natd+mpd

Настройка сетевых служб, маршрутизации, фаерволлов. Проблемы с сетевым оборудованием.
Правила форума
Убедительная просьба юзать теги [code] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
ASP
рядовой
Сообщения: 12
Зарегистрирован: 2006-10-29 13:02:00

natd+mpd

Непрочитанное сообщение ASP » 2006-11-06 21:49:07

Здравствуйте!
Много интересных и полезных статей на сайте, которые сразу работают. Благодаря им настроил сервер, только осталась одна проблемка.
Есть сервер, с двумя сетевыми картами (одна для интернета, другая для локальной сети).
rl0 - 192.168.10.1/24 (внутрення сеть)
rl1 - 85.x.x.x/26 (провайдерская сеть)

Решил делать авторизацию пользователей через VPN (mpd) - соединение создается, клиент авторизуется и соединяется с сервером. Каждый клиент после соединения с vpn-сервером получает IP-адрес (192.168.100.xxx) и настройки сети (маску подсети и dns). Интернет работает наполовину, а именно - ping идет до любого узла в интернете, работает ftp, но аська не соединяется и не открываются страницы в браузере.
В ipfw всего 2 правила (и еще одно разрешающее все)

00100 divert 8668 ip from 192.168.100.0/24 to any out via rl1
00200 divert 8668 ip from any to 85.x.x.x in via rl1


Но если сделать NAT напрямую из внутрення сети без vpn, то тогда все сразу работает нормально (все сервисы интернета).

В чем может быть проблема?

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2460 рублей (8 CPU, 8Gb RAM, 2x500Gb HDD, RAID 3ware 9750):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35035
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Непрочитанное сообщение Alex Keda » 2006-11-06 22:24:20

странно...
если ftp работает - должно всё работать.
разреши установленные соедиенеия....
Убей их всех! Бог потом рассортирует...

ASP
рядовой
Сообщения: 12
Зарегистрирован: 2006-10-29 13:02:00

Непрочитанное сообщение ASP » 2006-11-06 22:44:15

00300 3550 612424 allow tcp from any to any established

не помогло

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35035
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Re: natd+mpd

Непрочитанное сообщение Alex Keda » 2006-11-06 23:47:18

дай ipfw show и ifconfig
P.S. есть такая волшебная кнопочка

Код: Выделить всё

, используй её, для повышения читабельности кода...
Убей их всех! Бог потом рассортирует...

ASP
рядовой
Сообщения: 12
Зарегистрирован: 2006-10-29 13:02:00

Непрочитанное сообщение ASP » 2006-11-07 8:08:41

Код: Выделить всё


servergate# more /etc/rc.firewall
#!/bin/sh -
ipfw='/sbin/ipfw '
LanOut="rl1"
LanIn="rl0"
IpOut="85.xx.xx.xx"
IpIn="192.168.10.1"
NetMask="24"

NetIn="192.168.10.0"

#vpn-network
NetInVPN="192.168.100.0"
NetMaskVPN="24"


${ipfw} -f flush

${ipfw} add check-state
${ipfw} add allow ip from any to any via lo0

${ipfw} add deny ip from any to 127.0.0.0/8
${ipfw} add deny ip from 127.0.0.0/8 to any


#NAT =========================

${ipfw} add divert natd ip from 192.168.100.0/24 to any out via ${LanOut}
${ipfw} add divert natd ip from 192.168.10.0/24 to any out via ${LanOut}
${ipfw} add divert natd ip from any to ${IpOut}  in via ${LanOut}

${ipfw} add  allow tcp from any to any established

=========================
rl0: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 192.168.10.1 netmask 0xffffff00 broadcast 192.168.10.255
        ether 00:e0:4c:16:0b:ba
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
rl1: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 85.xx.xx.xxnetmask 0xffffffc0 broadcast 85.xx.xx.xx
        ether 00:60:76:ba:ed:83
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
        inet 127.0.0.1 netmask 0xff000000
ng0: flags=8890<POINTOPOINT,NOARP,SIMPLEX,MULTICAST> mtu 1500
ng1: flags=8890<POINTOPOINT,NOARP,SIMPLEX,MULTICAST> mtu 1500
ng2: flags=8890<POINTOPOINT,NOARP,SIMPLEX,MULTICAST> mtu 1500

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35035
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Непрочитанное сообщение Alex Keda » 2006-11-07 8:11:39

ipfw show и more /etc/rc.firewall - это несколько разные команды, не находишь? :))
=====
и дай ifconfig с подключенным клиентом.
Убей их всех! Бог потом рассортирует...

ASP
рядовой
Сообщения: 12
Зарегистрирован: 2006-10-29 13:02:00

Непрочитанное сообщение ASP » 2006-11-07 8:29:31

Код: Выделить всё

00100   0     0 check-state
00200 192 11280 allow ip from any to any via lo0
00300   0     0 deny ip from any to 127.0.0.0/8
00400   0     0 deny ip from 127.0.0.0/8 to any
00500   0     0 deny icmp from any to any frag
00600   0     0 divert 8668 ip from 192.168.100.0/24 to any out via rl1
00700   0     0 divert 8668 ip from 192.168.10.0/24 to any out via rl1
00800   0     0 divert 8668 ip from any to 85.115.176.140 in via rl1
00900 614 57304 allow tcp from any to any established
01000  27  2504 allow ip from any to any via rl0
65535  26  2930 allow ip from any to any



rl0: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 192.168.10.1 netmask 0xffffff00 broadcast 192.168.10.255
        ether 00:e0:4c:16:0b:ba
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
rl1: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
        options=8<VLAN_MTU>
        inet 85.xx.xx.xx netmask 0xffffffc0 broadcast 85.xx.xx.xx
        ether 00:60:76:ba:ed:83
        media: Ethernet autoselect (100baseTX <full-duplex>)
        status: active
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
        inet 127.0.0.1 netmask 0xff000000
ng0: flags=8890<POINTOPOINT,NOARP,SIMPLEX,MULTICAST> mtu 1500
ng1: flags=88d1<UP,POINTOPOINT,RUNNING,NOARP,SIMPLEX,MULTICAST> mtu 1396
        inet 192.168.100.1 --> 192.168.100.11 netmask 0xffffffff
ng2: flags=8890<POINTOPOINT,NOARP,SIMPLEX,MULTICAST> mtu 1500

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35035
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Непрочитанное сообщение Alex Keda » 2006-11-07 8:32:53

а адрес 192.168.100.1 не должен висеть альясом на одном из интерфейсов?
А то какой-то он вообще напрочь виртуальный получился...
Убей их всех! Бог потом рассортирует...

ASP
рядовой
Сообщения: 12
Зарегистрирован: 2006-10-29 13:02:00

Непрочитанное сообщение ASP » 2006-11-07 16:49:03

аналогичная ситуация - повесил алиасом на внешний интерфейс, а потом наоборот - ничего не изменилось