Интернет (сеть) через другой комп (как настроить?)

[Mangust]

Здравствуйте. Приобрел ноут. Основной комп уже подключен к сети. В нем 2 сетевых.
Связал с ноутом. Пингуются нормально. Даже с ноута лажу по ftp (точнее через vsftpd на основном только и смог обеспечить файлообмен пока. да его явно и хватит, т.к. шарить сканеры и т.д. пока не нужно). Т.е. доступ к ресурсам основного есть.

Не смог снаскока настроить доступ в инет с ноута через основной . ipv4.ip_forward выставил = 1 на основном (пишу название строки из /etc/sysctl.conf по памяти). Явно еще что-то нужно, чтобы запросы с eth1 (где связь с ноутом) шли на eth0 (где инет и локалка. без vpn и прочей мути)

man iptables делаю. гуглю. пока не осилил. Явно задача решалась раз 500 на этом форуме. Не нашел.

[StasikOS]

Покажи вывод sysctl -a | grep forward и iptables -L ; iptables -t nat -L
Вторая сетевуха воткнута в инет, я правильно понял? Маскарадинг или NAT не настраивался?

[Mangust]

Покажи вывод sysctl -a | grep forward и iptables -L ; iptables -t nat -L
Вторая сетевуха воткнута в инет, я правильно понял? Маскарадинг или NAT не настраивался?

Да-да, всё так и есть. Одна в инете - ничего не настраивал.

Код: Выделить всё

$ sysctl -a | grep forward
error: permission denied on key 'kernel.cap-bound'
error: permission denied on key 'kernel.cad_pid'
error: permission denied on key 'net.ipv4.route.flush'
error: permission denied on key 'net.ipv6.route.flush'
error: permission denied on key 'fs.binfmt_misc.register'
error: permission denied on key 'dev.parport.parport0.autoprobe'
error: permission denied on key 'dev.parport.parport0.autoprobe0'
error: permission denied on key 'dev.parport.parport0.autoprobe1'
error: permission denied on key 'dev.parport.parport0.autoprobe2'
error: permission denied on key 'dev.parport.parport0.autoprobe3'
net.ipv4.ip_forward = 1
net.ipv4.conf.all.forwarding = 1
net.ipv4.conf.all.mc_forwarding = 0
net.ipv4.conf.default.forwarding = 1
net.ipv4.conf.default.mc_forwarding = 0
net.ipv4.conf.lo.forwarding = 1
net.ipv4.conf.lo.mc_forwarding = 0
net.ipv4.conf.eth0.forwarding = 1
net.ipv4.conf.eth0.mc_forwarding = 0
net.ipv4.conf.eth1.forwarding = 1
net.ipv4.conf.eth1.mc_forwarding = 0
net.ipv6.conf.lo.forwarding = 0
net.ipv6.conf.eth1.forwarding = 0
net.ipv6.conf.eth0.forwarding = 0
net.ipv6.conf.all.forwarding = 0
net.ipv6.conf.default.forwarding = 0

Код: Выделить всё

 sudo iptables -L
WARNING: /etc/modprobe.d/aver line 9: ignoring bad line starting with 'sudo'
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Код: Выделить всё

$ sudo iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

[Mangust]

Всё, спасибо.

1) sudo iptables -t nat -A POSTROUTING -d ! 192.168.10.1/2 -o eth0 -j MASQUERADE
2) на втором компе указал dns как на "инетном"
3) шлюзом назвал "инетный комп".

только после перезагрузки ничего не работает по не наберешь
sudo iptables -t nat -A POSTROUTING -d ! 192.168.10.1/2 -o eth0 -j MASQUERADE

куда бы его прописать?

[esvaf]

Всё, спасибо.

1) sudo iptables -t nat -A POSTROUTING -d ! 192.168.10.1/2 -o eth0 -j MASQUERADE
2) на втором компе указал dns как на "инетном"
3) шлюзом назвал "инетный комп".

только после перезагрузки ничего не работает по не наберешь
sudo iptables -t nat -A POSTROUTING -d ! 192.168.10.1/2 -o eth0 -j MASQUERADE

куда бы его прописать?

Не знаю где это у убунты, но на редхат-подобных это
/etc/sysconfig/iptables

[StasikOS]

Политика debian-based дистров предписывает делать это в /etc/network/interfaces директивой post-up или up. См. interfaces(5)

[Mangust]

Политика debian-based дистров предписывает делать это в /etc/network/interfaces директивой post-up или up. См. interfaces(5)

извини, а куда вставлять post-up command?

Вот эта конструкция просто "убивает" вообще всю сеть:

Код: Выделить всё

auto lo
iface lo inet loopback


iface eth0 inet static
address 87.240.29.39
netmask 255.255.255.224
gateway 87.240.29.33





auto eth0



iface eth1 inet static
address 192.168.10.1
netmask 255.255.255.0



auto eth1

post-up iptables -t nat -A POSTROUTING -d ! 192.168.10.1/2 -o eth0 -j MASQUERADE

[StasikOS]

В самом интерфейсе.

Код: Выделить всё

auto eth0

iface eth0 inet ...
   address ...
   netmask ...
   post-up /sbin/iptables -t nat -A POSTROUTING -o eth0 ...

....

Кстати, в случае статического IP рекомендуется использовать SNAT вместо MASQUERADE:

Код: Выделить всё

iptables -t nat -A POSTROUTING -o eth0 -s ! 192.168.10.0/24 -j SNAT --to-source 87.240.29.39

И указание источника как 192.168.10.1/2 не верно в том смысле, что /2 это префикс длиной 2. В итоге получается, что ты указываешь неверный номер сети. Лучше напиши маску сети в нормальном десятичном виде.

[-sanches-]

Что-то у меня с snat не получается
Комп1 с выходом в мир

Код:

allow-hotplug eth1 iface eth1 inet static address 92.248.37.233 netmask 255.255.255.128 network 92.248.37.128 broadcast 92.248.37.255 gateway 92.248.37.129 # dns-* options are implemented by the resolvconf package, if installed dns-nameservers 113.48.20.1 113.48.21.1 auto eth1 iface eth1:1 inet static address 192.168.0.233 netmask 255.255.255.0 network 192.168.0.0 broadcast 192.168.0.255 auto eth1:1 allow-hotplug eth2 iface eth2 inet static address 192.168.1.1 netmask 255.255.255.0 network 192.168.1.0 broadcast 192.168.1.255 auto eth2 _______ # cat ip_forward 1 ________ # route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 92.248.37.128 0.0.0.0 255.255.255.128 U 0 0 0 eth1 192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth2 192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1 0.0.0.0 92.248.37.129 0.0.0.0 UG 0 0 0 eth1 _________ # sysctl -a | grep forward net.ipv4.ip_forward = 1 error: permission denied on key 'net.ipv4.route.flush' net.ipv4.conf.lo.forwarding = 1 net.ipv4.conf.lo.mc_forwarding = 0 net.ipv4.conf.all.forwarding = 1 net.ipv4.conf.all.mc_forwarding = 0 net.ipv4.conf.default.forwarding = 1 net.ipv4.conf.default.mc_forwarding = 0 net.ipv4.conf.eth1.forwarding = 1 net.ipv4.conf.eth1.mc_forwarding = 0 net.ipv4.conf.eth2.forwarding = 1 net.ipv4.conf.eth2.mc_forwarding = 0 error: permission denied on key 'net.ipv6.route.flush' net.ipv6.conf.lo.forwarding = 0 net.ipv6.conf.eth1.forwarding = 0 net.ipv6.conf.eth2.forwarding = 0 net.ipv6.conf.all.forwarding = 0 net.ipv6.conf.default.forwarding = 0 error: "Invalid argument" reading key "fs.binfmt_misc.register" _________ #iptables -t nat -A POSTROUTING -o eth1 -s ! 192.168.1.0/24 -j SNAT --to-source 92.248.37.233 _________ # iptables -L ; iptables -t nat -L Chain INPUT (policy ACCEPT) target prot opt source destination fail2ban-ssh tcp -- anywhere anywhere multiport dports ssh Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination Chain fail2ban-ssh (1 references) target prot opt source destination RETURN all -- anywhere anywhere Chain PREROUTING (policy ACCEPT) target prot opt source destination Chain POSTROUTING (policy ACCEPT) target prot opt source destination SNAT all -- !192.168.1.0/24 anywhere to:92.248.37.233 Chain OUTPUT (policy ACCEPT) target prot opt source destination

комп2 - в локалке

Код: Выделить всё

iface eth1 inet static
        address 192.168.1.2
        netmask 255.255.255.0
        network 192.168.1.0
        gateway 192.168.1.1
auto eth2

С компа 2 пингуется комп 1: 192.168.1.1 и 92.248.37.233. А пинг до 92.248.37.129 (шлюз провайдера) уже не идет.
Ядро 2.6.24-1-686. Перепробовал кучу вариантов настроек интерфейсов, мозг взорван , идеи закончились. Подскажите, какие видны ошибки?

[StasikOS]

iptables -t nat -A POSTROUTING -o eth1 -s ! 192.168.1.0/24 -j SNAT --to-source 92.248.37.233

Восклицательный знак лишний. Выходит "все что выходит не из сети 192.168.1.0 - снатим". Вот оно и не пигнуется. Точнее, пинг есть, ответов нет.

[-sanches-]

Ага, работает.

[Doka]

добрый день!
аналогичная проблема, мучаюсь уже который день не могу побороть

был роутер на основе компа на RHEL4, сейчас переехал на новое железо и новую ось - CentOS 5.1
доустановил все нужные пакеты и перенес настройки, но ...
наружу смотрит eth0 на локалку - шлюз 10/253/0/1 (инет через pptp - по ррр0)
внутрь - eth1 192/168/2/1
ipv4.ip_forward выставил = 1 прописано.

проблема: не доступен интеренет на девайсах подключаемых к eth1:

Код: Выделить всё

 C:\Documents and Settings\doka>tracert 72.14.221.104
Трассировка маршрута к 72.14.221.104 с максимальным числом прыжков 30
  1    <1 мс    <1 мс    <1 мс  192.168.2.1
  2  192.168.2.1  сообщает: Заданный узел недоступен.

Код: Выделить всё

sysctl -a | grep forward
net.ipv4.conf.ppp0.forwarding = 1
net.ipv4.conf.eth1.forwarding = 1
net.ipv4.conf.eth0.forwarding = 1
net.ipv4.conf.lo.forwarding = 1
net.ipv4.conf.default.forwarding = 1
net.ipv4.conf.all.forwarding = 1
net.ipv4.ip_forward = 1

Код: Выделить всё

route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
vpn34-l0.msk.co 10.253.0.1      255.255.255.255 UGH   0      0        0 eth0
mara.corbina.ne 10.253.0.1      255.255.255.255 UGH   0      0        0 eth0
192.168.2.0     *               255.255.255.0   U     0      0        0 eth1
10.253.0.0      *               255.255.248.0   U     0      0        0 eth0
169.254.0.0     *               255.255.0.0     U     0      0        0 eth1
10.0.0.0        10.253.0.1      255.0.0.0       UG    0      0        0 eth0
default         *               0.0.0.0         U     0      0        0 ppp0

Код: Выделить всё

ip r
85.21.88.130 via 10.253.0.1 dev eth0
195.14.50.16 via 10.253.0.1 dev eth0
192.168.2.0/24 dev eth1  proto kernel  scope link  src 192.168.2.1
10.253.0.0/21 dev eth0  proto kernel  scope link  src 10.253.6.205
169.254.0.0/16 dev eth1  scope link
10.0.0.0/8 via 10.253.0.1 dev eth0
default dev ppp0  scope link

рецепты с маскардингом, которые тут перечислены - пробовал: не помогло((((

сама ситуация очень странная: перенесены все конфиги - имена интерфейсов оставлены такими же/ сравнивал даже вывод route и ip r -они идентичны, однако интернета тем не менее - нету.
(нету только интернета - самба и ssh отлично пашут через eth1)




ума не приложу чем еще могут отличаться две системы?

[StasikOS]

iptables-save сюда покажи
RHEL с федоркой славятся своими дефолтными настройками файрвола.

[Doka]

Код: Выделить всё

]# iptables-save
# Generated by iptables-save v1.3.5 on Sat Apr 12 19:19:34 2008
*nat
:PREROUTING ACCEPT [7210:753369]
:POSTROUTING ACCEPT [1:78]
:OUTPUT ACCEPT [185:13081]
COMMIT
# Completed on Sat Apr 12 19:19:34 2008
# Generated by iptables-save v1.3.5 on Sat Apr 12 19:19:34 2008
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [203445:166380383]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -i eth1 -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p esp -j ACCEPT
-A RH-Firewall-1-INPUT -p ah -j ACCEPT
-A RH-Firewall-1-INPUT -d 224.0.0.251 -p udp -m udp --dport 5353 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 6881:6889 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Sat Apr 12 19:19:34 2008

[StasikOS]

-A FORWARD -j REJECT --reject-with icmp-host-prohibited
Я не думаю, что с таким правилом в FORWARD хост будет что-то роутить )

[Doka]

-A FORWARD -j REJECT --reject-with icmp-host-prohibited
Я не думаю, что с таким правилом в FORWARD хост будет что-то роутить )

да. спасибо, это заработало (кстати, что это за правило и для чего это запрещение?)

[StasikOS]

эм, а доку к iptables почитать уже не судьба?

[Doka]

рано радовался..

поломал я iptables (((((
симптом тот же. на eth1 интернета нет., хотя сам сервер доступ в интернет имеет.

а всё началось с того, что начал "лишние" порты закрывать.. типа этих:

Код: Выделить всё

cat /etc/sysconfig/iptables

....
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
#
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 25 -j ACCEPT
...

потом вернул всё вобрат (раскомментировал), но ничего не заработало ни при рестарте сервиса, ни при перезагрузке((((((
почему - не понятно совсем((((



to StasikOS
непонятно как влиял
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
- ведь я вроде как объявляю интерфейс eth1 как не требующий файрволла:

Код: Выделить всё

-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -i eth1 -j ACCEPT

[Olden Gremlin]

непонятно как влиял
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
- ведь я вроде как объявляю интерфейс eth1 как не требующий файрволла:

Код: Выделить всё

-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -i eth1 -j ACCEPT

хм... понимание, наверняка, прийдет после того, как Вы внимательно прочтете документацию и постараетесь ответить на вопрос:
"какие пакеты проходят через цепочку INPUT, а какие через цепочку FORWARD?"
сразу-же скажу, что вышеприведенный FORWARD откидывал все транзитные пакеты проходящие через Ваш хост. дальше него цепочка FORWARD вряд-ли отрабатывала...

[StasikOS]

Это знание вовсе не является чем-то сакральным и лежит у нас перед носом. Оно четко прописано в man iptables, в месте, где описано назначение каждой таблицы и каждой чепочки в ней. Достаточно дважды нажать PgDn, чтобы увидеть это.

[vonabarak]

Аналогичная трабла:
ppp0 подключен к инету и имеет реальный ip-адрес.
eth0 подключен к модему ( и соответственно смотрит в инет через pppoe).
eth1 подключен к домашней сети.
как раздавать инет на другие компы? Вот сначала казалось тривиальная задача
а, блин, не получается решить и фсе!
В первую очередь немогу решить каой писать интерфейс вот тут:
-A POSTROUTING -s 192.168.0.56 -o ppp0 -j MASQUERADE
или:
-A POSTROUTING -s 192.168.0.56 -o eth0 -j MASQUERADE
и на втором компе какой адрес шлюза писать?
ЗЫ: не ругайте меня шибко я и так скоро man iptables наизусть расскажу.

[Olden Gremlin]

В первую очередь немогу решить каой писать интерфейс вот тут:
-A POSTROUTING -s 192.168.0.56 -o ppp0 -j MASQUERADE
или:
-A POSTROUTING -s 192.168.0.56 -o eth0 -j MASQUERADE
и на втором компе какой адрес шлюза писать?
ЗЫ: не ругайте меня шибко я и так скоро man iptables наизусть расскажу.

insmod telepat
insmod extrasens
готов к общенью... начнем...
для правильного ответа на поставленные Вами вопросы: "каой писать интерфейс вот тут?" и "на втором компе какой адрес шлюза писать?",- попрошу предоставить в студию вывод команд:

Код: Выделить всё

$ ip a
$ ip r
# sysctl net.ipv4.ip_forward

[StasikOS]

для ответа на поставленный вопрос нужно решить две задачи:
1. ppp0 однозначно. )
2. Вспомнить, что такое шлюз по-умолчанию