2 шлюза

Всем доброго времени суток.

В организации имеется прокси-сервер со Suse который используется только для интернета.
На машине 2 сетевых карты, 1 на внешку настроена, 1 на внутрь. Проски-сервер хорошо работает с теми машинами которые поблизости (которые работают с тем же маршрутизатором, что и сам прокси-сервер), а вот те машины которые находятся на других территориях, они не видят прокси-сервер. Необходимо чтобы они тоже могли использовать прокси-сервер.
Прокси без графического интерфейса. Никаких запретов там не ставил, настраивал через Yast.

Настройки интерфейсов:
eth0(внешка) Ip: 10.116.9.2 Mask: 255.255.255.240
eth1(внутренняя) Ip: 10.42.119.197 Mask: 255.255.248.0
Default Gateway: 10.116.9.1

Если дефолтный шлюз поменять на 10.42.119.254, то другие территории начинают видеть прокси-сервер, но он перестает получать интернет.
Пробовал:

route add -net 10.42.0.0 netmask 255.255.248.0 gw 10.42.119.254
route add -net 10.116.9.0 netmask 255.255.255.240 gw 10.116.9.1

Вот что выдает команда ./route

linux-bj14:/sbin # ./route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.116.9.0      *               255.255.255.240 U     0      0        0 eth0
10.42.0.0       10.42.119.254   255.255.248.0   UG    0      0        0 eth1
10.42.0.0       *               255.255.240.0   U     0      0        0 eth0
link-local      *               255.255.0.0     U     0      0        0 eth0
loopback        *               255.0.0.0       U     0      0        0 lo
default         10.116.9.1      0.0.0.0         UG    0      0        0 eth0

Но результат тот же,либо нет интернета, либо территории не видят. Помогите пожалуйста грамотно настроить интерфейсы, чтобы и интернет был у всех и прокси-сервер чтобы все видели.

route add -net 10.42.0.0 netmask 255.255.248.0 gw 10.42.119.254
route add -net 10.116.9.0 netmask 255.255.255.240 gw 10.116.9.1

Включен фаервол?Тогда он рубит пакеты туда,он об этих сетях ничего не знает.Правьте руками /etc/sysconfig/SuSEfirewall2.

Что-типа FW_FORWARD="10.0.0.0/8"

Bars1975 написал:

Включен фаервол?Тогда он рубит пакеты туда,он об этих сетях ничего не знает.Правьте руками /etc/sysconfig/SuSEfirewall2.

Что-типа FW_FORWARD="10.0.0.0/8"

отключил фаерволл, все равно пакеты не пошли. добавил вашу запись в файл, изменений не произошло =(

Darktime,
Ну раз отключили фаервол,то есть чудесная команда traceroute.Используйте её для диагностики,как вы настроили маршрутизацию.Идите по всей цкпочке и проверяйте.Вашей информации мало,чтобы точно сказать в чём дело.

linux-bj14:/etc/sysconfig # traceroute 10.42.99.5
traceroute to 10.42.99.5 (10.42.99.5), 30 hops max, 40 byte packets using UDP
 1  10.116.9.1 (10.116.9.1)  0.798 ms   0.578 ms   0.648 ms
 2  10.100.0.190 (10.100.0.190)  0.645 ms   0.637 ms   0.662 ms
 3  10.100.102.50 (10.100.102.50)  0.907 ms   1.063 ms   0.640 ms
 4  95-181-0-65.goodline.info (95.181.0.65)  0.653 ms   0.786 ms   0.638 ms
 5  95-181-0-66.goodline.info (95.181.0.66)  0.919 ms   0.844 ms   0.670 ms
 6  * * *
 7  * * *
 8  * * *
 9  * * *
10  * * *

Как я понимаю, он пытается вылезти через внешку на другие территории. А нужно чтобы он лез через внутреннюю сеть, чтобы бежал искать на 10.42.119.254, а не 10.116.9.1

Darktime
Несколько раз перечитал сообщение не пойму, что Вы имеете ввиду oO Вот смотрите, у Вас есть прокся (Suse) -так, есть парк машин, которые висят на роутере, который, в свою очередь подключен к сетевой прокси, а вторая сетевая имеет выход в интернет- верно??? Если я прав, Вам всего то нужно настроить одну сетевую для подключение к интернет (что вы сделали), а вторую использовать для внутренней сети. Рекомендую использовать SQUID для этих целей, документации валом по этому http://phpsuxx.blogspot.com/2007/08/squid-opensuse-102.html или вот http://www.opennet.ru/base/net/squid_inst.txt.html Всё просто расписано. Потом просто установить роут между сетевыми. Ну и следственно указать на машинах адрес прокси для работы. wink

Вот ещё интересная статейка, но Вам из неё понадобится процентов 30, так как там идёт вообще наиполнейшее описание процессов с использованием более глубоких настроек, как аунтификации, так и кеширования часто посещаемых ресурсов http://wiki.rsu.edu.ru/index.php/%D0%9D%D0%B0%D1%81%D1%82%D1%80%D0%BE%D0%B9%D0%BA%D0%B0_proxy-%D1%81%D0%B5%D1%80%D0%B2%D0%B5%D1%80%D0%B0#.D0.9D.D0.B0.D1.81.D1.82.D1.80.D0.BE.D0.B9.D0.BA.D0.B0_squid.conf

Darktime
Вопрос- мотивируйте пожалуйста, как связан заголовок вопроса с самим вопросом? Отредактируйте пожалуйста.

squid включен.
попробую еще раз обрисовать ситуацию:

Есть парк машин в головном офисе, они все обьеденены сетью и впн, одна из машин (сервер со Suse) имеет 2 сетевые, одна настроенная на получение интернета, вторая на внутреннюю сеть. При такой ситуации, компьютеры которые находятся в головном офисе пингуют прокси-сервер и легко пользуются им.
Но есть еще территории, связь с которыми настроенна и легко можно к ним подключиться через впн и все они пингуются. Но есть проблема, территории не могут пинговать прокси-сервер и не могут его использовать.

С маршрутизацией на оборудованиях все нормально, т.к. если на прокси-сервере выставить шлюз по умолчанию внутренней сети, то территории сразу видят прокси-сервер, но в свою очередь он перестает получать интернет от провайдера тогда.

Прокси-сервер не является главным звеном в цепи сети, и через него просто проходит один из провайдеров.

Что значит установить роут между сетевыми?

P.S. Тему назвал так,потому что как мне кажется, проблема со шлюзами на машинке. Возможно название темы подобрал не совсем корректное, но если вы знаете более грамотное название проблемы, подскажите, переименую.

Darktime
Возникают встречные вопросы (не подумайте что я придираюсь, просто хочу полностью понять ситуацию)
- какую роль должен в этой сети должен выполнять Ваш прокси сервер по отношению к удалённым клиентам?
- На самом прокси сервере IP адрес предоставляемый провайдером маршрутизирован в глобальной сети или это внутренняя адресация провайдера?
- Смена шлюза по умолчанию, откуда Вы берёте 2 шлюза по умолчанию, точнее быть, откуда эти адреса? Может было бы проще воткнуть 3-ю сетевую и использовать её для удалённого парка машин и их сети? Сами подумайте это более правильно, У Вас появиться возможность разрулить Вашу путаницу со шлюзами и точно назначить права всем сетям. Ну не будем забегать вперёд, ответе на 3 вопроса в начале.

1. Другие машины просто должны иметь возможность использовать прокси сервер для доступа в интернет через браузер.
2. IP адрес предоставляемый провайдером это внутренняя адресация.
3. Первый шлюз 10.116.9.1 это шлюз провайдера для доступа к интернету. Второй шлюз 10.42.119.254 это шлюз внутренней сети головного офиса организации.

Если стоит первый шлюз, то прокси получает интернет, и офис может использовать прокси. Если стоит второй шлюз, то прокси не получает интернет, но зато его видят территории.
По идее должно было помочь прописывание дополнительного шлюза через route add -net 10.42.0.0 netmask 255.255.248.0 gw 10.42.119.254, но это почему то не помогло.

Если есть еще вопросы для разъяснения ситуации, то в меру своей образованости попытаюсь ответить

P.S. поставить 3 сетевую в сервер не получится, сервер в стойке и разрешения вскрывать его и что либо ставить не получится взять.

Darktime

Darktime написал:

1. Другие машины просто должны иметь возможность использовать прокси сервер для доступа в интернет через браузер.

Каким каналом соединены эти другие машины с проксёй? Что используется для связи между прокси сервером и удалёнными офисами?

Darktime написал:

2. IP адрес предоставляемый провайдером это внутренняя адресация.

Следовательно, этот адрес не может быть маршрутизирован в интернете. Отпадает возможность создания VPN и иже с ним подключений к удалённому офису.

Darktime написал:

3. Первый шлюз 10.116.9.1 это шлюз провайдера для доступа к интернету. Второй шлюз 10.42.119.254 это шлюз внутренней сети головного офиса организации.

Первый шлюз у Вас должен содержаться только в настройках провайдерской сетевой карты (куда у Вас подвешен провайдер). А вот второй шлюз, по логике вещей должен быть сам ПРОКСИ сервер, в данной ситуации для более простого разруливания, необходимо, что бы IP шлюза был IP прокси вашей, а по иному сказать, именно прокси должна выступить ШЛЮЗОМ по умолчанию для связи сетей, сразу отпадёт куча проблем.

Darktime написал:

Если стоит первый шлюз, то прокси получает интернет, и офис может использовать прокси. Если стоит второй шлюз, то прокси не получает интернет, но зато его видят территории.

Всё верно, смотрите- когда у Вас стоит первый шлюз, прокси сервер маршрутизируется на сеть провайдера и получает интернет, когда Вы меняете шлюз, прокси начинает посылать запросы во внутреннею Вашу сеть и следовательно там классифицироваться и становится видима для других машин, но не видит сеть провайдера.

По идее должно было помочь прописывание дополнительного шлюза через route add -net 10.42.0.0 netmask 255.255.248.0 gw 10.42.119.254, но это почему то не помогло.

Не вижу связи чем вам это должно было помочь. Вам просто нужно в прокси разграничить сети и назанчить проксю шлюзом по умолчанию, следовательно на машинах указать шлюзом по умолчанию IP прокси и порт который Вы указали в настройках squid, всё.

Прокся не является главным звеном в сети,это лишь хороший придаток к ней. Сеть устроенна была и без нее и интернет даже есть есть для некоторых (просто очень слабый), и было решено поставить еще один канал дополнительно и чтобы инет через проксю шел.

Описанный вами случай правильный и подойдет для сети которую создают, но в моем случае это не подойдет, т.к. сеть очень сложно устроенна. Связь между территориями осуществляется через каналы предоставляемые другим провайдером и через так называемое оборудование Dionis.
Просто сделать прокси-шлюз не вариант в моей сети, и отсюда вот вытекают проблемы данного рода.

Darktime
Так Вы и не выставите проксю главным звеном сети, она будет выступать главным звеном в получении интернета, а именно у Вас в сети может быть множество шлюзов. К примеру шлюз для сети оставьте старым (на клиентских компьютерах), а вот для интернета пусть используется шлюзом Ваш прокси.
Привожу пример, по Вашим настройкам:

Настройки интерфейсов:
eth0(внешка) Ip: 10.116.9.2 Mask: 255.255.255.240
Default Gateway: 10.116.9.1
eth1(внутренняя) Ip: 10.42.119.197 Mask: 255.255.248.0
Default Gateway: 10.42.119.254

Если расписать проще, Вы настраиваете каждую сетевую карту отдельно в yast. В squid Вы парируете уже интерфейсами, делая разрешение\запрет это есть по ссылкам, что я Вам привёл выше.

Сетевые так и настроенны у меня, только в яст основной шлюз один и не выбирается для какого интерфейса, и потому я там прописал шлюз провайдера.
Или где то отдельно можно прописать еще один шлюз для второй сетевой?

Ладно,попробую осилить ваши мануалы) Завтра-после завтра отпишусь о результате. Спасибо!

Как-то вот-так должно быть
[img]ftp://93.186.50.43/1.png[/img]

Darktime
Извиняюсь, что крокозябрами, у меня Putty так отображает, вот так должно всё быть.
http://yfrog.com/jvroutp
И потом, прописываете шлюзы по умолчанию, для каждого интерфейса wink

step_slim
Что значит шлюзы?!?!Шлюз должен быть только один и точка!

Bars1975
У Вас несколько интерфейсов (в данном случае 2) и возможность ввести для каждого интерфейса свой шлюз возможность есть, из моего скрина это видно.

step_slim,
Это не будет работать.Почитайте например вот это http://xgu.ru/wiki/%D0%94%D0%B2%D0%B0_%D1%88%D0%BB%D1%8E%D0%B7%D0%B0_%D0%B2_%D0%98%D0%BD%D1%82%D0%B5%D1%80%D0%BD%D0%B5%D1%82_%D0%B8_OpenVPN ,может вам станет понятно почему.

Bars1975
Вы сами то читали?
1. По условию у нас не 2 провайдера.
2. Никаких VPN нет.
3. Цитирую Вашу ссылку, по поводу не будет работать:

Таким образом, ответы должны уходить через тот интерфейс, на который они пришли. Соединения, инициированные с нашей стороны, если они привязаны к интерфейсу, должны уходить через шлюз, который доступен через этот интерфейс. Те соединения, которые к интерфейсу не привязаны должны уходить через маршрут по умолчанию.

4. Я не хочу разводить спор, но при данных условиях, которые у создателя топика, только такой вариант подходит, так как у него существует реально 2 шлюза - один от провайдера, второй его внутренеей сети, так же по условию менять топологию сети нельзя и делать шлюз из прокси то же нельзя. Так что бы пакеты маршрутизировались в его сетях - это вполне адекватный и работоспособный вариант. Не упускайте деталь того, что у ТК сеть построена на Dionis, я даже боюсь представить, что там в сети происходит, если верить ВИКИ касательно описания этого оборудования. Шлюзы будут работать, сети ведь разные и интерфейсы разные.

з.ы. И по Вашей ссылке приводится вариант постройки отказоустойчивой сети интернет. Повторюсь, условия не те.

Darktime написал:

Прокся не является главным звеном в сети,это лишь хороший придаток к ней. Сеть устроенна была и без нее и интернет даже есть есть для некоторых (просто очень слабый), и было решено поставить еще один канал дополнительно и чтобы инет через проксю шел.

Описанный вами случай правильный и подойдет для сети которую создают, но в моем случае это не подойдет, т.к. сеть очень сложно устроенна. Связь между территориями осуществляется через каналы предоставляемые другим провайдером и через так называемое оборудование Dionis.
Просто сделать прокси-шлюз не вариант в моей сети, и отсюда вот вытекают проблемы данного рода.

Если у Вас несколько подсетей (на различных территориях), то Вам нужно прописывать на прокси все подсети.