Routing problemen met twee internetverbindingen

[Verwijderd]

Ik hoop dat dit topic voldoende complex is om hier geplaatst te mogen worden, anders mijn excuses hiervoor. Ik ben overigens een devver, geen netwerk beheerder, dus vergeef me a.u.b mijn eventuele banale aannames en domme fouten.

De situatie is als volgt: binnen het bedrijf waar ik werk hadden we één internetaansluiting (A) voor het lan en een dmz (met één server). Gezien de beheerders van de firewall constant bezig waren met fijne proefjes, experimentjes en weet ik veel wat waardoor vrij vaak de verbinding eruit lag hebben we hier op de afdelingen zelf maar een internet aansluiting (B) neergezet voor de webserver (win2003)plus database server (win2003), zodat die er in ieder geval geen last meer van had:

code:

                                                           database server (192.168.3.2)
                                                                             |
inet(A)<--->firewall<---> Lan, inclusief onze afdeling (192.168.1.x) <--> firewall <---> inet(B)
                                                                             |
                                                           webserver (192.168.2.2)

Alleen onze afdeling heeft direct toegang tot de webserver en database server. Tussen de webserver en database server is alleen sql verkeer mogelijk. De DB server heeft overigens geen toegang tot het internet behalve dan om windows updates op te halen.

Onze afdeling gebruikt inet(A) voor alle internet toegang, zodat inet(B) compleet vrij blijft voor de webserver.

Dit draait allemaal prima, maar de internet inet verbindingen zijn niet bepaald snel hier (521kb/s up en down) en een betere link aanschaffen kan door technische beperkingen niet (we zitten in een wat mindere buurt van Rio de Janeiro). Op het moment dat we een nieuwe server wilden plaatsen (192.168.2.3) hebben we daarom ook gelijk een extra link (C) gehuurd die alleen voor de nieuwe server gebruik moet worden.

Ik krijg het echter maar niet voor elkaar om de twee links op dezelfde firewall aan te sluiten en link (C) alleen te laten gebruiken voor de nieuwe server zodat link (B) alleen gebruikt wordt voor .2 en (C) voor .3

Ik hoop dat het nog een beetje te volgen valt....

Verbindingen van de firewall (linux) met vijf netwerkkaarten:
1) LAN
2) Netwerk voor webservers
3) Netwerk voor db servers
4) Inet (B)
5) Inet (C)


Een visio diagrammetje, was in het Portugees, vandaar dat ik de boel met paint een beetje heb bijgewerkt



de bestaande link <--> webserver (paars) werkt prima en wil dus graag inet (C) aansluiten op de firewall en de oranje route opzetten. Het verkeer moet wel gescheiden blijven.

Waarom krijg ik het niet voor elkaar? Ik zou echt niet weten waarom het niet werkt:

1) De inet(c) toegevoegd als een statische verbinding (geen dhcp dus) in het systeem.
2) Er staan twee default routes in de routing tabel (voor beide inet verbindingen eentje)
3) Blokkeer al het verkeer van 192.168.2.3 naar inet(b)
3) Blokkeer al het verkeer van 192.168.2.2 naar inet(c)
4) Precies dezelfde DNAT regel gebruikt als die voor 192.168.2.2 om poort 80 te forwarden (welke prima lijkt te werken)

Echter, wanneer ik dit allemaal doe dan zakt de hele boel ineen: niks werkt meer. Mijn vermoeden is dat twee keer een default route niet zo fijn is of dat ik iets moet doen met pre-routing regels, maar zoals gezegd kom ik er niet meer uit.

Ik gebruik overigens shorewall om alle regels in de firewall te frotten...

Iemand enig idee wat ik fout doe?

[ Voor 1% gewijzigd door Verwijderd op 01-08-2006 22:49 . Reden: Layout foutje ]

[Kabouterplop01]

Omdat je maar 1 default gateway kan hebben.
Het zou wel kunnen als je in die webserver 2 NIC's gebruikt. een voor je local LAN en de andere op 1 van die internet verbindingen.

[TrailBlazer]

Je kan inderdaad maar een default gateway kunnen hebben. Je moet echter zogenaamd source based routing gaan toepassen.
Ik denk dat je een rule moet hebben die hier een beetje op lijkt
iptables -t mangle -A FORWARD -s webserveripadres1 -j ROUTE --oif gw1
iptables -t mangle -A FORWARD -s webserveripadres2 -j ROUTE --oif gw2

geen idee hoe je dit inklopt in shorewall. Ik denk dat je voor dit soort complexe dingen al gauw aan de commandline vastzit
uit de man van iptables

ROUTE
This is used to explicitly override the core network stack's routing decision. mangle table.

--oif ifname
Route the packet through `ifname' network interface

--iif ifname
Change the packet's incoming interface to `ifname'

--gw IP_address
Route the packet via this gateway

--continue
Behave like a non-terminating target and continue traversing the rules. Not valid in combination with
`--iif'

[ Voor 38% gewijzigd door TrailBlazer op 02-08-2006 13:14 ]

[Verwijderd]

@Kabouterplop01: Ik heb inderdaad nu twee verbingingen lopen naar de nieuwe server. Een naar het .2.x netwerk en de andere direct op de modem, maar ideaal is dit natuurlijk niet.

@Trailblazer: Bedankt voor de tip! ik had me het route commando al lopen kijken of je kunt routeren op basis van herkomst van de pakketten, maar dat kan dus niet met route. Blijkbaar kan de nieuwe versie van shorewall wel zo ongeveer wat ik graag wil, dus ik zal eens kijken of ik die kan installeren zonder conflicten.

[TrailBlazer]

je route ook niet met route in dit geval maar met een speciale module van iptables

[blaataaps]

Het kan ook zonder iptables, met behulp van iproute2

[TrailBlazer]

krijg jij een bericht als er een reply in een PNS topic zit. Overigens ken ik iproute2 niet maar ik ben zelf altijd een fan van alles op een plek met een tool regelen. Uiteindelijk zullen ze wel hetzelfde beinvloeden

[blaataaps]

Nee, ze beinvloeden wat anders, iproute2 beinvloedt de routing tabel, iptables beinvloedt de iptables-regels Uiteindelijk kun je hetzelfde resultaat bewerkstelligen, en je kunt zelfs met iptables pakketjes markeren en iproute2 op basis daarvan laten beslissen, maar ze beinvloeden geenszins hetzelfde bij mijn weten.
Als je bijvoorbeeld iptables vanwege performance of iets anders niet geactiveerd hebt, kun je prima iproute2 gebruiken. En als je alles met 1 plek met 1 tool regelt, lijkt he mij juist logisch om routes te regelen met software waar je de routes ook mee regelt, en niet met software voor firewall-regels (hoewel het wel erg dichtbijelkaar ligt natuurlijk).

offtopic:
En nee, ik krijg geen bericht als er iets in PNS gepost wordt?

[ Voor 6% gewijzigd door blaataaps op 02-08-2006 22:55 ]

[TrailBlazer]

blaataaps schreef op woensdag 02 augustus 2006 @ 22:54:
Nee, ze beinvloeden wat anders, iproute2 beinvloedt de routing tabel, iptables beinvloedt de iptables-regels Uiteindelijk kun je hetzelfde resultaat bewerkstelligen, en je kunt zelfs met iptables pakketjes markeren en iproute2 op basis daarvan laten beslissen, maar ze beinvloeden geenszins hetzelfde bij mijn weten.
Als je bijvoorbeeld iptables vanwege performance of iets anders niet geactiveerd hebt, kun je prima iproute2 gebruiken. En als je alles met 1 plek met 1 tool regelt, lijkt he mij juist logisch om routes te regelen met software waar je de routes ook mee regelt, en niet met software voor firewall-regels (hoewel het wel erg dichtbijelkaar ligt natuurlijk).

offtopic:
En nee, ik krijg geen bericht als er iets in PNS gepost wordt?

ach je krijgt steeds meer professionele routers met firewall functionaliteit en firewalls met router functionaliteit. De firewalls op mijn werk praten standaard al OSPF. Dus over een aantal jaar zit alles in een kleind doosje waarschijnlijk.

[Verwijderd]

Aangezien het alleen maar om inbound verkeer gaat, kan je ook de nieuwe inbel verbinding aan de binnenkant natten. De firewall heeft dan een sessie naar een directly connected ipnummertje en zal het daarheen sturen ipv zijn default gateway (inbel 1).
Als dat inbelroutertje dat tenminste aankan

[Verwijderd]

Het zijn overigens geen inbelverbindingen (dat zou er nog eens bij moeten komen...), maar ADSL verbindingen met een statisch IP. De router is overigens een P-166MMX met 32MB geheugen en 4 100Mbit kaarten en een 10Mbit kaart.

Er zijn ook plannen om de sector helemaal te isoleren, waardoor de twee verbindingen ook gebruikt gaan worden door de clients op het LAN voor http, etc. Voor zover ik begrepen heb kan de nieuwe versie van shorewall dit allemaal configureren zonder dat ik zelf direct met route of iptables aan de slag moet. Daar heb ik namelijk helaas geen tijd voor.

iproute2 heb ik wel van gehoord, maar ken ik verder niet