Настройка шлюза на основе Mandriva 2007 Spring

[andrystepa]

У меня стоит шлюз настроенный на Mandriva 2006 LC Edition. Хочу настроить запасной шлюз. Установил на сервер Mandriva 2007 Spring. Настроил сетевые интерфейсы:
eth1 - ip- 192.168.0.254/255.255.255.0, GW- 212.89.216.43 - смотрит в локальную сеть.
eth0 - ip-212.89.216.42/255.255.255.252, GW- 212.89.216.43 - смотрит в Инет.
Для настройки шлюза воспользовался графической утилитой drakgw - так же как и на работающем шлюзе. Там все настройки интерфейсов такие же, поэтому отключил работающий шлюз, включил запасной, и прошел настройку в drakgw точно так же, как делал это на работающем шлюзе. Шлюз создавал с кеширующим прокси и работающими DNS и DHCP. Шлюз в интернет благополучно выходит. Локальную сеть видит. Из локальной сети проходит пинг на внутренний интерфейс шлюза - eth1, проходит и на внешний интерфейс - eth0. А вот пинг на шлюз провайдера: 212.89.216.43 из локальной сети не проходит. С самого шлюза естественно пинг идет. Подскажите, в чем может быть проблема. Ведь настройки основного и запасного шлюзовых серверов почти идентичны!

[andrystepa]

Проверил созданные drakgw настройки для Squid - вроде бы все то же самое. В логе messages ничего не нашел. Но вот проверил правила iptables и выяснилось, что drakgw в 2007 мандриве, в отличие от 2006, при одинаковых настройках сети генерит для правил iptables бред!
Вот какие правила он мне сгенерил:
Generated by iptables-save v1.3.5 on Fri Dec 21 09:17:04 2007
*raw
:PREROUTING ACCEPT [1988:1062636]
:OUTPUT ACCEPT [1293:143770]
COMMIT
# Completed on Fri Dec 21 09:17:04 2007
# Generated by iptables-save v1.3.5 on Fri Dec 21 09:17:04 2007
*nat
:PREROUTING ACCEPT [186:45955]
:POSTROUTING ACCEPT [142:14980]
:OUTPUT ACCEPT [100:11653]
COMMIT
# Completed on Fri Dec 21 09:17:04 2007
# Generated by iptables-save v1.3.5 on Fri Dec 21 09:17:04 2007
*mangle
:PREROUTING ACCEPT [2008:1073858]
:INPUT ACCEPT [1434:946645]
:FORWARD ACCEPT [192:10770]
:OUTPUT ACCEPT [1303:149381]
:POSTROUTING ACCEPT [1644:207658]
COMMIT
# Completed on Fri Dec 21 09:17:04 2007
# Generated by iptables-save v1.3.5 on Fri Dec 21 09:17:04 2007
*filter
:INPUT ACCEPT [1440:948172]
:FORWARD ACCEPT [192:10770]
:OUTPUT ACCEPT [1309:150908]
COMMIT
# Completed on Fri Dec 21 09:17:04 2007

Это содержимое файла полученного командой iptables-save
Для сравнения приведу начало того же файла, созданного на основном шлюзе, где стоит Mandriva 2006:

# Generated by iptables-save v1.3.3 on Fri Sep 28 15:46:00 2007
*mangle
:PREROUTING ACCEPT [46343715:20421603425]
:INPUT ACCEPT [39621162:17601167531]
:FORWARD ACCEPT [5322202:2302595026]
:OUTPUT ACCEPT [34639538:16898175334]
:POSTROUTING ACCEPT [40010750:19206336281]
COMMIT
# Completed on Fri Sep 28 15:46:00 2007
# Generated by iptables-save v1.3.3 on Fri Sep 28 15:46:00 2007
*nat
:PREROUTING ACCEPT [1749386:547577023]
:POSTROUTING ACCEPT [2864090:123429038]
:OUTPUT ACCEPT [2866379:123507168]
:eth1_masq - [0:0]
:loc_dnat - [0:0]
-A PREROUTING -i eth0 -j loc_dnat
-A POSTROUTING -o eth1 -j eth1_masq
-A eth1_masq -s 192.168.0.0/255.255.255.0 -j MASQUERADE
-A eth1_masq -s 192.168.0.0/255.255.255.0 -j MASQUERADE
-A loc_dnat -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
COMMIT
# Completed on Fri Sep 28 15:46:00 2007
# Generated by iptables-save v1.3.3 on Fri Sep 28 15:46:00 2007
*filter
:AllowICMPs - [0:0]
:Drop - [0:0]
:DropDNSrep - [0:0]
:DropSMB - [0:0]
:DropUPnP - [0:0]
:INPUT DROP [2:156]
:FORWARD DROP [0:0]
:Ifw - [0:0]
:OUTPUT DROP [0:0]
:Reject - [0:0]
:RejectAuth - [0:0]
:RejectSMB - [0:0]
и.т.д.
Как видно, тут действительно создается конфигурация для шлюза. Но ведь эти настройки создавались в одинаковых условиях, одинаковыми программами и с одинаковыми начальными настройками. Что это значит drakgw в Mandriva 2007 не работает? Почему?

[BDag]

Нормально он работает.
Покажи настройки:
/etc/shorewall/masq
/etc/shorewall/interfaces
/etc/shorewall/policy
/etc/shorewall/rules*
/etc/shorewall/zone

[andrystepa]

Содержимое /etc/shorewall/

masq:
eth0 192.168.0.0/255.255.255.0
eth0 192.168.0.0/255.255.255.0

interfaces:
#ZONE INTERFACE BROADCAST OPTIONS
net eth0 detect
loc eth1 detect
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE
Остальное в комментариях - приводить не буду.

policy:
#SOURCE DEST POLICY LOG LIMIT:BURST
# LEVEL
loc net ACCEPT
loc fw ACCEPT
fw loc ACCEPT
fw net ACCEPT
net all DROP info
all all REJECT info
#LAST LINE -- DO NOT REMOVE

rules:
ACCEPT net fw udp 53,137,138,139,445,1024:1100 -
ACCEPT net fw tcp 80,443,53,22,20,21,25,109,110,143,23,137,138,139,445,1024:1100 -
ACCEPT net fw icmp 8 -
REDIRECT loc 3128 transparent transparent -
REDIRECT loc 3128 tcp www -

zone:
#ZONE TYPE OPTIONS IN OUT
# OPTIONS OPTIONS
net ipv4
loc ipv4
fw firewall
#LAST LINE - ADD YOUR ENTRIES ABOVE THIS ONE - DO NOT REMOVE

Закомментированные строки не показывал - слишком длинно получилось бы. Эти настройки я взял после того, как отработал drakegw - из локальной сети пингуется внутренний интерфейс шлюза 192.168.0.254, и внешний интерфейс: 212.89.216.42, а вот на шлюз сети провайдера пинг не проходит. Шлюз интернет видит.
Я так понял, в Mandriva 2007 вместо iptables используется Shorewall для настройки шлюза. Как вижу это хреновая затея - iptables настраивался без проблем, и сгенерированный набор правил был достаточно надежен - за три года никто без моего ведома локальную сеть из инета не видел.

[vsiz]

Попробуй закомментироваться строки
masq:
eth0 192.168.0.0/255.255.255.0
#eth0 192.168.0.0/255.255.255.0 вот эту

rules:
ACCEPT net fw udp 53,137,138,139,445,1024:1100 -
ACCEPT net fw tcp 80,443,53,22,20,21,25,109,110,143,23,137,138,139,445,1024:1100 -
ACCEPT net fw icmp 8 -
#REDIRECT loc 3128 transparent transparent - и эту
REDIRECT loc 3128 tcp www -

Потом перезапусти shorewall:
/etc/init.d/shorewall restart
и squid:
/etc/init.d/squid restart

[BDag]

знак "-" в концу правила ставить не обязательно, т.к. он используется как пустое значение чтобы можно было указать следующей параметр правила