Newsgroup: it.comp.os.linux.sys
Titolo: AIUTO: Problema con rete Linux

Salve,
ho un piccolo problema che non riesco a risolvere.
Mi trovo in una rete aziendale formata da un router (cisco) su
interbusiness e da un firewall con indirizzo (ipotetico) 1.2.3.4 a cui
è collegato direttamente.
In questo modo tutto il traffico che passa sul router per e dalla rete
locale viene controllato e filtrato dal firewall.
All'interno della DMZ ci sono alcuni server (web-mail) ed un gateway
che mi permette di gestire alcuni client aziendali che fanno parte
della rete con netmask 192.168.1.0.
Schematizzato:
Internet
   |
 Router
   | 
Firewall 
   | 
Gateway ------- Servers (1.2.3.x)
   | 
 LAN 192.168.1.x
Tutto quanto funziona benissimo senza nessun problema.
Adesso, ho deciso di installare una macchina Linux (Debian) per delle
prove con indirizzo 1.2.3.5 in cui sono presenti due interfacce di
rete:
- eth0, con indirizzo 1.2.3.5 connessa verso internet (verso il
firewall visto che per andare su internet sono costretto a passare per
il firewall)
- eth1, con indirizzo 192.168.0.254 che dovrebbe essere collegata ad
una rete interna con netmask 192.168.0.0 diversa da quella già
esistente.
Effettuando il comando route -n ottengo la seguente configurazione:
Kernel IP routing table
Destination     Gateway         Genmask         Flags Ref    Use Iface
127.0.0.1       0.0.0.0         255.255.255.255 UH    0        0 lo
1.2.3.5         0.0.0.0         255.255.255.0   U     0        0 eth0
192.168.0.0     192.168.0.254   255.255.255.0   UG    0        0 eth1
192.168.0.0     0.0.0.0         255.255.255.0   U     0        0 eth1
0.0.0.0         1.2.3.4         0.0.0.0         UG    0        0 eth0
dove per default gateway è stato configurato il firewall che mi
permette di uscire da internet.
Premetto che sul firewall ho definito delle regole (ipchains) che mi
permettono di far passare tutti i pacchetti diretti alla macchina
server 1.2.3.5.
Il problema sta nel fatto che se provo a connettere qualche macchina
con indirizzo 192.168.0.x questa non riesce ad uscire verso internet
(riesco a connettermi però al server di prova), mentre ho notato che
dal server di prova 1.2.3.5 riesco a uscire e quindi a navigare
tranquillamente.
Il problema sicuramente è sull'istradamento dei pacchetti tra le due
interfacce di rete...dov'e' che ho sbagliato nella tabella di
routing??
Grazie per l'aiuto
tek.
PS: gli altri server che già sono presenti e funzionanti nella tabella
di route hanno come default gateway il firewall...

 tranquillamente.
Ip forwarding e masquerading sono configurati correttamente ?
Davide

Ip
forwarding e masquerading sono configurati correttamente ?
si ...
praticamente le tabelle INPUT, OUTPUT, FORWARD accettano tutto senza
nessuna regola ... nella tabella nat ho fatto un masquerade degli indirizzi
interni...con il comando:
iptables -A POSTROUTING -t nat -o 1.2.3.5 -j
MASQUERADE -s 
192.168.0.0/24
il kernel (ricompilato) ha tutte le opzioni
necessarie e corrette ... inoltre ho abilitato l'ip-forwarding ...
non
so proprio da che cosa può dipendere ...
t.
--------------------------------
Inviato via 
http://usenet.iol.it
 

da un client winzoz...inoltre...il ping verso l'indirizzo 192.168.0.254
(eth1) funziona...il ping all'indirizzo 1.2.3.5 (eth0) funziona...ma non
funzionano i ping verso host esterni alla rete e neanche verso gli altri
server presenti in rete.


 ha scritto nel messaggio
news:212Z131Z174Z62Y...@usenet.iol.it...
| da un client winzoz...inoltre...il ping verso l'indirizzo 192.168.0.254
| (eth1) funziona...il ping all'indirizzo 1.2.3.5 (eth0) funziona...ma non
| funzionano i ping verso host esterni alla rete e neanche verso gli altri
| server presenti in rete.
non ricordo se e' il percorso corretto...
e' attivo:
echo "1" > /proc/syconfig/net/ipv4/ip_forward ?
--
[ Penguin At Work ]
-> 
http://web.tiscali.it/penguinatwork/
-> aka Fustino Di Dixan while working

echo
"1" > /proc/syconfig/net/ipv4/ip_forward ?
il percorso corretto è
/proc/sys/net/ipv4/ip_forward ... cmq ... si è settato a 1...è anche per
questo che non riesco a capire perché non debba funzionare !!! :(


effettuando un traceroute dal client winzoz che non si collega all'esterno
ottengo il seguente risultato:
  1   <10 ms   <10 ms   <10 ms  PROVA
[192.168.0.254]
  2     *        *        *     Richiesta scaduta.
  3
*        *        *     Richiesta scaduta.
ovvero ... riesce ad arrivare
all'interfaccia eth1 verso la LAN interna ma poi lě si perde ... com'č
possibile visto che -secondo me- tutte le configurazioni del server sono
giuste ???
Please help me.


  1.2.3.5         0.0.0.0         255.255.255.0   U     0        0 eth0
   ^^^^^^^
In questa riga il Destination dovrebbe essere 1.2.3.0, e` un errore di
trascrizione?
-- 
 ____(_)__ ____   ___ _(_)__  _______/ /__ ____  ___   
/ __/ / _ `/ _ \_/ _ `/ / _ \/ __/ _  / _ `/ _ \/ _ \_ 
\__/_/\_,_/\___( )_, /_/\___/_/  \_,_/\_,_/_//_/\___(_)
               |/___/       ( address rot13 encoded. )

 ha scritto nel messaggio
news:eb734bd8.02051...@posting.google.com...

se utilizzi il kernel 2.4 ti consiglio di consultare il documento HOWTO al
sito web
http://netfilter.kernelnotes.org/unreliable-guides/packet-filtering-HOWTO-7
.
html

trascrizione?
si ... è un errore di trascrizione ...
praticamente in quel punto c'è il network address (1.2.3.0) ... 


html
ciao...conosco il documento visto che non č
la prima volta che configuro dei firewall su kernel 2.4 con
netfilter/iptables ... il fatto č che questa volta -inspiegabilmente- non
funziona qualcosa che dovrebbe funzionare...ricapitolando io ho installato
la debian 2.2...compilato il kernel 2.4.18 (credo la versione 2.4 piů
stabile e sicura) abilitando tutte (praticamente) le opzioni di networking
del kernel...installato il kernel...messo ad ACCEPT le catene INPUT, OUTPUT
e FORWARD della tabella filter...effettuando il mascheramento degli
indirizzi IP interni aggiungendo una regola di MASQUERADING sulla catena
POSTROUTING della tabella NAT...ed impostando la tabella di routing che ho
descritto nei messaggi precedenti.
Logicamente...se io connetto la scheda
eth1 ad un hub dove sono connessi gli host della LAN interna questi
dovrebbero comunicare all'esterno (anche perchč dal LinuxBox configurato
riesco a navigare e a connettermi con l'esterno tranquillamente senza
problemi)...ma come per magia (e qui mi scapperebbe anche una bestemmia!!!)
tutto questo non funziona come dovrebbe...i clients riescono ad arrivare
all'interfaccia di rete eth1 ma non oltre questa provocando il
malfunzionamento indesiderato...adesso...io credo di aver fatto tutto
bene...o almeno dovrei aver fatto tutto bene...se qualcuno ha qualche
possibile soluzione da provare per capire da che cosa possa dipendere ...
beh...e' bene accetta...:)
t.
PS: sono sempre + convinto che il
problema riguardi il routing del pacchetto che arriva dall'interfaccia
verso la LAN interna...ma cos'č che non č giusto ???? la tabella di routing
dovrebbe essere corretta, no??? :(


inoltre...il file /etc/network/options è il seguente:
ip_forward=yes
spoofprotect=yes
syncookies=yes
l'ip forward viene abilitato ad ogni
avvio...nella directory /proc/sys/net/ipv4 credo che sia tutto ok...i files
ip_forward e rp_filters delle due interfacce sono abilitati (contengono 1).
t.


e per scrupolo...visto che oramai ho detto tutto quello che ho
fatto...anche di più...vi invio le opzioni del kernel riguardante le
interfacce di rete e netfilter:
#
# Networking options
#
CONFIG_PACKET=y
CONFIG_PACKET_MMAP=y
CONFIG_NETLINK_DEV=y
CONFIG_NETFILTER=y
CONFIG_NETFILTER_DEBUG=y
CONFIG_FILTER=y
CONFIG_UNIX=y
CONFIG_INET=y
CONFIG_IP_MULTICAST=y
CONFIG_IP_ADVANCED_ROUTER=y
CONFIG_IP_MULTIPLE_TABLES=y
CONFIG_IP_ROUTE_FWMARK=y
CONFIG_IP_ROUTE_NAT=y
CONFIG_IP_ROUTE_MULTIPATH=y
CONFIG_IP_ROUTE_TOS=y
CONFIG_IP_ROUTE_VERBOSE=y
CONFIG_IP_ROUTE_LARGE_TABLES=y
# CONFIG_IP_PNP
is not set
# CONFIG_NET_IPIP is not set
CONFIG_NET_IPGRE=y
CONFIG_NET_IPGRE_BROADCAST=y
CONFIG_IP_MROUTE=y
CONFIG_IP_PIMSM_V1=y
CONFIG_IP_PIMSM_V2=y
CONFIG_INET_ECN=y
CONFIG_SYN_COOKIES=y
#
#   IP:
Netfilter Configuration
#
CONFIG_IP_NF_CONNTRACK=y
CONFIG_IP_NF_FTP=y
CONFIG_IP_NF_IRC=y
CONFIG_IP_NF_IPTABLES=y
CONFIG_IP_NF_MATCH_LIMIT=y
CONFIG_IP_NF_MATCH_MAC=y
CONFIG_IP_NF_MATCH_MARK=y
CONFIG_IP_NF_MATCH_MULTIPORT=y
CONFIG_IP_NF_MATCH_TOS=y
CONFIG_IP_NF_MATCH_AH_ESP=y
CONFIG_IP_NF_MATCH_LENGTH=y
CONFIG_IP_NF_MATCH_TTL=y
CONFIG_IP_NF_MATCH_TCPMSS=y
CONFIG_IP_NF_MATCH_STATE=y
CONFIG_IP_NF_FILTER=y
CONFIG_IP_NF_TARGET_REJECT=y
CONFIG_IP_NF_NAT=y
CONFIG_IP_NF_NAT_NEEDED=y
CONFIG_IP_NF_TARGET_MASQUERADE=y
CONFIG_IP_NF_TARGET_REDIRECT=y
CONFIG_IP_NF_NAT_IRC=y
CONFIG_IP_NF_NAT_FTP=y
CONFIG_IP_NF_MANGLE=y
CONFIG_IP_NF_TARGET_TOS=y
CONFIG_IP_NF_TARGET_MARK=y
CONFIG_IP_NF_TARGET_LOG=y
CONFIG_IP_NF_TARGET_ULOG=y
CONFIG_IP_NF_TARGET_TCPMSS=y
# CONFIG_IPX is not set
# CONFIG_ATALK is
not set
# CONFIG_DECNET is not set
# CONFIG_BRIDGE is not set
adesso
spero che la situazione sia chiara...spero (o meglio) confido in un vostro
aiuto...thanks


vabbé...sono un cretino...questa volta lo ammetto...il problema era nella
regola di masquerading che ho impostato...praticamente mi funziona il tutto
inserendo invece di una regola di MASQUERADING una regola che riguarda il
Source NAT...ma è possibile che utilizzando il masquerading (che non
sarebbe nient'altro che una caso specifico di SNAT) non funzioni niente
!?!?!?
va bene che il masquerading dovrebbe essere utilizzato nel caso di
indirizzi ip assegnati dinamicamente...ma che non funzioni per niente con
ip statici ... mi sembra esagerato...eppoi la cosa strana è che l'ho sempre
utilizzato in altri ambiti (anche con indirizzi IP statici) e mi ha sempre
funzionato ?!!!
vabbé ... sbagliando si impara, no ?!?!
grazie a
tutti quelli che hanno cercato di darmi una mano.
see you next time.
