UNIX router

sergleo · Отправлено: **19:59, 04-09-2003** | #2

Подробнее... какая система... что используется... - поможем чем сможем...

Diesel · Отправлено: **21:25, 04-09-2003** | #3

Локальная сеть - все под Мастдаем:-( Причем используется ВИНС - наследие прежнего сисадмина. Также есть контроллер домена под НТ4.0 Стоит задача - подключить три двухточечных соединения по телефонному Эзернет (карточки Дата Линк ДХН 520) к корпоративной сетке. пробовал повозиться с Самба, думал научу этот корявый винс работать через Юникс роутер - не тут то было. Теперь решил разрешить роутинг бродкаст и мультикаст пакетов - чтоб роутер совсем уж прозрачен был для ТСП и УДП. Но не знаю как.
Дистр Красная Шапочка 7.2 ядро 2.4.7-10 Интерфейс сети конфигурится по ДХСП, остальные - вручную. Испытываю пока на обычных Эзернетовских карточках. Маски подсетей разные - для локалки - 255.255.0.0, для двухточечных - 255.255.255.252
Запущен Роутед в режиме сервера. Форвардинг разрешаю так: echo 1 > /proc/sys/net/ipv4/ip_forward После этого могу пинговать тачки по разные стороны от маршрутизатора, и traceroute тоже нормально работает, но комп за роутером в сетевом окружении видит только себя. ВИНС сервер указал адресом из общей сети.

P.S. Причуды мастдайки еще можно понять, но почему у меня telnet w.x.y.z (по IP адресу) через маршрутизатор не работает - это уж совсем башню сносит! Странно при том что роутер должен быть прозрачен для всего что выше IP уровня - телнет же не юзает широковещательную рассылку. В общем, ужас!!!

И подскажите - если пинги и трайсроуты проходят - значит ли это что роутер JUST работает, или нет? А то я уж совсем не знаю, что и думать...

Добавлено:

Насчет телнета - не может быть так, что мастдайский телнет-клиент даже когда дан адрес, ВСЕ РАВНО пытается по адресу определить имя - и тут на арене вновь появляется винс?

DAnG · Отправлено: **05:49, 07-09-2003** | #4

Проверьте firewall, если с фильтрацией все нормально, то
tcpdump -n port 23 покажет как работает *telnet соединение.

P.S. Что мешает клиентам регистрироваться в wins? Без броадкастов все должно прекрасно работать.

[s]Исправлено: DAnG, 9:51 7-09-2003[/s]

Diesel · Отправлено: **18:48, 07-09-2003** | #5

Не знаю. Я в мастдайке по сетям вообще мало шарю:-( Просто я tcpdumpом смотрел - эти запросы все мультикаст, а когда не получается - броадкаст. Мультикаст можно разрешить, я вчера нашел файл соответствующий в /proc но заниматься этим не стал. Более удачный способ нашел - не маршрутизатор сделать, а мост:-) Оно работает прекрасно. Тем более что все тачки под одним административным контролем - так что это удобнее:-) Правда, успокоения совести ради когда еще был маршрутизатор, тачку за ним загрузил под Юниксом - телнет прекрасно работал:-) Это мастдайские глючные широковещательные протоколы, я думаю, но увы - исторически у нас WINS, а не DNS:-(

Добавлено:

А брандмауэра вообще никогда не было, зачем он на внутреннем маршрутизаторе?

Guest 80 247 100 · Отправлено: **06:47, 08-09-2003** | #6

Цитата:

Запущен Роутед в режиме сервера.

эээээ а какая надобность в routed -е?? чем обыкновенный route не устроил??

sergleo · Отправлено: **12:19, 08-09-2003** | #7

что характерно для RHL
1. в /etc/sysctl.conf добавь net.ipv4.ip_forward=1 поставь чтоб каждый раз не бодаться с "echo 1 > /proc/sys/net/ipv4/ip_forward" при перезагрузке...
2. *Брандмаур по умолчанию в RHL настраивается на основе ipchains или iptables, для 7.2 это ipchains, почитай *книгу "Брандмауры в Linux - Роберта Л. Зиглера" поможет, основные правила записываются в /etc/sysconfig/ipchains например для широковещательных пакетов:
-A input -i eth1 -s 0.0.0.0 -d 0.0.0.0 -j ACCEPT
-A input -i eth1 -s 255.255.255.255 -d 255.255.255.255 -j ACCEPT
тоже самое для output цепочек:
-A output -i eth1 -s 0.0.0.0 -d 0.0.0.0 -j ACCEPT
.... и тд
3. Необходимо с поможью ipchains также открыть порты 137-139(tcp/udp) *для нетбиоса, и 1512(tcp/udp) для wins
-A input -i eth1 -s any/0 -p tcp 137:139 -d any/0 137:139 -j ACCEPT
-A input -i eth1 -s any/0 -p udp 137:139 -d any/0 137:139 -j ACCEPT
и тд .... для 1512
тоже самое для output цепочек:
....
4. для роутинга /etc/sysconfig/static-routes добавь маршруты для сетей,например:
eth0 net default gw 192.168.1.1
eth1 net 192.168.1.0 netmask 0.0.0.0 gw 192.168.1.1
eth2 net 192.168.2.0 netmask 0.0.0.0 gw 192.168.2.1

PS надеюсь поможет...
PSS необходимо это написать для твоих корточек eth0 eth1 и тд. вместо any/0 - твоя внутреняя *сеть 192.168.1.0/24 например, хотя и так может работать... При этом ты должен учитывать, что это должно работать только во внутренней сети. Для внешней -j DENY ибо security упадет ниже некуда... вместо eth - можно ppp и тд. для корпоративной сети.
Что неясно пиши... Да возможны ошибки с ipchains, так как я работаю уже с iptables и немного подзабыл... так-что: man ipchains

[s]Исправлено: sergleo, 14:10 8-09-2003[/s]

Diesel · Отправлено: **20:08, 11-09-2003** | #8

Зачем брандмауэр для роутера внутри корпоративной сети? Я просто не запускаю ipchains || iptables, он же должен роутить все пакеты, как я понимаю? Насчет echo > ... спасибо, т.к. пришлось модифицировать скрипт /etc/init.d/network. Я читал, что для этого надо прописать в /etc/sysconfig/network IP_FORWARD=true, но оно не работало:-( Правда информация для RH6.2, вроде бы. С мультикастом тоже нашел, в /proc есть файл для этого, но как быть с броадкастом? Должен же быть способ роутить и их? Хотя и неправильно так делать, но поскольку машин за роутером только три, то можно. Я как-то в доках по Самбе читал, что виндовые протоколы и службы броадкаст юзают.