Где прописывать routing в NAT ?

Может кто подскажет где и как в настройках iptables прописывать несколько подсеток которые я выделил жирным шрифтом . В Windows server я их прописыал так
Routing and Remoute Access >General> Interface : 10.44.1.1 , Type: Dedicated , IP Address : 10.44.1.1;10.44.2.1;10.44.3.1;10.44.4.1 , Administartive Status:Up

Вы как-то разберитесь. Вам именно файрвол нужен или роутер?
PS Если точно определитесь, мы Вам точно поможем.

mvt написал:

Вы как-то разберитесь. Вам именно файрвол нужен или роутер?
PS Если точно определитесь, мы Вам точно поможем.

NAT как роутер который прописывается в iptables. Я NAT настроил

 iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE 
 iptables -A FORWARD -i eth1 -j ACCEPT

а как туда добавить 4 локальных подсетки 10.44.1.1;10.44.2.1;10.44.3.1;10.44.4.1 они все подключениы к 10.44.1.1 а развязывются между собой аппаратно свичами . Мне надо чтобы человек с а дресом скажем 10.44.4.32 мог видеть интернет. Сейчас все адреса с 10.44.1.1 (1-254) в интернет входят

pavlar
Ну, подождите с iptables. Роутер как настраивали?

Да очень просто роутер в линуксе настраивали. У нас не роутер типа Cisco а простой комп.
Сетевая карта eth0 (194.44....)смотрит в интернет а eth1 (10.44.1.1) карта локальной сетки. А настройка NAT

# Generated by iptables-save v1.4.7 on Mon Oct 29 14:24:09 2012
*nat
:PREROUTING ACCEPT [219:21980]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s  10.44.1.1/255 -o eth0 -j SNAT --to-source 194.44......
COMMIT
# Completed on Mon Oct 29 14:24:09 2012
# Generated by iptables-save v1.4.7 on Mon Oct 29 14:24:09 2012
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [26:2050]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -o eth0 -s 10.44.1.1/255 -j ACCEPT
-A FORWARD -i eth0 -d 10.44.1.1/255 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Mon Oct 29 14:24:09 2012

. Сейчас NAT работает на локальную сеть 10.44.1.1 а мне надо чтобы он пускал и 10.44.2.1, ...3.1,...4.1 Раньше у меня на каждую подсеть стояла своя сетевая карта и свой свич. Но поскольку виндовый серевер это позовляет мы соеднинли между собой все свичи прописали роутинг (см.начало темы), и пустили всё на одну карту 10.44.1.1. Теперь я хочу узнать как это сделать в линуксе

Так вопрос и завис. У меня NAT работает только на конкретный диапазон адресов для одной локальной сетевой карты. Например либо 10.44.1.1 либоj 10.44.2.1 и тд а совместить несколько диапазонов в одной карте как в Винде мне никак не удаётся. Может как-то с маской пошаманить? А виндовый роутер накрылся и теперь я пока работаю с одним диапазоно в линуксе

Вы настройки интернета от прова как получаете статически или динамически???

А попробуйте так

iptables  -t nat -A POSTROUTING -s 10.44.1.0 -o eth0 -j MASQUERADE
iptables  -t nat -A POSTROUTING -s 10.44.2.0 -o eth0 -j MASQUERADE
iptables  -t nat -A POSTROUTING -s 10.44.3.0 -o eth0 -j MASQUERADE
iptables  -t nat -A POSTROUTING -s 10.44.4.0 -o eth0 -j MASQUERADE

А ларчик просто открывался. Надо было просто установить маску 255.255.0.0 *CRAZY*

"pavlar" написал:

-A FORWARD -o eth0 -s 10.44.1.1/255 -j ACCEPT -A FORWARD -i eth0 -d 10.44.1.1/255 -m state --state RELATED,ESTABLISHED -j ACCEPT -A FORWARD -j REJECT --reject-with icmp-host-prohibited

Ну и форвардинг разрешыте для остальных сетей.

Ну или так, это даже и правельнее.

Всё хорошо работает только вот после перезагрузки приходится следующую строку вручную набирать, может кто подскажет как её записать чтообы она стартовала автоматически а то без неё никак

iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE

Сейчас у меня iptables имеет следующий вид ( я лишь добавил к предыдущему iptables строку с интерфейсами , а без неё даже с маской 255.255.0.0 NAT не работает на интерфейсы 2.1, 3.1, 4.1))

# Generated by iptables-save v1.4.7 on Mon Oct 29 14:24:09 2012
*nat
:PREROUTING ACCEPT [219:21980]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s 10.44.1.1/255 10.44.2.1/255 10.44.3.1/255 10.44.4.1/255  -o eth0 -j SNAT --to-source 194.44.31.236
COMMIT
# Completed on Mon Oct 29 14:24:09 2012
# Generated by iptables-save v1.4.7 on Mon Oct 29 14:24:09 2012
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [26:2050]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Mon Oct 29 14:24:09 2012

В /etc/sysconfig/iptables-config IPTABLES_MODULES_UNLOAD, IPTABLES_SAVE_ON_STOP, and IPTABLES_SAVE_ON_RESTART стоит 'yes'.

В общем нашел для CentOS в /etc/rc.local надо прописать

 iptables-restore < /etc/sysconfig/iptables.save

Всё работает и после перезагрузки

pavlar написал:

Всё хорошо работает только вот после перезагрузки приходится следующую строку вручную набирать, может кто подскажет как её записать чтообы она стартовала автоматически а то без неё никак
...

[console]# service iptables save[/console]
А /etc/rc.local не трогайте. Он на крайний случай

Всё работает но после редактирования /etc/rc.local и перезагрузки iptables и iptables.save приняли такой вид

iptables

# Generated by iptables-save v1.4.7 on Tue Dec 18 18:14:02 2012
*nat
:PREROUTING ACCEPT [438:24520]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Tue Dec 18 18:14:02 2012

iptables.save

# Generated by iptables-save v1.4.7 on Tue Dec 18 16:52:54 2012
*nat
:PREROUTING ACCEPT [1935:116567]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Tue Dec 18 16:52:54 2012

Интереса ради хочу узнать куда делись исходные iptables и itables,save?

service iptables save
Ну а что этот сервис говорит. Может это он переписывает вашы настройки

kisil написал:

service iptables save
Ну а что этот сервис говорит. Может это он переписывает вашы настройки

# Generated by iptables-save v1.4.7 on Wed Dec 19 08:13:27 2012
*nat
:PREROUTING ACCEPT [110448:6848470]
:POSTROUTING ACCEPT [22:2154]
:OUTPUT ACCEPT [317:21863]
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Wed Dec 19 08:13:27 2012

Ничего не понимаю. Все подробные настройки слизало как корова языком но если всё работает значит исходные настройки находятся где-то в закодированном виде. Я так понимаю четыре одинаковые маскарадные строки это мои 4 интерфейса 10.44.1.1 10.44.2.1 10.44.3.1 10.44.4.1

А покажыте но вот такой вывод
iptables -S

kisil написал:

А покажыте но вот такой вывод
iptables -S

iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT

Ну так у вас никаких правил нету.