Probleem met Debian (etch) als gateway

[Arjan]

een goedemiddag,

Ik ben gister de halve dag bezig geweest met m'n debian server als router in te stellen binnen m'n thuisnetwerkje. Nu leek me dit aanvankelijk een simpele taak, maar het blijkt nogal problematisch.

het netwerk:

@home modem --> server --> switch -> pc's

nu heeft de server twee netwerkkaarten, eth0 en eth1.

eth0 is de kaart naar het modem, eth1 naar de switch.

dit heb ik op de server ingesteld:

code:

ifconfig:

eth0      Link encap:Ethernet  HWaddr 00:40:F4:4D:A9:30  
          inet addr:***.***.91.141  Bcast:255.255.255.255  Mask:255.255.254.0
          inet6 addr: ****::****:f4ff:fe4d:a930/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:208381 errors:0 dropped:0 overruns:0 frame:0
          TX packets:722 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:12569363 (11.9 MiB)  TX bytes:132918 (129.8 KiB)
          Interrupt:10 Base address:0xa000 

eth1      Link encap:Ethernet  HWaddr 00:0E:0C:CF:FE:72  
          inet addr:192.168.2.1  Bcast:192.168.2.255  Mask:255.255.255.0
          inet6 addr: fe80::20e:cff:fecf:fe72/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:891 errors:0 dropped:16 overruns:0 frame:0
          TX packets:335 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:100915 (98.5 KiB)  TX bytes:51178 (49.9 KiB)
          Base address:0xa400 Memory:d7000000-d7020000 

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:149 errors:0 dropped:0 overruns:0 frame:0
          TX packets:149 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:11919 (11.6 KiB)  TX bytes:11919 (11.6 KiB)

code:

scriptje /etc/network/if-up/00-routing

#!/bin/sh

#
# delete all existing rules.
#
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X

# Masquerade.
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# Enable routing.
echo 1 > /proc/sys/net/ipv4/ip_forward

code:

route -n

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.2.0     0.0.0.0         255.255.255.0   U     0      0        0 eth1
***.***.90.0      0.0.0.0         255.255.254.0   U     0      0        0 eth0
0.0.0.0         ***.***.90.1      0.0.0.0         UG    0      0        0 eth0
0.0.0.0         192.168.2.1     0.0.0.0         UG    0      0        0 eth1

de server heeft gewoon verbinding met internet, alles werkt. hij kan alleen geen locale pc's pingen.

de pc's in het netwerk heb ik een vast ip gegeven binnen de 192.168.2.* range.
subnetmask van deze pc's staat op 255.255.255.0
en de gateway op 192.168.2.1

pingen lukt al niet, maar ik weet dat de kabels goed zijn.
Wie kan me verder helpen? ik snap er helemaal niks meer van!

alvast bedankt!

[Zwerver]

Waarom heb je de default route op twee ip's staan? Je PC staat sowieso al in het 192.168.2.0/255 segment dus het heeft geen zin om daar een default route via 192.168.2.1 neer te zetten...

[Arjan]

Zwerver schreef op zondag 04 februari 2007 @ 13:21:
Waarom heb je de default route op twee ip's staan? Je PC staat sowieso al in het 192.168.2.0/255 segment dus het heeft geen zin om daar een default route via 192.168.2.1 neer te zetten...

ik heb zelf geen route's toegevoegd, dit is puur wat debian zelf bij elkaar geknipt heeft.

[Zwerver]

Hm? Does eens:

code:

apt-get install iproute

als root

En geef me de

code:

ip route

output eens? Want ik snap niet dat debian er een tweede default route bijzet, m.s. ben ik vergeten hoe het werkt hoor

[Arjan]

Zwerver schreef op zondag 04 februari 2007 @ 13:41:
Hm? Does eens:

code:

apt-get install iproute

als root

En geef me de

code:

ip route

output eens? Want ik snap niet dat debian er een tweede default route bijzet, m.s. ben ik vergeten hoe het werkt hoor

die route -n klopte misschien niet helemaal doordat ik nog een gateway had staan bij m'n eth1

inmiddels heb ik dat veranderd, dit is de gevraagde output:

code:

ip route:

192.168.2.0/24  dev eth1  proto kernel  scope link  src 192.168.2.1 
***.***.90.0/23 dev eth0  proto kernel  scope link  src ***.***.91.141 
default via ***.***.90.1 dev eth0

code:

route -n:

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.2.0     0.0.0.0         255.255.255.0   U     0      0        0 eth1
***.***.90.0    0.0.0.0         255.255.254.0   U     0      0        0 eth0
0.0.0.0         ***.***.90.1    0.0.0.0         UG    0      0        0 eth0

[Zwerver]

En dan nog kan je 192.168.2.X niet pingen? Kan je eens een tcpdump -i eth0 icmp laten lopen en dan iets in het .2 netwerk pingen? Want je zou, mits de hosts ping toestaan, toch echt een reply moeten krijgen....

[Arjan]

Zwerver schreef op zondag 04 februari 2007 @ 14:06:
En dan nog kan je 192.168.2.X niet pingen? Kan je eens een tcpdump -i eth0 icmp laten lopen en dan iets in het .2 netwerk pingen? Want je zou, mits de hosts ping toestaan, toch echt een reply moeten krijgen....

het blijkt nu dat wanneer ik de kabels omprik en ping vanaf eth0 het geheel wel werkt!
dwz, ik kan de LAN pc's gewoon bereiken. pingen vanaf eth1 werkt niet...:?

eth0 is een standaard realtec kaartje
eth1 is een intel gbit kaart

[ Voor 6% gewijzigd door Arjan op 04-02-2007 14:47 ]

[Zwerver]

Atgast schreef op zondag 04 februari 2007 @ 14:42:
[...]

het blijkt nu dat wanneer ik de kabels omprik en ping vanaf eth0 het geheel wel werkt!
dwz, ik kan de LAN pc's gewoon bereiken. pingen vanaf eth1 werkt niet...:?

eth0 is een standaard realtec kaartje
eth1 is een intel gbit kaart

En kan je dan met eth1 wel het internet op?

[Arjan]

Zwerver schreef op zondag 04 februari 2007 @ 15:02:
[...]


En kan je dan met eth1 wel het internet op?

dat blijkt ook niet te lukken...zou het een pci-slot probleem kunnen zijn?
want er staan verder geen obvious foutmeldingen in de logs, de kaart lijkt wat debian betreft gewoon te werken

[Zwerver]

Mjah, het is hier nu 1:18AM dus ik ga naar bed, check i.i.g. even de PCI-sloten, de kaart e.d.

[Arjan]

Zwerver schreef op zondag 04 februari 2007 @ 15:48:
Mjah, het is hier nu 1:18AM dus ik ga naar bed, check i.i.g. even de PCI-sloten, de kaart e.d.

ik ben weer een stuk verder, ik heb wat creatief geswapped met pci kaarten en kan nu op het lokale netwerk pingen, en de server heeft gewoon internet. Nu de server nog zover krijgen dat hij de rest van de pc's ook internet geeft... ik dacht echter dat mijn 00-routing scriptje daar genoeg voor zou zijn, maar dat blijkt dus niet afdoende...

[flapdrol85]

Daarvoor heb ik deze link gebruikt:

http://ubuntuforums.org/showthread.php?t=91370

Werkt prima!

[Arjan]

flapdrol85 schreef op zondag 04 februari 2007 @ 20:44:
Daarvoor heb ik deze link gebruikt:

http://ubuntuforums.org/showthread.php?t=91370

Werkt prima!

dat deed 't em inderdaad. Ik heb het gevoel dat ik het nog niet helemaal begrijp, maar in ieder geval prettig dat het nu gewoon werkt!

thanks!

[DeMoN]

Atgast schreef op zondag 04 februari 2007 @ 22:52:
[...]

dat deed 't em inderdaad. Ik heb het gevoel dat ik het nog niet helemaal begrijp, maar in ieder geval prettig dat het nu gewoon werkt!

thanks!

Het gekke is, ik zie in die thread niet echt een verschil met wat jij al geprobeerd hebt
dnsmasq alleen dan.. maar waarom zou je dat nodig hebben? Met IP forwarding routeer je tenslotte gewoon al het verkeer door en dus ook de pakketjes die naar een externe DNS of zo gaan op poort 53 UDP.. Ik zou ook wel eens willen weten waarom het nou ineens wel werkt

[Verwijderd]

Klinkt misschien stom hoor, maar is het niet gewoon een verwisseling van de kabels? eth1 perongeluk aan de internetverbinding, eth0 aan het lokaal netwerk?

[Arjan]

Verwijderd schreef op maandag 05 februari 2007 @ 18:41:
Klinkt misschien stom hoor, maar is het niet gewoon een verwisseling van de kabels? eth1 perongeluk aan de internetverbinding, eth0 aan het lokaal netwerk?

nope, geloof me, daar heb ik herhaaldelijk op getest

ik heb wel gezien dat m'n iptables drastisch aangepast is door die geïnstalleerde progjes:

code:

iptables -L

Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     0    --  anywhere             anywhere
LOG        0    --  loopback/8           anywhere            LOG level warning
DROP       0    --  loopback/8           anywhere
ACCEPT     0    --  anywhere             255.255.255.255
ACCEPT     0    --  192.168.2.0/24       anywhere
ACCEPT    !tcp  --  anywhere             BASE-ADDRESS.MCAST.NET/4
LOG        0    --  192.168.2.0/24       anywhere            LOG level warning
DROP       0    --  192.168.2.0/24       anywhere
ACCEPT     0    --  anywhere             255.255.255.255
ACCEPT     0    --  anywhere             ***.home.nl
ACCEPT     0    --  anywhere             255.255.255.255
LOG        0    --  anywhere             anywhere            LOG level warning
DROP       0    --  anywhere             anywhere

Chain FORWARD (policy DROP)
target     prot opt source               destination
ACCEPT     0    --  192.168.2.0/24       anywhere
ACCEPT     0    --  anywhere             anywhere            state RELATED,ESTABLISHED
LOG        0    --  anywhere             192.168.2.0/24      LOG level warning
DROP       0    --  anywhere             192.168.2.0/24
LOG        0    --  anywhere             anywhere            LOG level warning
DROP       0    --  anywhere             anywhere

Chain OUTPUT (policy DROP)
target     prot opt source               destination
ACCEPT     0    --  anywhere             anywhere
ACCEPT     0    --  anywhere             255.255.255.255
ACCEPT     0    --  anywhere             192.168.2.0/24
ACCEPT    !tcp  --  anywhere             BASE-ADDRESS.MCAST.NET/4
LOG        0    --  anywhere             192.168.2.0/24      LOG level warning
DROP       0    --  anywhere             192.168.2.0/24
ACCEPT     0    --  anywhere             255.255.255.255
ACCEPT     0    --  ***.home.nl  anywhere
ACCEPT     0    --  255.255.255.255      anywhere
LOG        0    --  anywhere             anywhere            LOG level warning
DROP       0    --  anywhere             anywhere

[Confusion]

In plaats van zelf de iptable rules bij elkaar te schrijven, is het waarschijnlijk makkelijker een van de vele firewall scripts te gebruiken die het zware werk voor je doen. Zelf ben ik door een collega fan gemaakt van fiaif.

[tomato]

Als we dan toch iptables scriptjes gaan aanraden

Ik gebruik al tijden Arno's IPTables Firewall. Werkt als simpele firewall uitstekend, maar kan ook heel wat extra dingen als NAT.