Roteamento + NAT

[nataniel]

Pessoal,

Estou com um problema sério. Preciso resolver o mais breve possível.

O que acontece é que tenho um roteador que chega com um link de internet com IP 200.200.200.0/255.255.255.128. Deste roteador eu passo este link para um servidor (ns1) e divido essa rede que chega no roteador em duas, sendo que fica uma 200.200.200.0/26 e outra 200.200.200.64/26.

Fiz a rota no roteador dizendo que a segunda parte da rede deve usar como gateway o ip do servidor (ns1).

Nesse servidor (ns1) tenho uma segunda interface de rede que liga a outro servidor por um rádio (em modo bridge) e neste servidor eu tenho uma interface que recebe os dados do ns1 e manda para a segunda rede.

Ficaria assim:

router - 200.200.200.1 ==> ns1 - eth0 - 200.200.200.2

ns1 - eth1 - 192.168.0.1 ==> ns2 - eth0 - 192.168.0.2

ns2 - eth1 - 200.200.200.65

A eth0 do ns2 usa como gateway o IP do ns1 (eth1). E no NS1 coloquei uma rota assim:

route add -net 200.200.200.64/26 gw 192.168.0.2

Habilitei o ip_forward no sysctl.conf e simples não funcioona a rota! Nao consigo alcancar a rede no ns2!!! Nem mesmo pingar na placa eth1 do ns2. Consigo pingar na eth0 do ns2 a partir do ns1.

Se alghuem puder me dar uma luz eu agradeco.

Experimente fazer isso no ns2:

route add -net 200.200.200.64/26 gw 192.168.0.1

[nataniel]

Visitante,

Mesmo me parecendo uma sugestão estranha, eu tentei, deu o seguinte resultado:

[root@ns1 firewall]# /sbin/route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
172.20.0.160 0.0.0.0 255.255.255.248 U 0 0 0 eth1
172.20.0.152 172.20.0.164 255.255.255.248 UG 0 0 0 eth1
172.20.0.32 172.20.0.164 255.255.255.224 UG 0 0 0 eth1
172.20.0.0 172.20.0.161 255.255.255.224 UG 0 0 0 eth1
200.163.208.64 172.20.0.164 255.255.255.192 UG 0 0 0 eth1
200.163.208.0 0.0.0.0 255.255.255.192 U 0 0 0 eth0
192.168.100.0 172.20.0.164 255.255.255.0 UG 0 0 0 eth1
192.168.166.0 172.20.0.164 255.255.255.0 UG 0 0 0 eth1
192.168.167.0 172.20.0.164 255.255.255.0 UG 0 0 0 eth1
172.30.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth2
192.168.165.0 172.20.0.164 255.255.255.0 UG 0 0 0 eth1
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth2
0.0.0.0 200.163.208.1 0.0.0.0 UG 0 0 0 eth0
[root@ns1 firewall]# ping 172.20.0.1
PING 172.20.0.1 (172.20.0.1) 56(84) bytes of data.
64 bytes from 172.20.0.1: icmp_seq=0 ttl=64 time=5.20 ms

--- 172.20.0.1 ping statistics ---
2 packets transmitted, 1 received, 50% packet loss, time 1001ms
rtt min/avg/max/mdev = 5.202/5.202/5.202/0.000 ms, pipe 2
[root@ns1 firewall]# ping 172.20.0.1
PING 172.20.0.1 (172.20.0.1) 56(84) bytes of data.

--- 172.20.0.1 ping statistics ---
2 packets transmitted, 0 received, 100% packet loss, time 1009ms

[root@ns1 firewall]# ping 172.20.0.11
PING 172.20.0.11 (172.20.0.11) 56(84) bytes of data.
From 172.20.0.161 icmp_seq=2 Destination Host Unreachable
From 172.20.0.161 icmp_seq=5 Destination Host Unreachable
From 172.20.0.161 icmp_seq=6 Destination Host Unreachable

--- 172.20.0.11 ping statistics ---
7 packets transmitted, 0 received, +3 errors, 100% packet loss, time 6000ms
, pipe 3

Repare que deu 1 ping no primeiro teste e depois mais nada!

[lvs]

Crio q o comando q vc usou pra acrescentar a rota esteja errado ....
tente: #route add -net (ip da rede) (netmask) (gw) .
No seu caso: #route add -net 200.200.200.65 netmask 255.255.255.0
gw 192.168.0.2





Flw. :roll:

[bauer]

Pessoal,

Estou com um problema sério. Preciso resolver o mais breve possível.

O que acontece é que tenho um roteador que chega com um link de internet com IP 200.200.200.0/255.255.255.128. Deste roteador eu passo este link para um servidor (ns1) e divido essa rede que chega no roteador em duas, sendo que fica uma 200.200.200.0/26 e outra 200.200.200.64/26.

Fiz a rota no roteador dizendo que a segunda parte da rede deve usar como gateway o ip do servidor (ns1).

Nesse servidor (ns1) tenho uma segunda interface de rede que liga a outro servidor por um rádio (em modo bridge) e neste servidor eu tenho uma interface que recebe os dados do ns1 e manda para a segunda rede.

Ficaria assim:

router - 200.200.200.1 ==> ns1 - eth0 - 200.200.200.2

ns1 - eth1 - 192.168.0.1 ==> ns2 - eth0 - 192.168.0.2

ns2 - eth1 - 200.200.200.65

A eth0 do ns2 usa como gateway o IP do ns1 (eth1). E no NS1 coloquei uma rota assim:

route add -net 200.200.200.64/26 gw 192.168.0.2

Habilitei o ip_forward no sysctl.conf e simples não funcioona a rota! Nao consigo alcancar a rede no ns2!!! Nem mesmo pingar na placa eth1 do ns2. Consigo pingar na eth0 do ns2 a partir do ns1.

Se alghuem puder me dar uma luz eu agradeco.

Ola,

na sua regra esqueceu de especipicar por qual interface vais "passar" esta subrede.. tente abaixo como exemplo:

route add -net 200.200.200.64 netmask 200.200.200.192 gw 192.168.0.2 dev eth1

t+

[nataniel]

Luiz,

Fiz como você falou e deu na mesma:

[root@ns1 firewall]# /sbin/route add -net 172.20.0.0/27 gw 172.20.0.164 dev eth1
[root@ns1 firewall]# /sbin/route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
172.20.0.160 0.0.0.0 255.255.255.248 U 0 0 0 eth1
172.20.0.0 172.20.0.164 255.255.255.224 UG 0 0 0 eth1
200.163.208.0 0.0.0.0 255.255.255.192 U 0 0 0 eth0
172.30.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth2
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth1
0.0.0.0 200.163.208.1 0.0.0.0 UG 0 0 0 eth0
[root@ns1 firewall]# ping 172.20.0.1
PING 172.20.0.1 (172.20.0.1) 56(84) bytes of data.

--- 172.20.0.1 ping statistics ---
3 packets transmitted, 0 received, 100% packet loss, time 1998ms

[root@ns1 firewall]#

[bauer]

Luiz,

Fiz como você falou e deu na mesma:

[root@ns1 firewall]# /sbin/route add -net 172.20.0.0/27 gw 172.20.0.164 dev eth1
[root@ns1 firewall]# /sbin/route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
172.20.0.160 0.0.0.0 255.255.255.248 U 0 0 0 eth1
172.20.0.0 172.20.0.164 255.255.255.224 UG 0 0 0 eth1
200.163.208.0 0.0.0.0 255.255.255.192 U 0 0 0 eth0
172.30.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth2
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth1
0.0.0.0 200.163.208.1 0.0.0.0 UG 0 0 0 eth0
[root@ns1 firewall]# ping 172.20.0.1
PING 172.20.0.1 (172.20.0.1) 56(84) bytes of data.

--- 172.20.0.1 ping statistics ---
3 packets transmitted, 0 received, 100% packet loss, time 1998ms

[root@ns1 firewall]#

então, sua rota ta criada...

agora configura um IP desta rede no seu NS2 e vai ter que pingar...

Verifica tbem o firewall...

t+

[nataniel]

Luiz,

Não pinga essa maldição! Sinceramente não sei mais o que fazer... Simplesmente não pinga.

Fiz um diagrama da minha rede para ficar mais fácil entender:

=== DIAGRAMA DA REDE CNETT ===

** NS1.CNETT.COM.BR **

eth0 -> 200.163.208.4/26

[box linux fedora core 3]

eth1 -> 172.20.0.161/29

|
| REDE
|

** NS2.CNETT.COM.BR **

eth0 -> 172.20.0.164/29 (GW 172.20.0.161)

[box linux fedora core 3]

eth1 -> 200.163.208.65/26 ---> CLIENTES
eth1:0 -> 192.168.167.1/24 ---> CLIENTES

eth2 -> 172.20.0.153/29

|
| REDE
|

** NS3.CNETT.COM.BR **

eth0 -> 172.20.0.156/29 (GW 172.20.0.153)

[box linux red hat 9]

eth1 -> 172.20.0.33/27
eth1:0 -> 192.168.100.1/24 ---> CLIENTES
eth1:1 -> 192.168.101.1/24 ---> CLIENTES

Agora aqui é vamos ao que estou intrigado. Eu ligado na rede 192.168.167.0 consigo alcançar a rede 192.168.100.0 numa boa. Quando estou ligado ao NS1 eu não alcanço estas redes, nem mesmo a eth1 do servidor NS2.

[pilantrox]

brother ,,,eh o seguinte ,,, to quebrando a kbeca aqui com um sistema que pode te ajudar a resolver seu problema ,,,,,, testa ai e me diz se vai fazer bagunca nas suas subnets ,mas acho q naum vai ,,,tah vamos lah a dica:
* no seu NS2 habilite esse modulo e adicione essa rota ,,,

echo "1" > /proc/sys/net/ipv4/conf/eth0/proxy_arp
echo "1" > /proc/sys/net/ipv4/conf/eth1/proxy_arp
route add -host 200.163.208.5 dev eth1

como vc falou que a eth0 do NS1 responde como gw da rede vai continuar assim , vc vai colocar em uma maquina estacao da NS2 o ip 200.163.208.5/255.255.255.192 q suponho q seja sua mascara e gw 200.163.208.4 q eh a eth0 do NS1, se funcionar apenas adiciona mais rotas na regra citada acima com cada ip q vc for colocar , o proxy_arp vai unir as subredes, tomara q naum bagunce tudo ,, se comecar dar conflitos de ips vamos voltar para as rotas, mas tenta ai q acho q vai dar certo ,,falowsssss,,,,,,,,,

Luiz,

Não pinga essa maldição! Sinceramente não sei mais o que fazer... Simplesmente não pinga.

Fiz um diagrama da minha rede para ficar mais fácil entender:

=== DIAGRAMA DA REDE CNETT ===

** NS1.CNETT.COM.BR **

eth0 -> 200.163.208.4/26

[box linux fedora core 3]

eth1 -> 172.20.0.161/29

|
| REDE
|

** NS2.CNETT.COM.BR **

eth0 -> 172.20.0.164/29 (GW 172.20.0.161)

[box linux fedora core 3]

eth1 -> 200.163.208.65/26 ---> CLIENTES
eth1:0 -> 192.168.167.1/24 ---> CLIENTES

eth2 -> 172.20.0.153/29

|
| REDE
|

** NS3.CNETT.COM.BR **

eth0 -> 172.20.0.156/29 (GW 172.20.0.153)

[box linux red hat 9]

eth1 -> 172.20.0.33/27
eth1:0 -> 192.168.100.1/24 ---> CLIENTES
eth1:1 -> 192.168.101.1/24 ---> CLIENTES

Agora aqui é vamos ao que estou intrigado. Eu ligado na rede 192.168.167.0 consigo alcançar a rede 192.168.100.0 numa boa. Quando estou ligado ao NS1 eu não alcanço estas redes, nem mesmo a eth1 do servidor NS2.

[nataniel]

Dae Everton,

Tudo bem? Eu sou de Laranjeiras do Sul. Vizinha da Fiqnet... Esses tempos eu tava pegando sinal de vocês aqui em Laranjeiras.

Então, fiz o teste e deu na mesma. Travou tudo o sistema e tive que reinicia sem as regras... hehehehe...

[pilantrox]

hehehe,,fala Nataniel, claro q lembro,, eu lembro quando vc conseguiu o fato de escaniar minha torre a 60 km com um relevo bem alterado ,,fiquei de kra ,,,,,,tenta escania agora brother ,,,to um pouco mais longe 2.600 km de laranjeiras do sul ,,,hehehehe mas ai ,,,eu jah tava imaginando q ele iria baguncar suas subnets,,,, vamos lah ,,,,,,, a linha da rota estava setando a eth1 na verdade temos q setar a eth0 q eh a placa q liga a rede com o NS1 , tenta
fazer assim :

echo "1" > /proc/sys/net/ipv4/conf/eth0/proxy_arp
echo "1" > /proc/sys/net/ipv4/conf/eth1/proxy_arp
route add -host 200.163.208.5 dev eth0

Dae Everton,

Tudo bem? Eu sou de Laranjeiras do Sul. Vizinha da Fiqnet... Esses tempos eu tava pegando sinal de vocês aqui em Laranjeiras.

Então, fiz o teste e deu na mesma. Travou tudo o sistema e tive que reinicia sem as regras... hehehehe...

[nosferatusmg]

e ai Nataniel blz BLZ..

seguinte, e como ta no seu roteador ????
a lan do roteador tambem ta com a mascara correta e as rotas tambem ???

[nosferatusmg]

Outra coisa que estava lembrando..
por acaso na rede 172.20.0.0 voce tem radios (APZINHA) no meio
se for radios edimax , senao ou ovislink, o roteamento nao funga,,, sei la porque, ja passei por isso....

[pilantrox]

quem te chamou aqui NENO,,,, iuahiuahuiauiahh,,,seja bem vindo a reuniao!!! isso eh se estiver falando com a pessoa q penso estar falando

Outra coisa que estava lembrando..
por acaso na rede 172.20.0.0 voce tem radios (APZINHA) no meio
se for radios edimax , senao ou ovislink, o roteamento nao funga,,, sei la porque, ja passei por isso....

[felco]

apesar de naum ter entendendi muito bem oque vc quer fazer eu notei que vc esta usando como gateway um IP privado pra uma subrede de IP valido... isso naum tem logica... acredito que antes de tudo vc deva usa IPs validos em redes de IPs validos...

[nataniel]

Outra coisa que estava lembrando..
por acaso na rede 172.20.0.0 voce tem radios (APZINHA) no meio
se for radios edimax , senao ou ovislink, o roteamento nao funga,,, sei la porque, ja passei por isso....

Nosferatu,

Têm rádio sim. É um enlace PTP com dois rádios Proxim AP2000 em modo WDS. Estavam antes com rádios Samsung SWL3300 e mudei para os Proxim para ter mais velocidade.

O pior é que to pensando em colocar duas DWL-2100AP para mudar para 802.11g (a distância é minima entre os pontos, 150 metros).

PS.: Joga Vampiro?

[nataniel]

apesar de naum ter entendendi muito bem oque vc quer fazer eu notei que vc esta usando como gateway um IP privado pra uma subrede de IP valido... isso naum tem logica... acredito que antes de tudo vc deva usa IPs validos em redes de IPs validos...

Realmente você não entendeu direito.

O que acontece é que tenho redes não roteáveis e uma rede roteável. E preciso fazer com que alguns clientes usem a rede roteável e outros a rede não roteável, manja?

Tudo isso passando por um gateway/firewall/dhcp/controle de banda que chamamos aqui de NS2 e que liga ao NS1 por um enlace de rádio com IPs de uma subnet inválida/não roteável (economia de IPs).

PS.: Quando digo não roteável me refiro ao fato de não poder rotear elas para a internet e não internamente.

[nataniel]

Então Everton,

Acho que vou testar antes com outro rádio. Faz total sentido o que o rapaz falou porque foi no dia que troquei os rádios que começaram os problemas... hehehehe... Agora vo tenta entender qual é a ligação entre os rádios e uma tabela de roteamento. Vou retirar todos os filtros dos dois rádios para ver no que dá.

hehehe,,fala Nataniel, claro q lembro,, eu lembro quando vc conseguiu o fato de escaniar minha torre a 60 km com um relevo bem alterado ,,fiquei de kra ,,,,,,tenta escania agora brother ,,,to um pouco mais longe 2.600 km de laranjeiras do sul ,,,hehehehe mas ai ,,,eu jah tava imaginando q ele iria baguncar suas subnets,,,, vamos lah ,,,,,,, a linha da rota estava setando a eth1 na verdade temos q setar a eth0 q eh a placa q liga a rede com o NS1 , tenta
fazer assim :

echo "1" > /proc/sys/net/ipv4/conf/eth0/proxy_arp
echo "1" > /proc/sys/net/ipv4/conf/eth1/proxy_arp
route add -host 200.163.208.5 dev eth0

[pilantrox]

Ok Nataniel ,,, posta os resultados ai depois pra gente blza..........um abraço.....

Então Everton,

Acho que vou testar antes com outro rádio. Faz total sentido o que o rapaz falou porque foi no dia que troquei os rádios que começaram os problemas... hehehehe... Agora vo tenta entender qual é a ligação entre os rádios e uma tabela de roteamento. Vou retirar todos os filtros dos dois rádios para ver no que dá.

hehehe,,fala Nataniel, claro q lembro,, eu lembro quando vc conseguiu o fato de escaniar minha torre a 60 km com um relevo bem alterado ,,fiquei de kra ,,,,,,tenta escania agora brother ,,,to um pouco mais longe 2.600 km de laranjeiras do sul ,,,hehehehe mas ai ,,,eu jah tava imaginando q ele iria baguncar suas subnets,,,, vamos lah ,,,,,,, a linha da rota estava setando a eth1 na verdade temos q setar a eth0 q eh a placa q liga a rede com o NS1 , tenta
fazer assim :

echo "1" > /proc/sys/net/ipv4/conf/eth0/proxy_arp
echo "1" > /proc/sys/net/ipv4/conf/eth1/proxy_arp
route add -host 200.163.208.5 dev eth0

[nataniel]

Nosferatu e Evertom,

FUNCIONA!

Hahahahahahaha... Realmente era alguma coisa nos APs. Vê se pode. Eu tava com dois AP2000 em modo WDS e não roteava. Coloquei dois "apzinhos" Edimax 7203APg e pronto... tudo funcionando perfeitamente!

Sinceramente eu não esperava, mas tá funcionando e fica como aprendizado.

Obrigado pela ajuda de todos!