☰

Настройка шлюза между двумя подсетями в одной физической сети

tag-icon • tag-icon iptables routing dhcp
Настройка шлюза между двумя подсетями в одной физической сети

Мне нужно настроить сеть с поддержкой DHCP (192.168.2.) на физическом уровне, где находится уже существующая сеть (192.168.1.) со статическими IP-адресами. У меня есть сервер Debian 7 с двумя интерфейсами (сервер и интерфейсы все виртуальные), и я хочу настроить ip в качестве шлюза для своей сети. Я использовал eth0 для маршрутизации пакетов в исходную сеть (для доступа к интернет-шлюзу по адресу 192.168.1.5) и eth1 для обработки трафика из/в мою сеть.

ifconfig

eth0      Link encap:Ethernet  HWaddr 00:0c:29:d4:02:1b  
          inet addr:192.168.1.110  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::20c:29ff:fed4:21b/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:21668983 errors:0 dropped:0 overruns:0 frame:0
          TX packets:10044848 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:10931368249 (10.1 GiB)  TX bytes:2383839079 (2.2 GiB)

eth1      Link encap:Ethernet  HWaddr 00:0c:29:d4:02:25  
          inet addr:192.168.2.1  Bcast:192.168.2.255  Mask:255.255.255.0
          inet6 addr: fe80::20c:29ff:fed4:225/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:14113604 errors:0 dropped:0 overruns:0 frame:0
          TX packets:11269734 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:1871598524 (1.7 GiB)  TX bytes:10331981618 (9.6 GiB)

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:8158 errors:0 dropped:0 overruns:0 frame:0
          TX packets:8158 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:629690 (614.9 KiB)  TX bytes:629690 (614.9 KiB)

маршрут

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         192.168.1.5     0.0.0.0         UG    0      0        0 eth0
localnet        *               255.255.255.0   U     0      0        0 eth0
192.168.2.0     *               255.255.255.0   U     0      0        0 eth1

iptables-vL

Chain INPUT (policy ACCEPT 5603K packets, 822M bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy DROP 138K packets, 8597K bytes)
 pkts bytes target     prot opt in     out     source               destination         
  14M 9542M ACCEPT     all  --  any    any     anywhere             anywhere             state RELATED,ESTABLISHED
 398K   27M ACCEPT     all  --  eth1   any     anywhere             anywhere            

Chain OUTPUT (policy ACCEPT 2915K packets, 1432M bytes)
 pkts bytes target     prot opt in     out     source               destination

iptables -tnat -vL

Chain PREROUTING (policy ACCEPT 607K packets, 49M bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 112K packets, 17M bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 6893 packets, 977K bytes)
 pkts bytes target     prot opt in     out     source               destination        

Chain POSTROUTING (policy ACCEPT 2391 packets, 374K bytes)
 pkts bytes target     prot opt in     out     source               destination         
 363K   24M MASQUERADE  all  --  any    eth0    anywhere             anywhere

После этого я включил авторитативный DHCP-сервер на eth1.

Теперь проблема: соединения с сервером всегда работают (у меня там есть общий ресурс Samba и сервер MySQL), но иногда (кажется, случайно) клиенты (в основном Windows 7 или XP) не могут подключиться к интернету в течение разного периода времени. В этом состоянии я могу пинговать 192.168.1.110, но не 192.168.1.5.

Приложение

Тот факт, что цепочка FORWARD отбрасывает пакеты, кажется подозрительным, поэтому я временно отключил эту фильтрацию с помощью:

iptables -A FORWARD -j ACCEPT

С этим новым правилом все работает. Мне все еще нужно прояснить, что происходит...

Приложение 2

Вот фактические правила iptables:

iptables-сохранить

# Generated by iptables-save v1.4.14 on Fri Jun 27 20:53:32 2014
*mangle
:PREROUTING ACCEPT [28129147:14012989399]
:INPUT ACCEPT [8479051:1218948772]
:FORWARD ACCEPT [19639349:12792010625]
:OUTPUT ACCEPT [4434912:3183821941]
:POSTROUTING ACCEPT [23940877:15968783924]
COMMIT
# Completed on Fri Jun 27 20:53:32 2014
# Generated by iptables-save v1.4.14 on Fri Jun 27 20:53:32 2014
*nat
:PREROUTING ACCEPT [931027:74896097]
:INPUT ACCEPT [153578:23398245]
:OUTPUT ACCEPT [9169:1292388]
:POSTROUTING ACCEPT [3186:492868]
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Fri Jun 27 20:53:32 2014
# Generated by iptables-save v1.4.14 on Fri Jun 27 20:53:32 2014
*filter
:INPUT ACCEPT [2415796:331288771]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [1218435:1654003511]
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth1 -j ACCEPT
-A FORWARD -j ACCEPT
COMMIT
# Completed on Fri Jun 27 20:53:32 2014

решение1

Чтобы помочь вам диагностировать, где пакеты проходят через цепочки iptables, вы можете использовать параметр -j LOG и, в конечном итоге, --log-prefix "некоторый текст для легкой идентификации журнала в kern.log или syslog". Вы можете разрешить политику Accept по умолчанию и добавить правило deny all в конце цепочки FORWARD с включенным ведением журнала, чтобы вы могли лучше понять, какие пакеты отбрасываются.

Вы можете взглянуть на эту схемуhttp://www.linuxnetmag.com/share/issue9/iptables3.jpg, которые показывают основной поток пакетов внутри цепочек iptables.

Было бы интересно получить полные правила iptable, которые вы определили, чтобы дать более точный ответ.

Связанный контент