[iptables] port forward

woensdag 24 september 2003 13:54

Memento mori

Staat de gateway van je machine met IP 124.124.124.124 wel goed?

Acties:

woensdag 24 september 2003 14:00

Topicstarter

Ja, het is een webserver die in bedrijf is.

Het betreft 2 servers bij een andere colo-provider. De servers worden verhuist van colo A aar colo A.

De oude server in colo A, heeft een aantal sites draaien die niet uit de lucht mogen. Maar bij verhuizing naar colo B, gaan de ip adressen wel veranderen. Omdat DNS 24u nodig heeft om overal gerefreshed te zijn, zullen er over die periode op beide ip-adressen aanvragen binnenkomen. Die wil ik beide opvangen en naar de colo A ip-adressen sturen. Daarvoor heb ik een machine in de nieuwe colo B, neergezet, die die nieuwe ips moet gaan forwarden naar de oude machine. Zodra 24u om is, kunnen de oude servers naar de nieuwe colo, en daar zijn nieuwe ip krijgen..

[ Voor 5% gewijzigd door ebas op 24-09-2003 13:54 ]

Acties:

Verwijderd

wordt 124.124.124.124 wel genat door 123.123.123.123 ?

woensdag 24 september 2003 14:04

Acties:

woensdag 24 september 2003 14:11

Topicstarter

Euhm nee.. ik dacht dus al wel dat dat een probleem zou zijn; maar ik kan nergens vinden hoe je een portforward doet naar een 'onafhankelijke' server

Acties:

Verwijderd

html heeft vast wel handige forward opties iet smet meta dacht ik.

woensdag 24 september 2003 14:18

Acties:

woensdag 24 september 2003 14:18

Memento mori

Misschien moet je alle pakketten die terug worden gestuurd ook weer terug 'NATTEN'

/usr/sbin/iptables -t nat -A PREROUTING -p tcp -s 124.124.124.124 --sport 80 -j SNAT --to 123.123.123.123:80

Dus dan zet je de source terug naar 123.123.123.123

Is ook maar een probeerseltje hoor

op http://www.netfilter.org/ staat daar toch wel een voorbeeldje van?

* BoAC vindt trouwen webmin met zijn firewall config-tooltje ontzettend handig

[ Voor 12% gewijzigd door BoAC op 24-09-2003 14:19 ]

Acties:

woensdag 24 september 2003 14:20

Topicstarter

dat gaat niet werken natuurlijk; waar ga ik naar redirecten dan? een ip-nummer? Er draait meer dan 1 site op die server

bovendien zitten er in die sites een hoop links en redirects in naar de hostname..

Acties:

woensdag 24 september 2003 14:21

Memento mori

Hoho ik doe nu een source nat voor alles wat de server terug stuurt vanaf poort 80!

[ Voor 42% gewijzigd door BoAC op 24-09-2003 14:20 ]

Acties:

woensdag 24 september 2003 14:25

Topicstarter

sorry

was reactie op AdminHenk

Acties:

Verwijderd

ebas: ja heb je in principe gelijk in.
maar met iptables gaat het niet werken, ik kan ook niet ff een DNAT vanuit mijn linux bakkie naar www.tweakers.net maken, om het maar eens 'visueel' uit te leggen.

Voor het redirect probleem, er is toch vast wel iets, wat 1 specifieke virtual server kan redirecten naar een ander ip (waar dezelfde virt server draait.), beschikbaar zijn?

woensdag 24 september 2003 14:26

Acties:

woensdag 24 september 2003 14:31

Topicstarter

Dan zou ik voor iedere site zoiets moeten maken, nee ik wil gewoon een portforward; want dat kan gewoon, ik moet alleen weten hoe..

Acties:

Mark

Weet niet of je Apache gebruikt (vermoedelijk wel als je ook iptables gebruikt), maar je kunt ook mod_proxy in reverse mode hiervoor gebruiken volgens mij.

woensdag 24 september 2003 14:31

Acties:

woensdag 24 september 2003 14:33

Uitvinder van RickRAID

ebas schreef op 24 september 2003 @ 13:54:
Ja, het is een webserver die in bedrijf is.

Het betreft 2 servers bij een andere colo-provider. De servers worden verhuist van colo A aar colo A.

De oude server in colo A, heeft een aantal sites draaien die niet uit de lucht mogen. Maar bij verhuizing naar colo B, gaan de ip adressen wel veranderen. Omdat DNS 24u nodig heeft om overal gerefreshed te zijn, zullen er over die periode op beide ip-adressen aanvragen binnenkomen. Die wil ik beide opvangen en naar de colo A ip-adressen sturen. Daarvoor heb ik een machine in de nieuwe colo B, neergezet, die die nieuwe ips moet gaan forwarden naar de oude machine. Zodra 24u om is, kunnen de oude servers naar de nieuwe colo, en daar zijn nieuwe ip krijgen..

Waarom laat je die webserver in colo A niet gewoon een paar dagen doordraaien totdat iedereens DNS up-to-date is?

Acties:

woensdag 24 september 2003 14:35

Memento mori

Ik neem toch aan dat dit de situatie is:

code:

     ------        ---------------      ---------------
    |      |      |               |    |               |
    |Client|------|123.123.123.123|----|124.124.124.124|
    |      |      |               |    |               |
     ------        ---------------      ---------------

Waarvoor geldt dat 123.123.123.123 2 NIC's heeft

Well dan moet je toch alle verkeer dat naar 123.123.123.123:80 doorrouten naar 124.124.124.124:80 maar ook alle verkeer dat vanaf 124.124.124.124:80 'terugzetten' als zijnde verkeer vanaf 123.123.123.123:80. Anders snapt de client niet waar de data die hij binnen krijgt op de poort die hij geopend heeft vandaan komt?

Acties:

Verwijderd

gewoon doen wat rick adviseert

woensdag 24 september 2003 14:36

Acties:

woensdag 24 september 2003 14:38

Topicstarter

Dan zijn die sites dus een tijd down hè

Dat wil ik juist niet

BoAC: En de servers hangen allebei los ergens in internet...

[ Voor 35% gewijzigd door ebas op 24-09-2003 14:38 ]

Acties:

Eastern

code:

./iptables -t nat -A PREROUTING -d xxx -p tcp --dport 80 -j DNAT --to-destination 192.168
.2.1:80
./iptables -I INPUT -i ppp0 -p tcp -d 192.168.2.1 -s 0.0.0.0/0 --destination-port 80 -j ACCEPT
./iptables -I OUTPUT -o ppp0 -p tcp -s 192.168.2.1 -d 0.0.0.0/0 --source-port 80 -j ACCEPT

Zo het ik het en dat zou bij jouw ook moeten werken. Een reverse proxy kan ook.

woensdag 24 september 2003 14:39

Acties:

woensdag 24 september 2003 14:47

Memento mori

ebas schreef op 24 September 2003 @ 14:36:
Dan zijn die sites dus een tijd down hè Dat wil ik juist niet

BoAC: En de servers hangen allebei los ergens in internet...

Dat is me nu ook duidelijk omdat je een eerder bericht wijzigde

Acties:

woensdag 24 september 2003 14:52

Uitvinder van RickRAID

ebas schreef op 24 September 2003 @ 14:36:
Dan zijn die sites dus een tijd down hè Dat wil ik juist niet

Euh, als je webservers draaien op 123.123.123.123 en op 124.124.124.124, dan zijn je websites juist 100% up, ongeacht of iemands DNS up to date is of niet.

Dan hou je de logfiles in de gaten op de oude webserver, en zodra er geen requests meer binnenkomen, dan draait de website volledig op de server in colo B.

Is toch niet zo moeilijk?

Voorbeeld:

client 1: DNS is up to date, voert in z'n browser www.website.nl in, en krijgt van zn DNS 124.124.124.124 terug. Browser connect met 124.124.124.124 waarop jij de webserver draait. Klaar.

client 2: DNS is nog niet up te date, voert in z'n browser www.website.nl in, en krijgt van z'n dns 123.123.123.123 terug. Browser connect daarmee, waarop niets is verandert en dus ook die website aanwezig is. Klaar.

Dan moet je dus alleen zorgen dat op bijde servers dezelfde websites geinstalleerd zijn, dezelfde files aanwezig zijn etc. Lijkt me heel wat minder werk als moeilijk doen met forwarden!

[ Voor 41% gewijzigd door RvdH op 24-09-2003 14:50 ]

Acties:

woensdag 24 september 2003 14:52

Topicstarter

Het moeilijke eraan is, is dat ik dan 2 server zou moeten hebben die die sites draaien, die heb ik niet, en ik heb geen zin om helemaal een server te configureren met die sites, en al die sites met code van anderen, zo te gaan configureren dat ze 1 mysql-server gebruiken in plaats van de hard gecodeerde 127.0.0.1 overal. Daarbij draaien er ook nog wat perl scriptjes op die eigen filetje hebben wat ze als DB gebruiken, en er worden plaatjes e.d. geupload naar het filesysten. Hiervoor zou ik dus een tunnel moeten maken voor een NFS verbinding, om alles in sync te houden...

Dat vind ik iets meer werk dan een simpele portforward...

Acties:

woensdag 24 september 2003 14:53

Memento mori

RickJansen schreef op 24 September 2003 @ 14:47:
[...]

Euh, als je webservers draaien op 123.123.123.123 en op 124.124.124.124, dan zijn je websites juist 100% up, ongeacht of iemands DNS up to date is of niet.

Nee waarschijnlijk bestaat zijn 123.123.123.123:80 niet meer maar wil hij daarvandaan alles door-routen naar 124.124.124.124. Zeg ik dat goed? Volgens mij kun je dat nog steeds oplossen met iptables:

Het vervelende wordt alleen dat je na het natten niet meer weet waarnaartoe je het packet moet sturen als je responce krijgt

van de server

[ Voor 18% gewijzigd door BoAC op 24-09-2003 14:57 ]

Acties:

woensdag 24 september 2003 15:00

Topicstarter

Maar die werken niet

Acties:

woensdag 24 september 2003 15:01

Memento mori

Maar waarom geen redirect naar met een IP-nummer? dmv een simpele webserver??

Acties:

Verwijderd

BoAC: kan niet met iptables.

Je zou het eens kunnen kijken of er progamma's a la ftp bouncers zijn.

woensdag 24 september 2003 15:02

Acties:

woensdag 24 september 2003 15:15

Topicstarter

er draaien veel sites op die server, en die hebben niet allemaal een ip-nummer; redirect naar ip gaat dus niet. Bovendien zijn er een hoop gratis php forums, php shops, enz die erop staan, en die willen nog wel eens terugspringen naar de hostname... en dat loopt dan spaak natuurlijk.

Ik kan ook alles een nieuwe hostname geven, maar dan is gewoon -te- veel werk..

Acties:

woensdag 24 september 2003 15:25

Uitvinder van RickRAID

Als je name-based vhosts hebt dan kun je het zowiezo wel vergeten met dat redirect verhaal.

ebas schreef op 24 september 2003 @ 14:52:
Het moeilijke eraan is, is dat ik dan 2 server zou moeten hebben die die sites draaien, die heb ik niet, en ik heb geen zin om helemaal een server te configureren met die sites,

scp httpd.conf user@nieuweserver:~
user@nieuweserver: $ ./replace_alle_oude_ip's_met_nieuwe httpd.conf
user@nieuweserver: $ apachectl restart

en al die sites met code van anderen zo te gaan configureren dat ze 1 mysql-server gebruiken in plaats van de hard gecodeerde 127.0.0.1 overal.

grep -r "mysql_connect" /webroot, filetjes aanpassen, klaar..

Daarbij draaien er ook nog wat perl scriptjes op die eigen filetje hebben wat ze als DB gebruiken, en er worden plaatjes e.d. geupload naar het filesysten. Hiervoor zou ik dus een tunnel moeten maken voor een NFS verbinding, om alles in sync te houden...

There is more than one way to do it. NFS hoeft niet perse door een tunnel. Synchen hoeft niet perse via NFS. Elk uur ff rsyncen?

Dat vind ik iets meer werk dan een simpele portforward...

Zo simpel is het toch niet, anders had je het nu allang voor elkaar of niet?

Acties:

woensdag 24 september 2003 15:28

Topicstarter

Als je het weet is het waarschijnlijk simpel

en in andersmans sites geautomatiseerd scripts aanpassen

Doe ik liever niet; als het foutgaat zoek je je een breuk.

en als het zo was dat ik een hele schone nieuwe server tot mijn beschikking heb, waar ik alles 1 op 1 kan kopieren.. ok Die heb ik niet

ik heb zelf een server in Colo B staan die ik wel even wil gebruiken voor de verhuizing.. Dus dan moet ik de configs toch gaan intergreren met elkaar.

Ik hoop nog steed op iemand die een paar regeltjes post waarme het gewoon lukt

[ Voor 9% gewijzigd door ebas op 24-09-2003 15:25 ]

Acties:

usr-local-dick

Wat ik zou doen:
Een copy maken van de harddisk op je server (met rsync zodat je hem ieder gewenst moment kan synchroniseren), naar een disk (wel zelfde type scsi of ide).
Die draait in een systeem wat i.i.g. ook scsi of ide is, hoeft niet een echte server te zijn, een oude PIII desktop kan ook.
Zet alle TTL's van je websites op 10 minuten.
Wacht een week.
Ga naar de nieuwe colo en zet je temp systeempje neer op de plek waar je server naar toe gaat.
Zet alle schrijfacties op de live server dicht zodat je content niet meer verandert.
Synchroniseer je temp systeempje en boot vanaf die disk.
Verander je DNS. Vanaf dit punt gaan de queries op je temp systeem komen.
Rij naar je oude server toe en haal hem weg (zal een uurtje later zijn gok ik), en breng hem naar zijn definitieve plek.
Als je daar in het colo hok zit zet je de temp server uit en breng je de oude up.

Het idee is dat je DNS TTL's heel klein maakt en de content readonly.
Dan switchen, content read/write maken, en TTL's weer goed zetten (dit hoeft niet direct maar kan ook een paar weken later).

Het enige wat je nodig hebt is een tijdelijk systeempje maar dat hoeft niet spectaculair te zijn.

woensdag 24 september 2003 15:30

Acties:

woensdag 24 september 2003 15:31

Topicstarter

Zo zou ik het ook doen

Ik zou dat uurtje down voor lief nemen.
Ware het niet dat ik een domeinen heb, waarvan ik de DNS niet draai....

Acties:

woensdag 24 september 2003 15:32

Uitvinder van RickRAID

Trouwens, het verhaal van 'na 24u redirect opzeggen en servers verhuizen' is ook zo lek als een mandje. Je hebt absoluut geen garantie dat na 24 uur elke dns op de wereld up-to-date is. Ik heb inmiddels zoveel domeinverhuizingen gedaan dat ik weet dat het kan voorkomen dat sommige dns'en er wel een week over doen.

Dit soort verhuizingen zijn gewoon niet in 2/3 dagen te doen. Als je zonder downtime wilt verhuizen zul je moeten zorgen dat tijdens de overlappingsperiode op beide locaties dezelfde data beschikbaar is.

Daarbij is er iets fundamenteels fout met het idee om mensen die op de nieuwe server terecht komen, terug te sturen naar de oude server. Het idee is toch juist dat ze daar *niet* meer terechtkomen? Als je dan iets dergelijks doet, zorg dan dat iedereen op de *nieuwe* server terecht komt..

Acties:

Tweeker

1 + 1 = 3

/usr/sbin/iptables -t nat -A PREROUTING -p tcp -d 123.123.123.123 --dport 80 -j DNAT --to 124.124.124.124:80

dit is goed, maar je moet niet vergeten poort 80 in ieder geval ook te accepteren. download anders de monmotha scripts.... simpel en goed http://monmotha.mplug.org

1 + 1 = 3

woensdag 24 september 2003 15:44

Acties:

woensdag 24 september 2003 16:17

Topicstarter

RickJansen schreef op 24 september 2003 @ 15:31:
Ik heb inmiddels zoveel domeinverhuizingen gedaan dat ik weet dat het kan voorkomen dat sommige dns'en er wel een week over doen.

Dan moeten ze maar op een normale dns server zitten; volgens mij valt het wel mee met dat aantal. En ik heb gewoon niet de resources om zoiets uitgebreids uit te halen. Deze maand moeten die servers bij colo A vandaan zijn, dat is een gegeven, en daar moet ik het mee doen. Nog een week bij colo A een server laten staan is dus geen doen. Ik ga verhuizen, ik neem die servers daar mee, en er blijft niets achter. Vandaar dat ik het niet andersom doe.

Acties: