On 10/27/14 23:51, Adam Osuchowski wrote:
Chyba nie bardzo rozumiem jak to masz zrobione. Wszystko przychodzące na
dport 997 markujesz, a potem routujesz na podstawie tabeli tunel, tak?
No to jeżeli w niej masz default na host A to co się dziwisz, że tamtędy
to idzie?
Opis może rzeczywiście nie najlepszy więc może od początku. Tym razem
żeby się nie mieszało zacznę od rozwiązania które _nie_ działam (i
chciał bym je poprawić).
Przypominam 2 host (A i B) adresy zewnętrzne ExtA, ExtB oraz tunel
szyfrowany pomiędzy nimi o adresach IntA, IntB. Celem jest
przekierowanie ruchu wchodzącego na host A, ExtA:997 na host B, IntB:997
tudzież tego co wychodzi z IntB:997 tak, żeby przeszło przez host A i
zostało "zamaskowane" jako ExtA:997. Na hoście A skonfigurowany NAT
(poprawnie czego dowodzi działający przykład). Na hoście B zrobiłem tak:
iptables -A PREROUTING -t mangle -p tcp --dport 997 -j MARK --set-mark 1
i analogicznie dla OUTPUT, POSTROUTING, INPUT
ip route add default via $IntA table tunel
ip rule add fwmark 1 table tunel
To _nie_ działa (bladego pojęcia nie mam dla czego). Tzn pakiety
wchodzące z zewnątrz na ExtA:997 zostają przekierowane na IntB ("widać"
je na drugim końcu tunelu) ale powrotne już nie. Wygląda to tak jak by
na hoście B i tak wszystko było routowane zgodnie z tabelą main. W
związku z tym w akcie desperacji na hoście B _zamiast_ tego co wyżej
zrobiłem tak:
ip route add default via $IntA table tunel
ip rule add from $IntB table tunel
i teraz działa - aż za dobrze. To co wchodzi z zewnątrz na ExtA:997
rzeczywiście przekierowane jest na IntB:997 (włącznie z pakietami
powrotnymi). Tyle, że ruch generowany przez IntB z portów różnych od 997
też idzie najpierw przez tunel a potem jest maskowany przez ExtA i
wychodzi na zewnątrz (co jest oczywiście bez sensu).
Generalnie "działające" rozwiązanie to jedynie jedynie obejście problemu
a nie prawdziwe rozwiązanie i przytoczyłem je żeby było wiadomo, że na
hoście A jest ok. Moim celem jest poprawienie niedziałającego rozwiązania.
--
Pozdrawiam
Grzesiek
Wysłane z kompa wolnego od wirusów Billa Gatesa.
_______________________________________________
pld-users-pl mailing list
[email protected]
http://lists.pld-linux.org/mailman/listinfo/pld-users-pl
