[iptables] Pakketjes verdwijnen ...

[DieterVDW]

Hallo,

Ik heb een machine met 2 netwerkinterfaces.
Elke netwerkinterface zit in een eigen netwerk.
Nu wil ik deze machine zo instellen dat deze een gateway is van netwerk A naar netwerk B .
Easy peasy zo lijkt het ...

Maar het lukt me maar niet, en ik snap totaal niet wat er fout gaat.
Op de gateway:

code:

eth0      Link encap:Ethernet  HWaddr 00:30:48:7e:5c:12
          inet addr:10.0.1.1  Bcast:10.0.1.255  Mask:255.255.255.0
          inet6 addr: fe80::230:48ff:fe7e:5c12/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1305763 errors:0 dropped:0 overruns:0 frame:0
          TX packets:718474 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:944899940 (944.8 MB)  TX bytes:101257576 (101.2 MB)

eth1     Link encap:Ethernet  HWaddr fe:ff:ff:ff:ff:ff
          inet addr:10.0.0.128  Bcast:0.0.0.0  Mask:255.255.255.0
          inet6 addr: fe80::fcff:ffff:feff:ffff/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:4157 errors:0 dropped:0 overruns:0 frame:0
          TX packets:418 errors:0 dropped:3 overruns:0 carrier:0
          collisions:0 txqueuelen:32
          RX bytes:340897 (340.8 KB)  TX bytes:33874 (33.8 KB)

eth0: 10.0.1.0/24 -> WAN
eth1: 10.0.0.0/24 -> LAN

Als ik een machine aansluit op eth1, dan kan ik perfect de volgende IP adressen pingen:
10.0.0.1 (IP van de machine zelf, duh!)
10.0.0.128 (IP van de interface waarop de machine is aangesloten op de gateway)
10.0.1.1 (IP van de gateway op het WAN)

Ik slaag er echter niet in om een ander IP adres op het WAN te pingen (bvb.: 10.0.1.2) .

Iptables doet niks op de gateway:

code:

root@gateway# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Routetabel op de gateway:

code:

root@hyper:/etc/firewall# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.0.0.0        0.0.0.0         255.255.255.0 UH    0      0        0 eth1
10.0.1.0  0.0.0.0         255.255.255.0 U     0      0        0 eth0
0.0.0.0         10.0.1.2  0.0.0.0         UG    100    0        0 eth0

Nu komt het vreemde van het verhaal:
Als ik op elke chain van iptables een log target zet (cfr. dit script), dan zie ik dat de pakketjes enkel in de MANGLE PREROUTING en de NAT PREROUTING ketens terecht komen. Daarna zijn ze verdwenen ... Foetsie!

Daarna komen ze niet in de FORWARD keten terecht (zoals verwacht), noch in gelijk welke andere keten.

Je zou denken dat het dus fout gaat in de route tabel, maar ik krijg geen 'Destination unreachable' foutmeldingen oid...

Heeft er iemand enig idee waar deze pakketjes naartoe gaan? Hoe kan het dat deze gewoon stilletjes verdwijnen zonder enig spoor / foutmelding? Ik heb mijn ideeën uitgeput ...

[Gertjan]

Het eerste dat in me op komt: heb je forwarding aangezet in je kernel?

code:

echo 1 > /proc/sys/net/ipv4/ip_forward

[DieterVDW]

Gertjan schreef op woensdag 15 juli 2009 @ 00:21:
Het eerste dat in me op komt: heb je forwarding aangezet in je kernel?

code:

echo 1 > /proc/sys/net/ipv4/ip_forward

code:

root@hyper:/etc#  cat /proc/sys/net/ipv4/ip_forward
0

Fook... I feel noob.
Vreemd, de machine is nochtans een kloon van een soortgelijke machine waar dit wel aan staat...

Met het schaamrood op de wangen dank ik u.

[Kippenijzer]

Gewoon omdat het netjes is zou ik het broadcast adres van eth1 ook even goed zetten

[Gertjan]

DieterVDW schreef op woensdag 15 juli 2009 @ 11:50:
Fook... I feel noob.
Vreemd, de machine is nochtans een kloon van een soortgelijke machine waar dit wel aan staat...

Met het schaamrood op de wangen dank ik u.

Hehe, door schade en schande ... het was niet voor niets 'het eerste dat in me op kwam'