В нашей локалке есть два сегмента (условно): обычный (10.0.0.0/8) и DMZ (10.48.112.0/24). Всё контролируется всякими ASA/ISA к которым я не имею отношения, и которыми криво рулят виндовые сетевики.
В локалке 10.0.0.0/8 (интерфейс "em1") стоит сервак FreeBSD с jail. По обстоятельствам, возникла необходимость сделать ещё одну jail, которую волевым решением безопасников (
) заткнули в DMZ. При этом, новая jail должна была быть доступна из обычной локалки.Чтобы это сделать, на второй интерфейс сервака "em0" кинули кабель в DMZ и дали пару IP (10.48.112.18, 10.48.112.19) с разрешениями траффика по нужным портам из локалки и ответного в неё (по крайней мере, так утверждали сетевики). Получилась, в принципе, простая схема, которая, вроде бы, должна работать, но не заработала.
Траффик оказался односторонним: только из локалки в DMZ.
Код: Выделить всё
#tcpdump -n -i em0 'tcp[tcpflags] & tcp-syn != 0'
listening on em0, link-type EN10MB (Ethernet), capture size 96 bytes
11:42:24.979569 IP 10.48.34.75.49170 > 10.48.112.18.22: Flags [S], seq 2816365520, win 8192, options [mss 1380,nop,wscale 8,nop,nop,sackOK], length 0
11:42:27.976438 IP 10.48.34.75.49170 > 10.48.112.18.22: Flags [S], seq 2597498720, win 8192, options [mss 1380,nop,wscale 8,nop,nop,sackOK], length 0
11:42:33.982555 IP 10.48.34.75.49170 > 10.48.112.18.22: Flags [S], seq 3516789105, win 8192, options [mss 1380,nop,nop,sackOK], length 0Не заработал даже простейший вариант с назначением только IP 10.48.112.18 на "em0". Внутри DMZ коннекты на SSH проходили нормально, но из обычной локалки - ни в какую (см.выше).
Настройки такие:
Код: Выделить всё
#ifconfig
em0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
options=19b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,TSO4>
ether 00:1b:78:58:2c:c2
inet 10.48.112.18 netmask 0xffffff00 broadcast 10.48.112.255
media: Ethernet autoselect (1000baseT <full-duplex>)
status: active
em1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
options=19b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,TSO4>
ether 00:1b:78:58:2c:c3
inet 10.48.33.12 netmask 0xffffff00 broadcast 10.48.33.255
inet 10.48.33.13 netmask 0xffffffff broadcast 10.48.33.13
media: Ethernet autoselect (1000baseT <full-duplex>)
status: active
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> metric 0 mtu 16384
options=3<RXCSUM,TXCSUM>
inet6 fe80::1%lo0 prefixlen 64 scopeid 0x3
inet6 ::1 prefixlen 128
inet 127.0.0.1 netmask 0xff000000
#netstat -nr
Routing tables
Internet:
Destination Gateway Flags Refs Use Netif Expire
default 10.48.33.1 UGS 12 12567 em1
10.48.33.0/24 link#2 U 0 34 em1
10.48.33.12 link#2 UHS 0 0 lo0
10.48.33.13 link#2 UHS 0 2998 lo0 =>
10.48.33.13/32 link#2 U 0 0 em1
10.48.112.0/24 link#1 U 2 54 em0
10.48.112.18 link#1 UHS 0 0 lo0
127.0.0.1 link#3 UH 0 0 lo0
rc.conf
----------------
hostname="ns3"
ifconfig_em0="10.48.112.18 netmask 255.255.255.0"
#ifconfig_em0_alias0="inet 10.48.112.19 netmask 255.255.255.255"
ifconfig_em1="10.48.33.12 netmask 255.255.255.0"
ifconfig_em1_alias0="inet 10.48.33.13 netmask 255.255.255.255"
static_routes="net1"
#route_net1="-net 10.0.0.0/8 10.48.33.1"
route_net1="-net 10.48.112.0/24 10.48.112.1"
defaultrouter="10.48.33.1" #Пробовал менять дефолт на роутер DMZ 10.48.112.1 - не помогло.
gateway_enable="NO"
Просьба подсказать, я чего-то не понимаю в этой жизни или это всё-таки трабл из-за неправильных настроек сетевиков?
