Newsgroup: it.comp.os.linux.sys
Titolo: Problemi di NAT

Ciao a tutti!
Ho un curioso problema: se da una macchina in rete provo ad accedere,
tramite NAT, ad un certo sito in HTTPS (il sito della mia banca per
l'HomeBanking) la visualizzazione delle pagine e' di una lentezza assurda.
Se invece provo a richiamare quelle pagine da una macchina che usa un
Modem DSL funziona tutto a velocita' normali.
Nella rete NON c'e' nessun proxy, solo NAT. Lo stesso problema l'ho notato
anche in ufficio, nelle stesse condizioni.
La configurazione del Gateway non e' stata cambiata negli ultimi mesi e
fino alla settimana scorsa tutto funzionava alla perfezione.
Queste sono le regole di iptables:
/sbin/iptables -t nat -A POSTROUTING -d ! 
192.168.10.0/24
 -j MASQUERADE
/sbin/iptables -A FORWARD -s 
192.168.10.0/24
 -j ACCEPT
/sbin/iptables -A FORWARD -d 
192.168.10.0/24
 -j ACCEPT
Da quello che ho notato con ngrep, se io richiamo quelle pagine dalla
macchina con il modem (che e' anche quella che fa da NAT), i pacchetti
sono molto piu' grossi.
Se lo faccio da una macchina all'interno della rete, i pacchetti sono di
pochi bytes l'uno.
La cosa stranissima e' che se invece richiamo un altro sito in HTTPS tutto
funziona alla perfezione.
Qualcuno ha un'idea di cosa possa essere successo?
Grazie
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 /sbin/iptables -A FORWARD -d 
192.168.10.0/24
 -j ACCEPT
E' presente un firewall vero?
Perchè così facendo autorizzi cani e porci a raggiungere la tua
macchina in locale dato
che apri il forward in ingresso ed uscita da qualunque interfaccia.

 che apri il forward in ingresso ed uscita da qualunque interfaccia.
Scusa? Mi sembra di dire, molto chiaramente, che i pacchetti DA e PER
192.168.10.0/24
 sono ammessi.
Dall'esterno come fai ad avere quell'indirizzo e a raggiungermi
internamente?
Ciao


 internamente?
Questo significa solo una cosa: devo andare a casa perchè oggi son
fuso.
Ciao... :)

 Ciao... :)
Ammetto che ne capisco poco di routing, ma non basterebbe:
route add 
192.168.10.0/24
 gw tuo.indir.izzo.ip
?
(ammesso che non abbia quella rete localmente)
Enrico

 pochi bytes l'uno.
Come sono settate le MTU sulle varie macchine e sul modem?

antani ha scritto:



Sul Modem (ppp0) e' 1492, sulla eth0 della macchina con il modem e' 1500 e
sulla eth0 dell'altra macchina anche.
Ripeto, pero', che con ALTRI siti, tutto funziona alla perfezione.
Se fossi un po' bastardo (lo sono!) direi che quelli della banca hanno
fatto qualcosa per complicare la vita a tutti coloro che usano il NAT.
Pero' devo ancora capire CHE COSA e come porvi rimedio...
Ciao


 Pero' devo ancora capire CHE COSA e come porvi rimedio...
Prova a mettere l'MTU delle eth0 a 1492 o minore, e vedere che succede.
Magari non e' quello il problema, ma provare non costa nulla...

 sono molto piu' grossi.
Prova a fare un tcpdump completo e a seguire il flusso tcp, magari
con wireshark, per evidenziare condizioni patologiche.
Potrebbe essere un problema di MSS/MTU.

 internamente?
In generale, NAT is not a security feature, come direbbe Mayehm.
per chi volesse approfondire
http://www.areanetworking.it/index_docs.php?title=NAT_is_not_a_security_feature

 raggiungibile in broadcast.
Non è proprio così e non è per fare il figo. <g>
Ad esempio, in un collegamento punto-punto (tipo una connessione
via modem analogico, per capirsi) il default è "l'altro punto"
che può avere qualsiasi indirizzo rispetto al nostro "punto".

 rete ethernet.
Mi darai del rompicoglioni, ma non è necessariamente così.
Posso cercarmi il mio "altro punto", qualunque indirizzo ipv4 
abbia, anche su una rete ethernet (vedi ad esempio pppoe e vari metodi
di discovery).
Il che nulla c'entra con la possibilità di aggiungere una route
come quella ipotizzata da qualcuno prima, ovviamente.

 Magari non e' quello il problema, ma provare non costa nulla...
Provato! Direi che non e' quello il problema, visto che non e' cambiato
nulla...
Altre idee?
Ripeto: pare che il problema si verifichi SOLO con quel sito
(
https://banking.ostsaechsische-sparkasse-dresden.de/
), mentre con altri
tutto funziona alla perfezione.
Grazie


 [...]
No: solo il _default_ gw deve essere sulla stessa rete.

 No: solo il _default_ gw deve essere sulla stessa rete.
Il che, a voler trovare il pelo nell'uovo, non è manco detto ;-)


Perche`? Intendi che la condizione necessaria e sufficiente sia che
deve essere raggiungibile a layer2?

 deve essere raggiungibile a layer2?
Esatto.
ifconfig eth0 192.168.1.1 netmask 255.255.255.0
route add -net 192.168.0.0 netmask 255.255.255.0 dev eth0
route add default gw 192.168.0.254
(poi ovviamente c'è il punto di domanda se il gateway accetterà o no di 
esser contattato in 'sto modo. Certo è che i router Cisco lo fan di 
default, per dire...)

 default, per dire...)
Bisogna vedere che tipo di broadcast usa per l'arp

 Adesso puoi anche dirgli che cambiare le impostazioni dell'MTU non aiuta.
Gia'! Speravo che fosse un problema da me, ma pare che non sia cosi'...
Telefonero', sperando di riuscire a parlare con qualcuno che sappia cos'e'
un computer... :)
ciao


 cos'e' un computer...
Se ti va, mandami un dump di un tentativo di 
connessione: tcpdump con -w nomefile