forum.lissyara.su

Есть линуксовый шлюз с двумя интерфейсами: один в локалку, второй в дмз.
Днс сервер находится в дмз и клиенты ходят к нему через шлюз.
Поднял на шлюзе еще один днс сервер и хочу чтобы клиенты пользовались им, а не дмзшным.
Можно ли как-то завернуть на этот шлюз проходящий через него udp трафик на 53 порт?
Почитал про redirect:

REDIRECT может использоваться только в цепочках PREROUTING и OUTPUT таблицы nat.

А нат на этом шлюзе отсутствует за ненадобностью.
Есть идеи?

Нарисуй схему! А то я что то не вкурил из ходя из твоего описания!

Моя твоя не понимать. Давай с примерами ip адресов

Все просто:
Lan (192.168.0.0/24) -> GW (eht0 192.168.0.1, eth1 192.168.1.1) -> DNS (192.168.1.2)

Что надо получить?

Alex_hha писал(а):Что надо получить?

в первом посте писал что надо получить

дать клиентам адрес днса на шлюзе.
всякие редиректы - это все от лукавого.

в первом посте писал что надо получить

тогда сам разбирайся

$Alchemist писал(а):А нат на этом шлюзе отсутствует за ненадобностью.
Есть идеи?

Собрать ядро с поддержкой ната, если вы его до того заботливо вырезали за ненадобностью. Потому как ненадобность сменилась надобностью Редирект - это собссно и есть пользование NAT (network address translation однако).
Либо - как уже указывали, сделать по людски а не через ж...

paix писал(а):дать клиентам адрес днса на шлюзе.
всякие редиректы - это все от лукавого.

Согласен, так и нужно делать.
Но мне попалась сетка с 200 компами на статике
Потихоньку буду переводить на dhcp, но сейчас хочу заменить старый dns и нужен быстрый вариант "одним махом".

Alex_hha писал(а):

в первом посте писал что надо получить

тогда сам разбирайся

ну, пока от тебя 3 поста и все они ниачем - как-нибудь без тебя уж разбирусь

NiTr0 писал(а):

$Alchemist писал(а):А нат на этом шлюзе отсутствует за ненадобностью.
Есть идеи?

Собрать ядро с поддержкой ната, если вы его до того заботливо вырезали за ненадобностью. Потому как ненадобность сменилась надобностью Редирект - это собссно и есть пользование NAT (network address translation однако).
Либо - как уже указывали, сделать по людски а не через ж...

Это промежуточный шлюз + прокся.
Нат делает шлюз чуть по-выше.
Если сделаю на проксе нат - вся локалка полезет в дмз под одним ip, а у меня там на на серваках дмзшных свои правила для некоторых ip.
Хотя можно эти ip на проксе натить под другими адресами...
Чем больше пишешь - тем больше думаешь...

для начала настрой дшсп. Пусть все новые используют его.
со временем и сеть вся потихоньку переползет.

ну а насчет ната: например у меня такой проброс для джабера:

где 250 - виртуалка во внутренней сети с джабером, 254 - локальный адрес гейта.
этот проброс нужен для того, что существует днс имя публичного джабер сервера, и оно указывает на внешний айпишник роутера, для клиентов с наружи тоже есть соотвествующий проброс. А этот, чтобы у внутренних клинтов тоже работал джабер. Для днс должно быть аналогично.

ну, пока от тебя 3 поста и все они ниачем - как-нибудь без тебя уж разбирусь

когда научишься нормально выражаться, тогда и буду помогать. Удачи

Alex_hha писал(а):

ну, пока от тебя 3 поста и все они ниачем - как-нибудь без тебя уж разбирусь

когда научишься нормально выражаться, тогда и буду помогать. Удачи

Если тебе не понятно как я изначально выразился - значит ты нуб. Удачи

$Alchemist писал(а):Если сделаю на проксе нат....

Смешались в кучу кони, люди...
Почитайте LARTC, чтобы не путать собссно понятие NAT с понятием SNAT/маскарадинг.
Редирект портов - это и есть NAT. DNAT. И сделать редирект портов без ната - все равно, что посолить кашу без соли.
Уверен, после вдумчивого чтения LARTC таких вопросов возникать не будет.

Смешались в кучу кони, люди...
Почитайте LARTC, чтобы не путать собссно понятие NAT с понятием SNAT/маскарадинг.

ты чо, он очень ясно выразился

2 NiTr0
но iproute тут будет явно лишним, имхо. Кстати как и SNAT/DNAT. Это уже одевание штанов через голову

Alex_hha писал(а):но iproute тут будет явно лишним, имхо.

Таки да, с года 1.5 назад активно вникал в iptables + iproute, потому мануалы смешались в памяти... Вместо LARTC читать выше "iptables tutorial"

Alex_hha писал(а): Кстати как и SNAT/DNAT. Это уже одевание штанов через голову

По сути, redirect - разновидность DNAT. Только редиректится траф не на удаленный сервер, а на эту же машину на некий порт. И происходит все это ессно в цепочках nat, которые у топикстартера по неизвестным причинам вызывают страх.

По сути, redirect - разновидность DNAT. Только редиректится траф не на удаленный сервер, а на эту же машину на некий порт. И происходит все это ессно в цепочках nat, которые у топикстартера по неизвестным причинам вызывают страх.

это все понятно. Я лишь говорил о том, что не надо такого хотеть, а выдавать ДНС из основной сети