LinuxForum.Fans
Тема

NAT CentOS 6.3

Автор: pavlar 50 сообщений 9497 просмотров
30.10.2012 11:05 · отредактировано #282827

У меня две сетевые карты одна смотрит в интернет eth0 а другая локальная сеть eth1. Поставил я NAT но возникла проблема. Пинг с компа внутренней сети на сетевую карту внешней сети проходит - а дальше не пускает. Но с компа на котором стоит NAT интернет виден.
Я посмотрел Iptables -t nat -L В CHAIN POSTROUTING вроде нормаkьно SNAT ALL -- 192.168.... anywhere to :194.44....

Только в CHAIN OUTPOUT (POLICy ACCEPT) ничего не прописано а в CHAIN PREROUTING (POLICY ACCEPT) тоже ничего не прописано

30.10.2012 11:13 #282828

Приведите правила ната целиком, а не непонятно что

30.10.2012 11:16 #282830

Так я привел выше.

30.10.2012 11:18 · отредактировано #282831

Форвард пакетов нужно разрешыть
echo 1 > /proc/sys/net/ipv4/ip_forward

Да и что там у вас делаетса в FORWARD цепочке

30.10.2012 11:18 #282832

Ну если Вы считаете, что это нормально описание...

30.10.2012 11:20 #282833
"pavlar" написал:
Так я привел выше.

Ну да, там всё понятно ;)
А почему бы просто не показать вывод команд

text

iptables-save
text

cat /proc/sys/net/ipv4/ip_forward
30.10.2012 11:25 #282834

# Generated by iptables-save v1.4.7 on Tue Oct 30 09:23:24 2012
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [3405:397031]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Tue Oct 30 09:23:24 2012
# Generated by iptables-save v1.4.7 on Tue Oct 30 09:23:24 2012
*nat
:PREROUTING ACCEPT [16762:1489844]
:POSTROUTING ACCEPT [28:1963]
:OUTPUT ACCEPT [28:1963]
-A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 194.44.31.236
COMMIT
# Completed on Tue Oct 30 09:23:24 2012

30.10.2012 11:34 · отредактировано #282837

Lupo Alberto написал:
IMHO, правил в FORWARD цепочке таблицы filter не хватает.
Гляньте, как сделано здесь — http://www.ibm.com/developerworks/ru/library/os-iptables/index.html#gateway
Да, и
[quote="Lupo Alberto"]cat /proc/sys/net/ipv4/ip_forward
[/quote]

Стоит 1 Да я в общем-то так и делал как в вашей ссылке только сайт был на английском языке и написано что должно работать. А про фильтры ничего не было написано. Не могу понять
30.10.2012 11:58 #282843

И что не работает???
А покажыте но
iptables -S

30.10.2012 12:01 #282844

-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

30.10.2012 12:11 · отредактировано #282846

Вот и я репу почесал: почему пинг с компа внутренней сетки на сетевую карту внешней сети идёт (и SSH работает) а дальше не идёт, хотя интернет с НАТовского компа работает :) Вроде получается что внешняя сетевая карта каким-то невероятным способом фильтрует пакеты :)

30.10.2012 12:25 · отредактировано #282849

Но что интересно Skype с компа внутренней сети частично работает ( хотя кружочек подключения всё время вертится и зелёная птичка не становится а значит я где то- у себя в кэше сообшения размещаю) а Интернет не работает, да и как ему без пинга работать

30.10.2012 12:33 #282851

покажите вывод

text
iptables -L -n -v

и

text
iptables -L -n -v -t nat
30.10.2012 12:56 #282855
text
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
 5516  583K ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
  105  6460 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
  251 15060 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
 2053  929K REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
26059 1576K REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited


Chain OUTPUT (policy ACCEPT 12434 packets, 1522K bytes)
 pkts bytes target     prot opt in     out     source               destination
30.10.2012 12:56 #282856
text
Chain PREROUTING (policy ACCEPT 69403 packets, 6304K bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain POSTROUTING (policy ACCEPT 779 packets, 49271 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 SNAT       all  --  *      eth0    192.168.1.0/24       0.0.0.0/0           to:194.44.31.236


Chain OUTPUT (policy ACCEPT 779 packets, 49271 bytes)
 pkts bytes target     prot opt in     out     source               destination
30.10.2012 13:01 #282857

и еще вопрос: пинговали внешние ресурсы по айпи или по имени?

30.10.2012 13:02 · отредактировано #282858
alexfinn написал:
и еще вопрос: пинговали внешние ресурсы по айпи или по имени?

По IP. Получаю сообщение Destination Host Prohibited

30.10.2012 13:10 #282860

хм, пока у меня только один вариант - добавить правило в FORWARD

text
-A FORWARD -o eth0 -s 192.168.1.0/24 -j ACCEPT 
-A FORWARD -i eth0 -d 192.168.1.0/24 -m state --state RELATED,ESTABLISHED -j ACCEPT

примерно как-то так

Войдите или зарегистрируйтесь, чтобы ответить.