Routing probleem

[battler]

Na mijn router te hebben vervangen voor een Linux bak werkte alles perfect.
Alleen sinds vanochtend ben ik al de hele dag aan het kloten met een probleem waar ik niet uit komt.

Setup + ip:
modem ip: 10.0.1.150
Router ETH0: 10.0.1.151
Router ETH5: 192.168.1.10
Client 1: 192.168.1.50
Client 2: 192.168.1.46

Wat kan wel/niet:
Clients kunnen niet pingen naar modem, (Inet e.d dus ook niet).
Clients kunnen wel pingen naar router (zowel ETH0 als ETH5).
Clients kunnen elkaar onderling ook pingen.
Router kan alles pingen, zowel clients als modem als internet.

Router:
route:
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.1.0 * 255.255.255.0 U 0 0 0 eth2
link-local * 255.255.0.0 U 1000 0 0 eth5
10.0.0.0 * 255.0.0.0 U 0 0 0 eth5
default 10.0.1.150 0.0.0.0 UG 100 0 0 eth5

sysctl:
# Uncomment the next line to enable Spoof protection (reverse-path filter)
net.ipv4.conf.default.rp_filter=1
# Uncomment the next line to enable TCP/IP SYN cookies
#net.ipv4.tcp_syncookies=1
# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.conf.default.forwarding=1


Waar moet ik beginnen met zoeken?
Firewall uitgezet, Iptables -F
Het lijkt me een routing probleem van de router, maar hij kan overal bij.

[ Voor 13% gewijzigd door battler op 30-04-2008 15:00 . Reden: ETH aangepast ]

[_fm]

echo 1 > /proc/sys/net/ipv4/ip_forward
niet vergeten? (of equivalent daarvan in je /etc/sysctl.conf )

[BarthezZ]

Ik denk dat je het moet zoeken binnen je linux configuratie.

Staat IP packet forwarding aan (net.ipv4.ip_forward)
Je hebt het trouwens in je beschrijving over eth0 en eth2, terwijl in je route tabel eth5 staat?

[battler]

--------------------
in sysctl.conf heb ik wat lines veranderd, ik reboot hem nu om te kijken of dat er wat is veranderd.
-------------------

Heeft helaas niet mogen werken

[ Voor 28% gewijzigd door battler op 30-04-2008 14:50 ]

[TrailBlazer]

je modem heeft geen idee dat het 192.168.1.0/24 netwerk zich achter je router bevindt. Dus of een static route op dat modem toevoegen of gaan natten op je router.

[battler]

Ik ben al een heeel stuk dichter bij. Als ik op me clients een proxy server configureer (squid op de 192.168.1.10:3128) dan kan ik wel internetten. Ping e.d werkt nog steeds niet.
Dit hangt heel erg samen met het verhaal van trailblazer. Maar dat betekent dat mijn Linux router al nat doet. (al weet ik niet hoe/waar). Ik probeer nog even in me modem te kijken of dat ik static routes kan invoeren.

[ Voor 40% gewijzigd door battler op 30-04-2008 15:15 ]

[jvanhambelgium]

>Als ik op me clients een proxy server configureer (squid op de 192.168.1.10:3128) dan kan ik wel> >internetten

Klinkt logisch, toch de NAT die nog niet OK is.
De SQUID gaat nu de client-requests afhandelen en als "source" IP z'n 10.0.1.151 adres gebruiken wat wel z'n weg zal vinden.
Als je een "ping" kan doen op die Linux bak met als "source" ip het ip van eth5 zal je ook geen gehoor krijgen ,, een standaard ping (dewelke het ip van de exiting interface gaat gebruiken) gaat prima werken.

[battler]

@jvanhambelgium en Trailblazer het probleem zit hem dus in het nat gedeelte.
Maar wat ik niet begrijp is dat mijn squid draait op ip: 192.168.1.10. Dus het source ip zal dan altijd 192.168.1.10 blijven, maar als mijn modem/router niet weet waar dit subnet zich bevind hoe kan hij dit wel werken, en met een source ip van 192.168.1.47 (van de client) niet? In mijn ogen betekent dit dat de linux router zelf toch ook al moet natten om het verkeer wat binnenkomt op 10.0.1.151 over te gooien naar 192.168.1.10?

[TrailBlazer]

Een proxy server zal zelf nieuwe TCP sessies opzetten om de nodige bestanden binnen te halen. Zijn die binnen dan worden ze doorgezt naar jouw PC via de reeds bestaande TCP sessie. Het ip adres waarmee hij de sessie opzet is dus het ip adres van de 10.0.0.0 netwerkkaart.

jep je linux router moet ook gaan natten.

TrailBlazer in "Netwerk configuratie probleem"

hier heb ik je al eens de nat config voor iptables gegeven.

[ Voor 45% gewijzigd door TrailBlazer op 30-04-2008 15:22 ]

[battler]

Aha duidelijk, die proxy server heeft dus als source adres 10.0.1.151 wat wel bekend is bij het modem en waarvoor er dus geen NAT vereist is. Ik kan geen static routes maken op me modem (iig niet in de gui, k*t ding.) Maar als mijn router nat dan hoef ik dat ook niet te doen. Nu moet ik nog 2 dingen.
1: waarom heeft het wel gewerkt, zonder dat ik ook nat heb geconfigd. (misschien iets met firestarter die dat voor je regelt oid?
2: Ik was vandaag aan het kijken naar port forwarding via een gui app. Ik denk dat hij mijn NAT gebeuren overhoop heeft gegooid.

Dit is de config die je me de vorige keer hebt gegeven. Voordat ik het ga toepassen probeer ik het nog wel te begrijpen. ik neem aan dat ik ook gewoon regel voor regel kan intikken? Ik ga me nu dan meer even inlezen over het Iptables met nat gedeelte.

$IPTABLES -t filter -P INPUT DROP
$IPTABLES -t filter -F INPUT
$IPTABLES -t filter -A INPUT -i lo -j ACCEPT
$IPTABLES -t filter -A INPUT -i eth0 -j ACCEPT
$IPTABLES -t filter -A INPUT -i eth1 -j ACCEPT

$IPTABLES -t filter -P FORWARD DROP
$IPTABLES -t filter -F FORWARD
$IPTABLES -t filter -A FORWARD -j ACCEPT

$IPTABLES -t filter -P OUTPUT DROP
$IPTABLES -t filter -F OUTPUT
$IPTABLES -t filter -A OUTPUT -j ACCEPT

$IPTABLES -t nat -F POSTROUTING
$IPTABLES -t nat -A POSTROUTING -o eth0 -j MASQUERADE

[ Voor 51% gewijzigd door battler op 30-04-2008 15:29 ]

[TrailBlazer]

je kan het niet zo intikken ik heb het in een tekstbestandje staan met dit er nog boven
#!/bin/bash
echo 1 >/proc/sys/net/ipv4/ip_forward

IPTABLES="/sbin/iptables"
IP6TABLES="/sbin/ip6tables"

ik zet dus ip_forwarding aan en ik zet de variabelen $IPTABLES en $IP6TABLES naar het goede pad. Je maake een aanpassing in dit bestand. Vervolgens voer je het uit en alle regels worden eerst netjes verwijderd en daarna weer opgebouwd. Als je dat niet doet dan ga je enkel regels aan het einde van je firewall toevoegen en krijg je allemaal rare dingen. Het is ook wel mogelijk om individuele regels uit een firewall te halen en ook in het midden toe te voegen dit is alleen veel makkelijker.

[jvanhambelgium]

Hmm, nu ben ik aan het twijfelen geslagen....je hebt de squid-server op de interne NIC gebonden en daar stuur je de clients naartoe. Maar de eigenlijke request naar een internet-host ... zou die gesourced worden van dezelfde interne NIC of eerder de externe. IN EEN STANDAARDCONFIG zonder geavanceerde squid-opties te gebruiken...denk toch gewoon dezelfde NIC.
Dus indien dit werkt zou je NAT wel degelijk werken.

Pfff, dringend tijd om het lange weekend in te gaan...

[sander85]

Maakt squid niet gewoon gebruik van de standaard-gateway van de PC waar squid op draait?

Dus squid haalt de data op via de default gateway (de modem) en zend deze proxy gegevens weer uit via de interne nic.

[ Voor 40% gewijzigd door sander85 op 30-04-2008 15:57 . Reden: Volledigheid ]

[CyBeR]

TrailBlazer schreef op woensdag 30 april 2008 @ 15:20:

jep je linux router moet ook gaan natten.

Of even een static route instellen in de modem. Is imo netter dan 2x NATten.

[ Voor 6% gewijzigd door CyBeR op 30-04-2008 16:01 ]

[TrailBlazer]

CyBeR schreef op woensdag 30 april 2008 @ 15:58:
[...]


Of even een static route instellen in de modem.

TrailBlazer schreef op woensdag 30 april 2008 @ 15:02:
je modem heeft geen idee dat het 192.168.1.0/24 netwerk zich achter je router bevindt. Dus of een static route op dat modem toevoegen of gaan natten op je router.

verder ben ik het met je eens dat 2 keer nat ranzig is. Hij kan betern SIP spoofing gaan draaien. maar dat kan beter stap 2 worden denk ik.

jvanhambelgium schreef op woensdag 30 april 2008 @ 15:47:
Hmm, nu ben ik aan het twijfelen geslagen....je hebt de squid-server op de interne NIC gebonden en daar stuur je de clients naartoe. Maar de eigenlijke request naar een internet-host ... zou die gesourced worden van dezelfde interne NIC of eerder de externe. IN EEN STANDAARDCONFIG zonder geavanceerde squid-opties te gebruiken...denk toch gewoon dezelfde NIC.
Dus indien dit werkt zou je NAT wel degelijk werken.

Pfff, dringend tijd om het lange weekend in te gaan...

Ik heb even snel een rule aangemaakt om verkeer naar poort 80 vanaf mijn externe ip te loggen en daar heb ik een boel hits op als ik via mijn proxy server aan het browsen ben.

[ Voor 51% gewijzigd door TrailBlazer op 30-04-2008 16:09 ]

[jvanhambelgium]

Aha, dus hij neemt toch dan de "externe" kant en dus is de redenering nog geldig dat het via de Squid wel werkt.
Hmja, hij zal een lookup doen of het object al dan niet in cache zit, indien niet dan kijken naar waar hij moet, vervolgens wetende welke NIC hij moet gebruiken mischien de request craften met het IP van de outbound-NIC ? Ben niet volledig thuis in de architectuur van Squid.

[TrailBlazer]

Zo zal die het doen ja.

[CrankyGamerOG]

waarom niet het modem in bridge en de server de dhcp laten oppakken van je isp ?
probleem helemaal opgelost

dan een virtueel ip aanmaken op je nic richting je modem en je kunt bij je modem settings (of je past het modemip aan)

dan word dus

modem ip: 10.0.1.150
Router ETH0: EXTERN IP
Router ETH5: 192.168.1.10
Client 1: 192.168.1.50
Client 2: 192.168.1.46

dan maak je dus een eth0:1 aan met 10.0.1.whatever, of je past het modem aan naar je interne range

[ Voor 34% gewijzigd door CrankyGamerOG op 30-04-2008 16:14 ]

[TrailBlazer]

Omdat de TS eerst dit maar eens aan de praat moet krijgen. Kleine stapjes eerst maar eens doen.

[CrankyGamerOG]

TrailBlazer schreef op woensdag 30 april 2008 @ 16:14:
Omdat de TS eerst dit maar eens aan de praat moet krijgen. Kleine stapjes eerst maar eens doen.

jah maar dan heb je al dat gekloot niet met dubbele nat etc
elimineert imho veel hordes

[TrailBlazer]

Ik heb het zelf wel jaren zo gedraaid met mijn oude trouwe alcatel modem in SIP spoof mode. Ik moest echter wel wat tweaks uithalen omdat het masker wat ik doorkreeg via DHCP 255.255.0.0 was en dat was niet zo heel grappig omdat ik dan heel veel websites niet kon benaderen.

[battler]

Ik heb me even ingelezen over het iptable verhaal voor NAT. En voila het resultaat is dat ik zonder me proxy kan internetten. Alles wat nodig was was 1 postrouting nat regel. Uiteraard moet ik nog de gehele firewall configureren en even kijken hoe ik pat aan de praat krijg maar het komt er. Iedereen bedankt voor hun hulp.

[TrailBlazer]

probeer anders je modem in bridge mode te krijgen zodat je je externe ip direct op je router krijgt dit is een stuk mooiere oplossing namelijk.

[battler]

Ja dat wordt inderdaad de volgende stap. Ik moet me in een paar dingen gaan verdiepen dan, maar dat is iets wat ik zeker wil. Ik ben vandaag 20 geworden, dus ik ga 4 daagjes weg. Ik neem wat boeken mee en dan kan ik rustig alles even bestuderen. Ik moet zeggen dat het leukste van alles is, dat dit echt iets waarvan ik dacht dat ik het nooit werkend zou krijgen. Maar alle problemen die ik ben tegen gekomen zijn vaak dankzij jou opgelost. Dus daarom zeker nog een bedankje jou kant op.