мне в частности onlink на маршруте по умолчанию совершенно не нравится.
Если я правильно помню, это говорит о том, что маршрут активен в зависимости от активности соединения.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн achilles_85

  • Автор темы
  • Любитель
  • *
  • Сообщений: 60
    • Просмотр профиля
AnrDaemon, этот сервер поднят на виртуальной машине esxi. Параллельно трудится еще одни на этой вм, там нет такой проблемы. Единственное у второго сервера политика output accept. Маршрутизацию ни там, ни тут на проблемном не трогал.

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26062
    • Просмотр профиля
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн achilles_85

  • Автор темы
  • Любитель
  • *
  • Сообщений: 60
    • Просмотр профиля
AnrDaemon, я вас не могу понять. Загадками вы говорите очень хорошо, тут с вами не поспоришь. Конфиг упоротый может быть, не спорю. Но вы уже пожалуйста прямо укажите на то, в чем косяк. Так с бубном мы можем долго ходить вокруг да около. А если не хотите говорить, то ничего страшного, просто не надо меня по ссылкам кидать.

Пользователь добавил сообщение 08 Декабрь 2016, 14:58:13:
В syslog вот такое вывалилось при потери связи. Смущает Raise network interfaces. Не подскажите что не так?
(Нажмите, чтобы показать/скрыть)
« Последнее редактирование: 08 Декабрь 2016, 14:58:13 от achilles_85 »

 

Страница сгенерирована за 0.063 секунд. Запросов: 24.