質問: Chain INPUT (policy DROP 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 6 584 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 34 3200 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0 47004 1966K ACCEPT tcp -- * * 192.168.100.0/28 0.0.0.0/0 3285 249K ACCEPT udp -- * * 192.168.100.0/28 0.0.0.0/0 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 21808 240M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp spt:80 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:XXXX 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:53 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp spt:53 0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:53 0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp spt:53 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:20 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp spt:20 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:21 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp spt:21 49 3724 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:123 Chain FORWARD (policy DROP 0 packets, 0 bytes) pkts bytes target prot opt in out source destination Chain OUTPUT (policy ACCEPT 128K packets, 16M bytes) pkts bytes target prot opt in out source destination ※SSHの設定ポートのみXXXXで記載させて頂きました ### 気になる点 別セグメント時と同一セグメント時で、route -nで確認出来たeth0とeth1の静的経路のMetricが異なること ※別セグメント時は、Metric値が同じでした また、別セグメント時は静的経路設定の為にroute-eth0,1が存在しましたが、現在は存在しないのに静的経路が設定されてます NG時でもL2SW迄のpingは常に通っていたことからarpが怪しい可能性があること 検索で下記HPを見つけましたが、解決するには私では力不足なので助言お願い致します。 http://d.hatena.ne.jp/incarose86/20150314/1426340659
回答: /etc/nsswitch.conf は無関係でしたね。ping も NG ですし。 4 のように、2つのネットワークインターフェースを同じサブネットにつなぐのはよくないです。 ルーティングテーブルを見ると、以下のようになると思います。 * 192.168.100.0/28 宛のパケットは eth1 から出る。 * 192.168.100.0/28 宛以外のパケットは eth0 から 192.168.100.1 に出る。 * 戻りパケット、および、入りパケットは、スイッチや相手側ホストの ARP テーブルによる。 2 の構成で、ping および DNS名前解決できるようにするのが最初の目標になると思います。 ping すら NG ということは、おそらく、ARPテーブルの問題で、戻りパケットが eth0 に戻らないからだと推測します。 Router の ARPテーブルが疑われますが、だったら 3 は OK となりそうなもの。 もしかすると、iptables でブロードキャスト(192.168.100.15)を許可していないことが関係あるかもしれません。 iptables を停止して検証してみるとどうでしょうか。 なお、iptables を使う場合、戻りパケットを `--source-port` で許可するのではなく、`iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT` など、conntrack モジュールで許可した方がいいです。