Newsgroup: it.comp.os.linux.sys
Titolo: forward e routing

Sono da poco passato sul kernel 2.6 e ora sono obbligato a usare
iptables... ehehe ho rimandato finché potuto.
Dopo aver letto kg di how-to, c'è una cosa che ancora non mi torna,
ovvero il routing con mascheramento.
La manualistica riporta le scontate:
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -j MASQUERADE -o ppp0
iptables -A FORWARD -j ACCEPT -i eth1 -o ppp0 -s $LAN
iptables -A FORWARD -j ACCEPT -i ppp0 -o eth1 -d $LAN
dove ppp0 è l'ovvia interfaccia di rete pubblica (ADSL con pppoe) mentre
eth1 è la scheda di rete su cui si trova la LAN (con subnet $LAN =
192.168.10.0/24
 con indirizzo locale di eth1 = 192.168.10.1).
Sulla carta, questo dovrebbe consentire il routing per cui un client
192.168.10.2 dovrebbe poter indicare il .1 come gateway e navigare.
Questo non avviene... curiosamente se provo ad accedere ad un ftp, viene
risolto il dominio in IP numerico interrogando un dns ESTERNO (quello
del provider) segno che il routing funziona. Però quando poi si tratta
di scaricare dati, resta tutto bloccato e non va niente.
Ora mi domando cosa manchi dato che su tutti gli how-to che ho trovato,
la cosa si esauriva qui! Qualcuno cui funziona mi dice cosa mi sfugge?
grazie.
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 di scaricare dati, resta tutto bloccato e non va niente.
Provato attivo/passivo?
Probabilmente devi caricare il modulo ip_conntrack_ftp
Bye.

 Ora mi domando cosa manchi dato che su tutti gli how-to che ho trovato,
Leggi meglio. Per l'FTP c'e' altra roba.
Davide
-- 
PC's are designed by a committee of people who are in different companies
in different countries and who never talk to each other.
And nobody speaks the same language and they hate each other...
-- Derick Siddoway & Chris Adams

 Probabilmente devi caricare il modulo ip_conntrack_ftp
Dunque... questo mi ha portato ad analisi supplementari.
In effetti ip_conntrack_ftp non era caricato; ho fatto ricerce
supplementari e pare ci voglia anche il modulo ip_nat_ftp.
Però molti riportavano che solo questo fosse risolutivo, nle mio caso
non ha cambiato una fava :-(


 non ha cambiato una fava :-(
Niente, non ci sono cazzi :-(
il forward ftp NON VA.
Ho impostato i moduli ip_conntrack, ip_conntrack_ftp e ip_nat_ftp.
Ho impostato regole di forward e postrouting...
Non ci sono santi: se dalla macchina in LAN provo a fare apt-get (sto
installando una Sarge ehehe) fallisce.
Però siccome mi sono rotto i coglioni, adesso qui sul gateway mi sono
riconfigurato lo squid e faccio tutto attraverso proxy...


 installando una Sarge ehehe) fallisce.
Secondo me hai qualche "tappo" che non sai di avere: prova a
postare l'output di iptables-save.
bye G.L.
-- 
« E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

 postare l'output di iptables-save.
Eccolo. In realtà, ti dirò, il forward *non* va neanche per l'http,
perchè ho provato a collegare un client con un browser e a navigare
dalla LAN, e non funziona.
È tutto molto strano, perché i nomi a dominio li risolve, segno che UDP
funziona correttamente (interroga il nameserver), mentre tcp funziona
"in parte": con tcpdump ho visto che il login sulla porta 21 dell'ftp va
a buon fine, ma poi non riesce a fare altro.
L'http, invece, non va neanche lui...
Per adesso ho tagliato la testa al toro e vado di proxy...
---8<---
# Generated by iptables-save v1.2.11 on Sat Dec 18 23:02:30 2004
*mangle
:PREROUTING ACCEPT [553902:483680272]
:INPUT ACCEPT [551407:483434462]
:FORWARD ACCEPT [2425:243010]
:OUTPUT ACCEPT [594758:482200706]
:POSTROUTING ACCEPT [597102:482437446]
COMMIT
# Completed on Sat Dec 18 23:02:30 2004
# Generated by iptables-save v1.2.11 on Sat Dec 18 23:02:30 2004
*nat
:PREROUTING ACCEPT [54703:2770690]
:POSTROUTING ACCEPT [20:1344]
:OUTPUT ACCEPT [8619:517975]
-A POSTROUTING -o ppp0 -j MASQUERADE 
COMMIT
# Completed on Sat Dec 18 23:02:30 2004
# Generated by iptables-save v1.2.11 on Sat Dec 18 23:02:30 2004
*filter
:INPUT ACCEPT [325537:450270640]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [550567:468507650]
-A INPUT -s 127.0.0.1 -j ACCEPT 
-A INPUT -s 
192.168.10.0/255.255.255.0
 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 9 -j DROP 
-A INPUT -p tcp -m tcp --dport 13 -j DROP 
-A INPUT -p tcp -m tcp --dport 37 -j DROP 
-A INPUT -p tcp -m tcp --dport 111 -j DROP 
-A INPUT -p tcp -m tcp --dport 113 -j DROP 
-A INPUT -p tcp -m tcp --dport 786 -j DROP 
-A INPUT -p tcp -m tcp --dport 6000:6007 -j DROP 
-A INPUT -p tcp -m tcp --dport 60080 -j DROP 
-A FORWARD -s 
192.168.10.0/255.255.255.0
 -i eth1 -o ppp0 -m state --state NEW,ES           TABLISHED -j ACCEPT 
-A FORWARD -d 
192.168.10.0/255.255.255.0
 -i ppp0 -o eth1 -m state --state RELATE           D,ESTABLISHED -j ACCEPT 
COMMIT
# Completed on Sat Dec 18 23:02:30 2004


 L'http, invece, non va neanche lui...
Mmmhhh... adsl con modem ethernet?
Molto probabilmente e' un problema di mss.
http://www.google.it/groups?hl=it&lr=&threadm=2u4oqgF25u8ilU1%40uni-berlin.de&rnum=2&prev=/groups%3Fq%3Dmss%2Bgroup:it.comp.*%2Bauthor:renaissance%26hl%3Dit%26lr%3D%26scoring%3Dd%26selm%3D2u4oqgF25u8ilU1%2540uni-berlin.de%26rnum%3D2


 Molto probabilmente e' un problema di mss.
ZEUS! Funziona! GRAZIE!
Nella dsl-config c'era il parametro per la regolazione dell'mss, con i
due valori da tentare, 1452 e 1412 in extremis. Già con 1452 funziona
tutto!!!!
Mai e poi mai avrei pensato di andare a ravanare là dentro per risolvere
un problema di forward/masquerading!!!!
Grazie!


 un problema di forward/masquerading!!!!
Lo era apparentemente.   :-)


 non ha cambiato una fava :-(
Niente, non ci sono cazzi :-(
il forward ftp NON VA.
Ho impostato i moduli ip_conntrack, ip_conntrack_ftp e ip_nat_ftp.
Ho impostato regole di forward e postrouting...
Non ci sono santi: se dalla macchina in LAN provo a fare apt-get (sto
installando una Sarge ehehe) fallisce.
Però siccome mi sono rotto i coglioni, adesso qui sul gateway mi sono
riconfigurato lo squid e faccio tutto attraverso proxy...
-- 
