[SLES10] ip forwarding

[Ibbelz]

Ik heb een probleem met ip forwarding op mijn SLES10 (Suse Linux Enterprise Desktop 10) server. Ik wil twee netwerksegmenten met elkaar verbinden via deze linuxserver d.m.v 2 netwerkkaarten.

De situatie is als volgt:

code:

Lan A <---> Linux B <---> Pix C

A:   IP: 10.10.0.0/16
B :  eth0: 10.10.1.10/16
      eth1: 197.168.2.254/24
C:   IP: 197.168.2.1/16

Na de PIX C (Cisco Pix 515e firewall) komt een modem welke dan verder het Internet op gaat. Het is dus ook de bedoeling dat de clients in LAN A via Linux B geforward worden naar PIX C om zo op het Internet te komen.

Vanaf B kan ik alles pingen. Helaas kan ik alleen niet van A naar C of van C naar A pingen. Wat mij dus doet vermoeden dat ip forwarding schijnbaar niet goed werkt. Echter ik heb het wel aangevinkt via YAST en de output van cat /proc/sys/net/ipv4/ip_forwarding is ook netjes 1.

De routingtabel van de server ziet er als volgt uit:

code:

Destination    Gateway      Netmask           Interface
197.168.2.0   0.0.0.0         255.255.255.0   eth1
10.10.0.0      0.0.0.0         255.255.0.0       eth0
169.254.0.0   0.0.0.0         255.255.0.0       eth0
127.0.01       0.0.0.0          255.0.0.0          lo
0.0.0.0         197.168.2.1   0.0.0.0              eth1

Nu ik al een hoop geprobeerd echter volgens mij is alles qua netwerk gezien gewoon in orde. Ik heb een vermoeden dat ik iets vergeet te configureren op mijn linuxserver. Moet ik misschien ook ip masquerading configureren om dit werkend te krijgen? Ik weet 'tff helemaal niet meer. Ik hoop dat er iemand is die me een beetje in de goede richting kan helpen.

[TrailBlazer]

in principe hoef je verder niks te doen. eventueel kanje kijken of er met iptables een default drop staat in de FORWARDING chain.
Weten de pix en de clients in LAN A wel hoe ze elkaar (via de linux doos) moeten bereiken. Eventueel kan je vanaf de linux bak gaan pingen met een ander source ip adres. Dus naar de pix pingen met als source eth0 en andersom. je moet dan de -I optie meegeven aan je ping

[Ibbelz]

iptables -L geeft dit als resultaat:

Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Forward staat dus niet op drop. Moet dit wel dan?

[TrailBlazer]

nee natuurlijk moet dat niet je wil toch forwarden
Dan moet het haast wel een routing probleem zijn probeer die andere opties eens en laat de routing tabellen eens zien

[Ibbelz]

Haha, ja dat dacht ik ook. Heb niet echt verstand van het configureren van iptables.

Echter, ik heb echt alle routing gecontroleerd en ik ik zie echt geen enkel probleem met de routes. In de linuxbak staat keurig in de routingtabel hoe hij naar LAN A en PIX C moet komen. En ik kan ze ook beiden pingen vanaf LINUX B. Ik kan alleen door B niet van A naar C of van C naar A. Daarom dacht ik dat er iets fout zat met die ip forwarding. Maar ik zie echt niet wat.

Nog andere suggesties misschien?

[TrailBlazer]

ja die heb ik je al gegeven de routeringstabellen van de PIX en de clients in LAN A. Of gaan pingen naar de PIX met als source de ethernetpoort van lanA en andersom. Ik ga ervan uit dat de PIX fout zit.
Ook weet ik ff niet wat er allemaal voor vage veiligheids instellingen op een PIX zijn. PIXen zijn over het algemeen niet zo dol om gepinged te worden.
en volgende week moet ik mijn laatste examen van CCSP doen

[ Voor 36% gewijzigd door TrailBlazer op 29-08-2006 22:30 ]

[Wolfboy]

Ik zie in ieder geval een paar vreemde dingen.
Waarom is de ene een klasse B en de andere een klasse C netwerk?
B: eth1: 197.168.2.254/24
C: IP: 197.168.2.1/16

En daarbij, klopt het adres wel? 197.0.0.0/8 is een internet range, bedoel je niet 192.168.0.0/16?
(aangezien je wel 168 erachter hebt)

[TrailBlazer]

dit zal het probleem nu even niet zijn.Hij kan wel alles pingen vanaf de linux doos namelijk. MAskers moeten wel gelijk zijn natuurlijk. Ik bedoelde meer dat publieke ip adressen niet uit zouden moeten maken.

[ Voor 38% gewijzigd door TrailBlazer op 30-08-2006 13:00 ]

[Equator]

Onthoudt dat routing 2weg verkeer is. Verkeer van A naar C via B, en verkeer van C naar A via B.
M.a.w.
Een pakketje van netwerk A moet weten dat het netwerk C te bereiken is achter IP AB
Een pakketje van pix C moet weten dat het netwerk A te bereiken is achter IP CB

Is B in netwerk A de default GW of niet.

[Zwerver]

Zet op je linuxbak eens een tcpdump aan? Gooit de linuxbak het verkeer wel door? Dat kan je daar nl zien. Hoogstwaarschijnlijk denkt de pix: ah, een pakketje wat niet uit mijn eigen internal interface komt, reply terug over de outside kant

[Ibbelz]

Het werk inmiddels allemaal naar behoren. Ik heb ip masquerading geconfigureerd en nu kunnen mijn clients weer gewoon pingen naar de pix en vica versa.

Bedankt voor alle suggesties.

hier nog een goede guide om een router te maken van je SLES10 distro. Aantal onderdelen uit die guide heb ik gebruikt om tot de oplossing te komen.

[TrailBlazer]

kortom je pix weet de weg terug niet naar de clients.

[Verwijderd]

pcies. Als je op de pix de route voor lan aangeeft via de linux gw en datzelfde doe je op alle hosts op je lan (gaat overigens ook via def. gw) dan moet dit gewoon gaan werken.