Pitäisi tehdä läpinäkyväverkko, koska aliverkon koneita pitäisi pystyä päivittämään ulkoapäin. Verkon koneilla pitäisi päästä nettiin ja niitä pitäisi voida estää pääsemästä nettiin yksilöllisesti. Verkon yläpuolella on vielä yksi taso, mutta siihen en pääse käsiksi. Ip:t ovat staattisia.
Onnistuin tekemään homman jo nat Masqueran avulla ja säätelemään tekemäni käyttöliittymän avulla koneiden pääsyä nettiin, mutta sepä ei ole läpinäkyvä ja koneiden päivitys ei onnistu ulkoapäin.
Staattisella nattauksellahan ja aliaksilla tuon pitäisi onnistua. Vaan en saa verkkoa toimimaan staattisella nattauksella. Olen kokeillut varmaan jo satoja esimerkkejä ja iptables ohjeita, eikä mikään toimi. Aliverkon koneilla pääsee suoraan palomuuri koneelle muttei pidemmälle. Enemmän olen työskennellyt ohjelmointipuolella ja iptablesit on pitäny opetella ihan tätä varten.
Esimerkki kokoonpano:
DNS servers 10.100.x.7 //Näihin koneisiin en pääse käsiksi
10.100.x.8 //
Palomuurikone Fedora core 3
eth0:0 = 10.0.2.26 //ulkoverkon alias ip
eth0:1 = 10.0.2.27 //ulkoverkon alias ip
aliverkon peitto = 255.255.0.0
oletusyhdyskäytävä = 10.0.255.254
eth1 = 192.168.1.1 //Sisäverkon liittymä
aliverkon peitto = 255.255.0.0
oletusyhdyskäytävä =
Sisäverkon kone winxp
IPAdress 192.168.1.2
aliverkon peitto = 255.255.0.0
oletusyhdyskäytävä =
Yksi esimerkki lukemattomista variaatioista, joita olen kokeillut:
modprobe iptable_nat
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -d 10.0.2.26 -i eth0 -j DNAT --to-destination 192.168.1.2
iptables -t nat -A POSTROUTING -s 192.168.1.2 -o eth0 -j SNAT --to-source 10.0.2.26
iptables -A FORWARD -p tcp -i eth0 -o eth1 -d 192.168.1.2 -m multiport --dport 80,443,22 -m state --state NEW -j ACCEPT
iptables -A FORWARD -t filter -o eth0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -t filter -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
Käskyt on netistä, enkä ole varma, tarvitaanko kaikkia. Voisiko, joku neuvoa näiden perusteella, miten saisin homman toimiaan ensin yhdellä aliverkko koneella. Koska koneiden nettiyhteys pitää pystyä sulkemaan ja avaamaan konekohtaisesti, ehkä paras tapa on lisätä kone kerrallaan. Se helpottaisi myös tekemäni käyttöliitymän toimintaa.
- Mitä pitää korjata iptables käskyissä?
- Entä tarvitaanko route add komentoja verkkoa varten? Olen kyllä kokeillut ilman ja kanssa. Saan yhteyden aliverkon koneelta palomuuriin ilmankin.
- Entä tarvitaanko mitään muutoksia verkko kokoonpanoon tai linuxiin.
Osaisikohan joku auttaa. Ei mielellään sellaisia vastauksia, että mitä järkeä tuossa touhussa on. On vähän pakko, kun sellainen kerta halutaan.
Onnistuin tekemään homman jo nat Masqueran avulla ja säätelemään tekemäni käyttöliittymän avulla koneiden pääsyä nettiin, mutta sepä ei ole läpinäkyvä ja koneiden päivitys ei onnistu ulkoapäin.
Staattisella nattauksellahan ja aliaksilla tuon pitäisi onnistua. Vaan en saa verkkoa toimimaan staattisella nattauksella. Olen kokeillut varmaan jo satoja esimerkkejä ja iptables ohjeita, eikä mikään toimi. Aliverkon koneilla pääsee suoraan palomuuri koneelle muttei pidemmälle. Enemmän olen työskennellyt ohjelmointipuolella ja iptablesit on pitäny opetella ihan tätä varten.
Esimerkki kokoonpano:
DNS servers 10.100.x.7 //Näihin koneisiin en pääse käsiksi
10.100.x.8 //
Palomuurikone Fedora core 3
eth0:0 = 10.0.2.26 //ulkoverkon alias ip
eth0:1 = 10.0.2.27 //ulkoverkon alias ip
aliverkon peitto = 255.255.0.0
oletusyhdyskäytävä = 10.0.255.254
eth1 = 192.168.1.1 //Sisäverkon liittymä
aliverkon peitto = 255.255.0.0
oletusyhdyskäytävä =
Sisäverkon kone winxp
IPAdress 192.168.1.2
aliverkon peitto = 255.255.0.0
oletusyhdyskäytävä =
Yksi esimerkki lukemattomista variaatioista, joita olen kokeillut:
modprobe iptable_nat
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -d 10.0.2.26 -i eth0 -j DNAT --to-destination 192.168.1.2
iptables -t nat -A POSTROUTING -s 192.168.1.2 -o eth0 -j SNAT --to-source 10.0.2.26
iptables -A FORWARD -p tcp -i eth0 -o eth1 -d 192.168.1.2 -m multiport --dport 80,443,22 -m state --state NEW -j ACCEPT
iptables -A FORWARD -t filter -o eth0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -t filter -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
Käskyt on netistä, enkä ole varma, tarvitaanko kaikkia. Voisiko, joku neuvoa näiden perusteella, miten saisin homman toimiaan ensin yhdellä aliverkko koneella. Koska koneiden nettiyhteys pitää pystyä sulkemaan ja avaamaan konekohtaisesti, ehkä paras tapa on lisätä kone kerrallaan. Se helpottaisi myös tekemäni käyttöliitymän toimintaa.
- Mitä pitää korjata iptables käskyissä?
- Entä tarvitaanko route add komentoja verkkoa varten? Olen kyllä kokeillut ilman ja kanssa. Saan yhteyden aliverkon koneelta palomuuriin ilmankin.
- Entä tarvitaanko mitään muutoksia verkko kokoonpanoon tai linuxiin.
Osaisikohan joku auttaa. Ei mielellään sellaisia vastauksia, että mitä järkeä tuossa touhussa on. On vähän pakko, kun sellainen kerta halutaan.
Vastaukset 3
Vanhimmat
Onko tämä rivi varmasti oikea
"oletusyhdyskäytävä = 10.0.255.254"
Jos on niin siellä on paha moka. Eli siellähän EI saisi olla 255 tuossa osoitteessa.
Jos on annan ip-osoitteen automaattisesti DHCP:n kautta ja route -n komennon, Gateway on 10.0.255.254. Samoin, jos liitän aliverkon winxp:n suoraan ulkoverkkoon, ja haen ip-numeron automaatisesti antaa gatewayksi 10.0.255.254.
Molemmilla koneilla pääsee kyllä nettiin ulkoverkkoon kytkettynä.
Pitääkö aliverkon koneessa olla Default Gatewayna palomuurin sisäverkon eth1:n ip 192.168.1.1?
Helpottaa. Sain viimeinkin toimimaan.
Muutin aliverkon maskin 255.255.255.0
winxp:hen oletusyhdyskäytäväksi 192.168.1.1
ja iptables käskyjen alkuun piti lisätä pari pientä input ja forward käskyä.