Маршрутизация через два шлюза

Есть два шлюза, первый cisco 1921 (которым я не как не управляю, его настраивает другая организация) и centos 6.4.
cisco имеет ip адрес 172.20.46.1 и через нее можно попасть в подсети 192.168.92.0/24 и 172.20.0.0/16
Centos имеет адрес 172.20.46.2 и через него мы выходим в интернет.
Клиенты сидят в подсети 172.20.46.0/24.
Если я ставлю маршрут по умолчанию 172.20.46.2, настраиваю маршрутизацию то пинги идут в подсеть 192.168.92.0/24 но по rdp подключиться туда я не могу. Если еще пропишу маскарадинг то заходит на по rdp но появляется другая проблема. Если с клиента win xp 172.20.46.100 удаленно подключиться по rdp к 192.168.92.7 то от туда мой клиент 172.20.46.100 не пингуется и не доступен. Если использовать шлюз cisco все нормально пингуется.
Как быт с такой проблемой подскажите пожалуйста.

А gateway у клиентов 172.20.46.2?

Я бы перевёл клиентов например в 172.20.47.0/24

Gateway был бы 172.20.47.254 то есть на centos.
eth0 172.20.46.2
eth1 172.20.47.254 (тут ваши клиенты)

на centos
route add --net 192.168.92.0/24 gw 172.20.46.1 dev eth0
route add --net 172.20.0.0/16 gw 172.20.46.1 dev eth0

Ну и само собой с той стороны у клиентов тоже надо прописать до вас (172.20.47.0/24) маршруты.

Либо использовать NAT ну тогда вас новрятли нормально увидят 8) .

Kettler написал:

Я бы перевёл клиентов например в 172.20.47.0/24

Gateway был бы 172.20.47.254 то есть на centos.
eth0 172.20.46.2
eth1 172.20.47.254 (тут ваши клиенты)

на centos
route add --net 192.168.92.0/24 gw 172.20.46.1 dev eth0
route add --net 172.20.0.0/16 gw 172.20.46.1 dev eth0

Ну и само собой с той стороны у клиентов тоже надо прописать до вас (172.20.47.0/24) маршруты.

Так к сожалению не получиться, так как все кто сидит подсети 192.168.92.0/24 все пакеты адресованые 172.20.46.0/24 пошлет уже другой циске по другому маршртуту. Моя подсеть 172.20.46.0/24 должна быть доступна из 192.168.92.0/24 и 172.20.0.0/16.

semperN написал:

[quote=Kettler]Я бы перевёл клиентов например в 172.20.47.0/24

Gateway был бы 172.20.47.254 то есть на centos.
eth0 172.20.46.2
eth1 172.20.47.254 (тут ваши клиенты)

на centos
route add --net 192.168.92.0/24 gw 172.20.46.1 dev eth0
route add --net 172.20.0.0/16 gw 172.20.46.1 dev eth0

Ну и само собой с той стороны у клиентов тоже надо прописать до вас (172.20.47.0/24) маршруты.

Так к сожалению не получиться, так как все кто сидит подсети 192.168.92.0/24 все пакеты адресованые 172.20.46.0/24 пошлет уже другой циске по другому маршртуту. Моя подсеть 172.20.46.0/24 должна быть доступна из 192.168.92.0/24 и 172.20.0.0/16.[/quote]
Я же написал что им тоже надо будет до вас писать маршрут!
192.168.92.0/24 данным челам полюбому до вас писать маршрут.

А так точно без конфигов cisco сложно что ли сказать.
Ведь хрен его знает как там настроенна маршрутизация.
Как вариант вам прописать на centos

route add --net 192.168.92.0/24 gw 172.20.46.1

И смотреть трассировку.

А если на centos
eth0 172.20.46.2
eth1 172.20.46.3
eth2 провайдер - dinamic ip

Шлюз у всех клиентов 172.20.46.2.
centos
ip r a 172.20.46.1/32 via 172.20.46.3 dev eth1
ip r a 192.168.92.0/24 via 172.20.46.1 dev eth1

пинги начинают ходить но RDP подключение не идет почемуто на 192.168.92.7

А в чём плюшка этого

eth1 172.20.46.3
ip r a 172.20.46.1/32 via 172.20.46.3 dev eth1

?

Kettler написал:

А в чём плюшка этого

text

eth1 172.20.46.3
ip r a 172.20.46.1/32 via 172.20.46.3 dev eth1

?

иначе как я думал трафик поступит на eth0 и с него же отправит уже на 172.20.46.1 а так как бы eth0 to eth1 :)

Бардак.
Этого должно хватить.

route add --net 192.168.92.0/24 gw 172.20.46.1

Kettler написал:

Бардак.
Этого должно хватить.

text

route add --net 192.168.92.0/24 gw 172.20.46.1

Я тоже так думал, но не так и так не работает rdp connect
может на cisce нужно добавить что типа 172.20.46.0/24 gw 172.20.46.2 ? и тогда заработает?

Да нет вроде. А пинги ходят? Firewall проверяли? Доступ есть к обоим Centos серверам?
Нарисуйте подробную схему тогда можно будет думать.

Вот нарисовал.


Таблица маршрутизации выглядит так на centos

Destination Gateway Genmask Flags MSS Window irtt Iface
10.1.65.200 10.0.64.1 255.255.255.255 UGH 0 0 0 eth1
213.108.144.33 0.0.0.0 255.255.255.255 UH 0 0 0 ppp0
172.16.0.234 10.0.64.1 255.255.255.255 UGH 0 0 0 eth1
172.16.0.14 10.0.64.1 255.255.255.255 UGH 0 0 0 eth1
10.0.64.0 0.0.0.0 255.255.255.192 U 0 0 0 eth1
172.20.46.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
192.168.92.0 172.20.46.1 255.255.255.0 UG 0 0 0 eth0
172.20.0.0 172.20.46.1 255.255.0.0 UG 0 0 0 eth0
0.0.0.0 0.0.0.0 0.0.0.0 U 0 0 0 ppp0

А вот такая схема работоспособная?

Выкинуть eth2 вставить сразу в switch.
switch обычный?
На centos прописать маршрут до 192.168.92.0/24 через 172.20.46.1

Kettler написал:

Выкинуть eth2 вставить сразу в switch.
switch обычный?
На centos прописать маршрут до 192.168.92.0/24 через 172.20.46.1

отдельный switch? а так почему нельзя на прямую?

semperN написал:

[quote=Kettler]Выкинуть eth2 вставить сразу в switch.
switch обычный?
На centos прописать маршрут до 192.168.92.0/24 через 172.20.46.1

отдельный switch? а так почему нельзя на прямую?[/quote]
Можно ток с маской тогда играйтесь а не /24

Kettler написал:

[quote=semperN][quote=Kettler]Выкинуть eth2 вставить сразу в switch.
switch обычный?
На centos прописать маршрут до 192.168.92.0/24 через 172.20.46.1

отдельный switch? а так почему нельзя на прямую?[/quote]
Можно ток с маской тогда играйтесь а не /24[/quote]
А все же не понятно почему при ip route add 192.168.92.0/24 via 172.20.46.1 dev eth0 не работает rdp соединение с сеткой 192.168.92.0-24

semperN написал:

[quote=Kettler][quote=semperN]
отдельный switch? а так почему нельзя на прямую?

Можно ток с маской тогда играйтесь а не /24[/quote]
А все же не понятно почему при ip route add 192.168.92.0/24 via 172.20.46.1 dev eth0 не работает rdp соединение с сеткой 192.168.92.0-24[/quote]
Уже писал firewall

Kettler написал:

[quote=semperN][quote=Kettler]
Можно ток с маской тогда играйтесь а не /24

А все же не понятно почему при ip route add 192.168.92.0/24 via 172.20.46.1 dev eth0 не работает rdp соединение с сеткой 192.168.92.0-24[/quote]
Уже писал firewall[/quote]
проверял, может я слепой. Вот iptables:

*nat
:PREROUTING ACCEPT [104:7272]
:POSTROUTING ACCEPT [6:365]
:OUTPUT ACCEPT [7:393]
-A PREROUTING -s 172.20.46.0/24 ! -d 172.20.46.0/24 -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10000 -j DNAT --to-destination 172.20.46.225:3389 
-A POSTROUTING -s 172.20.46.0/24 -o ppp0 -j MASQUERADE 
-A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE 
-A POSTROUTING -s 192.168.168.0/24 -o ppp0 -j MASQUERADE 
-A POSTROUTING -s 192.168.168.0/24 -o eth0 -j MASQUERADE 
-A POSTROUTING -s 172.20.46.0/24 -o eth0 -j MASQUERADE 
COMMIT
:INPUT DROP [35:2483]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -i lo -j ACCEPT 
-A INPUT -i eth0 -j ACCEPT 
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -m state --state INVALID -j DROP 
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP 
-A INPUT -i ppp0 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 55999 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 1194 -j ACCEPT 
-A INPUT -s 172.20.46.0/24 -i eth0 -p tcp -m tcp --dport 3128 -j ACCEPT 
-A INPUT ! -s 172.20.46.0/24 -i ppp0 -p tcp -m tcp --sport 80 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -i ppp0 -p tcp -m tcp --dport 80 -j ACCEPT 
-A INPUT -i ppp0 -p tcp -m tcp --dport 631 -j ACCEPT 
-A INPUT -i ppp0 -p tcp -m tcp --dport 5222 -j ACCEPT 
-A INPUT -i ppp0 -p tcp -m tcp --dport 1194 -j ACCEPT 
-A INPUT -p udp -m udp --dport 1194 -j ACCEPT 
-A INPUT -i eth1 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -i tap0 -j ACCEPT 
-A INPUT -i tun0 -j ACCEPT 
-A INPUT -i ppp0 -p tcp -m tcp --sport 3000 -j ACCEPT 
-A INPUT -i ppp0 -p tcp -m tcp --dport 3000 -j ACCEPT 
-A INPUT -i eth2 -j ACCEPT 
-A INPUT -i eth1 -p tcp -m state --state NEW -m tcp --dport 3389 -j ACCEPT 
-A FORWARD -i eth0 -p udp -m udp --dport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p udp -m udp --sport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --sport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --sport 1194 -j ACCEPT 
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 
-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -m state --state INVALID -j DROP 
-A FORWARD -i tap0 -o ppp0 -j ACCEPT 
-A FORWARD -i eth0 -o ppp0 -j ACCEPT 
-A FORWARD -p tcp -m tcp --dport 5190 -j ACCEPT 
-A FORWARD -p tcp -m tcp --dport 5190 -j ACCEPT 
-A FORWARD -p tcp -m tcp --sport 5190 -j ACCEPT 
-A FORWARD -i eth0 -o eth2 -j ACCEPT 
-A FORWARD -i eth2 -o eth0 -j ACCEPT 
-A FORWARD -i eth0 -o ppp0 -j ACCEPT 
-A FORWARD -i eth0 -j ACCEPT 
-A FORWARD -o eth0 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 8866 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --sport 8866 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10000 -j ACCEPT 
-A OUTPUT -o lo -j ACCEPT 
-A OUTPUT -o eth0 -j ACCEPT 
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT -o lo -j ACCEPT 
-A OUTPUT -o eth0 -j ACCEPT 
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP 
-A OUTPUT -d 172.20.46.0/24 -o eth0 -p tcp -m tcp --sport 3128 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT ! -d 172.20.46.0/24 -o ppp0 -p tcp -m tcp --dport 80 -j ACCEPT 
-A OUTPUT -o ppp0 -p tcp -m tcp --sport 631 -j ACCEPT 
-A OUTPUT -o ppp0 -p tcp -m tcp --sport 1194 -j ACCEPT 
-A OUTPUT -o tap0 -j ACCEPT 
-A OUTPUT -o tun0 -j ACCEPT 
-A OUTPUT -o eth2 -j ACCEPT 
COMMIT
*mangle
:PREROUTING ACCEPT [22113:3392085]
:INPUT ACCEPT [20950:2662038]
:FORWARD ACCEPT [1155:729803]
:OUTPUT ACCEPT [20985:3077115]
:POSTROUTING ACCEPT [22142:3807380]
COMMIT

В FORWARD невижу 3389