Tobb publikus cim route-lasa

Linux-haladó

Tobb publikus cim route-lasa

  • 1903 megtekintés

( dragi v | 2005. 11. 22., k – 12:43 )

Linuxal szeretnem megoldani, azt hogy egy tuzfal mogott tobb gep is elhelyezekedne, amiknek publikus ipcimuk van. A kerdesem az, hogy ehhez eleg route tablat irnom, vagy kell hozza mas is? Illetve ahany cim annyi halokartya, vagy meg lehet oldani 2-3-al is?

Tudom lamanak tunik a kerdes, de van nemi infom a temarol, csak mielott meg jobban beleasnam magam szeretnek hozzaertotol tajekozodni.

( coder | 2005. 11. 22., k – 13:09 )

elég hozzá 2 hálókari is, viszont nem elég csak a route tábládat átírnod, a szolgálatóddal is közölni kell, hogy te melyik ip-n keresztül route-olsz milyen ip-kre különben soha nem jön be kintről a célgépeknek semmilyen csomi...

( dragi v | 2005. 11. 22., k – 13:14 )

A szolgaltatoval megbeszelm, hogy azokat az ipket iranyitsa a linux fele, es a linux "kulso" halokarijara iranyitott forgalmat routelom a megfelelo gep fele ugye, amik lognak a "belso" halokarin?

( coder | 2005. 11. 22., k – 13:39 )

igen, de ennél talán jobb megoldás, ha a külső eth-t ráhúzod több ip-re (eth0:1, eth0:2 ...) és utána iptables -el betolod a megfelelő belső gépnek... egyszerűbb és ráadásul nem kell szolgáltató router-ét sem buherálni..

( dragi v | 2005. 11. 22., k – 13:50 )

Ertem, erre gondoltam en is, csak megerositesre vartam, koszi.

( dragi v | 2005. 11. 25., p – 12:14 )

Azt hiszem rosszul irtam le mit szeretnek. Van par publikus ipcimem, amikbol 2-t ket server kapna meg. Ele be lenne rakva egy linuxos router, aminek at kene routolnia a publikus ipket a serverek fele, de ertelem szeruen nem NAT-olva. Hogy es mivel lehet ezt megoldani? Route tablat kell irni? 2 halokartyaval megoldhato? A proxy arpnal ha jol vettem ki a routert is be kene dugni a switchbe amin a serverek is lognak, de ez nem megoldhato. Iptablessel meg csak DNAT-olni tudok de az visszafele nem jo.

( coder | 2005. 11. 25., p – 12:38 )

[quote:fb07ca0e2c="dragi"]Azt hiszem rosszul irtam le mit szeretnek. Van par publikus ipcimem, amikbol 2-t ket server kapna meg. Ele be lenne rakva egy linuxos router, aminek at kene routolnia a publikus ipket a serverek fele, de ertelem szeruen nem NAT-olva. Hogy es mivel lehet ezt megoldani? Route tablat kell irni? 2 halokartyaval megoldhato? A proxy arpnal ha jol vettem ki a routert is be kene dugni a switchbe amin a serverek is lognak, de ez nem megoldhato. Iptablessel meg csak DNAT-olni tudok de az visszafele nem jo.

visszafelé SNAT

( dragi v | 2005. 11. 25., p – 12:46 )

Oke igaz, de ettol fuggetlenul kerdeznem sima routeolassal meg lehet oldani?

( covek v | 2005. 11. 25., p – 13:15 )

[quote:578cb52647="dragi"]Oke igaz, de ettol fuggetlenul kerdeznem sima routeolassal meg lehet oldani?

iptables portforward? publikus ip-k a külső lábon eth alias-al, stb.
zorp-gpl?!

( dragi v | 2005. 11. 25., p – 13:36 )

Igazandibol az a kerdes foglalkoztat, hogy ha van egy publikus ip-m ami a gepemhez tartozik az is atmegy egyket routeren, megsincs natolva. Ezt hogy lehet megcsinalni linuxal?

( polya v | 2005. 11. 25., p – 13:47 )

dragi: nem kell hozza semmi extra meg iptables sem. ipforward-ot engedelyezed a kernelbe es a route tablat nem csak a te routereden hanem a korulotte levokon is jol beallitani.

( dragi v | 2005. 11. 25., p – 13:53 )

Okes koszi, akkor megyek route tablat irni.

( coder | 2005. 11. 25., p – 14:14 )

[quote:f515612a2c="polya"]dragi: nem kell hozza semmi extra meg iptables sem. ipforward-ot engedelyezed a kernelbe es a route tablat nem csak a te routereden hanem a korulotte levokon is jol beallitani.

ja, csak nem biztos, hogy szolgáltatója 2 ip-ért fel fog venni egy külön route bejegyzést a központi routerükön...

( polya v | 2005. 11. 25., p – 14:21 )

na most ez mind uzletileg mint technikailag megkerdojelezendo: a szolgaltatok szivessen csinalnak olyan dolgokat amibol pent latnak.

Mi az a kozponti router? egy szep halozatban nincsen olyan hogy 1 kozponti router, de ha van is nem valoszinu hogy toluk 1 hop-ra van.

( deta | 2005. 11. 25., p – 14:52 )

huha, itt a rengeteg felesleges iptables jatek es stb kozott nem nehez elveszni, nem irigylem aki ebbol probal infot kihamozni :)
a szolgaltatod fog egy /24-es halozatot, rarouteolja a linuxos gepedre, bekapcsolod az ip forwardot, es lenyegeben ennyi dolgod volt. A gep azon kartyajara radugsz egy switchet ami a gepeidet szolgalja ki es kesz is vagy, veheted fel szepen a tartomanybol a cimeket... persze ha mar ilyet csinalsz akkor erdemes DHCP server... illetve ez a tartomany meretetol fugg, ha csak egy /29 tartomany, akkor nem biztos, hogy erdemes... ja es persze a default gw a linuxos geped. :)
mail server, dns server is mehet ra, ha ugy akarod... nem sci-fi

( dragi v | 2005. 11. 25., p – 15:09 )

koszi deta erre gondoltam en is csak hirtelen nem allt ossze, mert en is iptablesben gondolkodtam. De az ipforwardon tul meg route tabla helyes megirasa is kell nem? Vagy ha a linuxos router kulso halokartyaja megkapja a csomagokat akkor a forward miatt tudja merre kuldje tovabb, mivel a masik kartyajan ugyan abban a halozatban ulnek a serverek? Meg a "belso" halokartyanak milyen ip-t adjak. Annak is a /28 bol egyet meg a kulsonek is?

Kicsit mar en is megkavarodtam.

( asd | 2005. 11. 25., p – 15:22 )

Latom nem nagyon vagod ezt az IP temat. Par szoban talan segit ha osszefoglalom.
Amikor egy csomag megerkezik egy gephez, az ket kulon felallasban tortenhet meg: az adott csomag celcime a geped, ilyenkor a megfelelo socket megkapja, amogott all az alkalmazas, feldolgozza, kesz. A masodik variacio, hogy ugyan a gep kapta meg, de nem az ominozus gep cime szerepel a cel mezoben. Ez tobbnyire azert fordul elo, mert a gep gatewaykeny funcional, feladata egyik halozatbol a masik fele tovabbitania a csomagot. Ezt ha bekapcsolod (ip_forward) akkor automatikusan, mindenkinek megteszi, ezt szukitheted az netfilter FORWARD tablajaval, ha szeretned (szeressed).

asd

( zither | 2005. 11. 25., p – 15:28 )

Tehát összesen a következőket kell tenned:
* IP-Forward engedélyezése
* route táblák helyes beállítása (ezzel már van egy routered)
* IPtables-t beállítod (NetFilter) (ezzel van egy tűzfalad is, lásd asd postját)
* szolgáltatóval beállítatod a címeidet, hogy az ő routereik hozzád küldjék a csomagot

Ennyi.
Lehet (ha több géped van) DHCP-vel kiosztani a publikus IP-ket, de miután 2 darab van neked, szerintem csak időhúzásnak jó. Ugyan ez igaz lehet a DNS-re is, bár ezt már a felhasználási cél dönti el, nem pedig az IP-k száma.