Re: gateway

[Matthias Houdek <linux@houdek.de>]

Am Sonntag, 6. März 2005 22:13 schrieb Robert Michel:
> Salve Matthias!
>
> Matthias Houdek schrieb am Samstag, den 05. März 2005 um 10:16h:
> > Wie? Du willst Router, deinen PC und das Notebook im Network
> > 192.168.1.0/24 haben?
> >
> > Das geht so nicht. Da dein PC in deiner Konstellation als Router
> > zwischen Notebook und Router fungiert, müssen an beiden Interfaces
> > deines PCs unterschiedliche Netze hängen - sonst klappt das nur mit
> > umständlichen und unsauberen Tricks (wenn überhaupt).
>
> Wieso unsaubern Tricks? 

Die klassische Funktion eines PCs mit zwei NICs ist, diesen damit in 
zwei verschiedene Netze einzubinden. Auf Wunsch kann der PC diese dann 
auch mit einander verbinden (routen). Das funktioniert immer und mit 
jedem NIC.

Alles andere sind Sonderfälle. Gut, der Begriff "unsauber" ist hier 
vielleicht ungünstig gegewählt - ich hätte ihn zumindest in "" setzen 
sollen. 
Bridging z.B. (wie in einer anderen Mail vorgeschlagen) macht man, wenn 
man entweder über den PC verschiedene Übertragungsmedien miteinander 
verbinden will oder eine Firewall-Funktionalität auf OSI-Layer 2 
ausweiten möchte. Möglich sind natürlich auch Host-Routen - halbwegs 
praktikabel aber für diesen Zweck auch nur in sehr kleinen Netzen.

> Klar ergibt dies kein so schönes Netzwerk, 
> aber wenn der Laptop sowohl hinter dem PC als auch vor dem PC genutzt
> werden soll - kann es praktisch von Nutzen sein, die IP nicht ändern
> zu müssen.

Dann funktionieren aber keine Host-Routen mehr.

> Mit Route gebe ich das Interface an über geroutet werden soll, z.B.
> eth0.

Ja, und auf welcher Grundlage? 

Richtig, die Auswahl der zutreffenden Route erfolgt über den Vergleich 
der Ziel-IP des Datenpaketes mit den Zieladressen der einzelnen Routen 
unterberücksichtigung der Masken (Prinzip: First Match). Da hier an 
beiden NICs das gleiche logische Netz hängt, müsste für jeden PC eine 
eigene Hostroute eingerichtet werden. Oder man subnettiert und teilt 
die IP-Adressen den Netzes 192.168.1.0/24 entsprechend auf - aber dann 
hat man doch wieder zwei getrennte logische Netze.

> > > auto eth0
> > > iface eth0 inet static
> > >     address 192.168.1.105
> > >     netmask 255.255.255.0
> > >     network 192.168.1.0
> > >     broadcast 192.168.1.255
> > >     gateway 192.168.1.1
> > >     # dns-* options are implemented by the resolvconf package, if
> > > installed dns-nameservers 192.168.1.1
> > >
> > > auto eth1
> > > iface eth1 inet static
> > >     # ? address 192.168.1.106
> > >     # ? netmask 255.255.255.0
> > >     # ? network 192.168.1.0
> > >     # ? broadcast 192.168.1.255
> > >     # ? gateway 192.168.1.105 ???
> >
> > Genau das geht nicht (siehe oben), da ein Rechner mit zwei NICs
> > immer die beiden dort angeschlossenen Netze physisch und damit auch
> > logisch trennt. Sie müssen also IPs auch verschiedenen Netzwerken
> > haben.
> >
> > Woher sollte dein PC sonst wissen, ob ein anderer Rechner mit der
> > 192.168.1.20 an eth0 oder eth1 hängt? Nach der Network-Adresse +
> > Maske kann er an jeder der beiden angeschlossen sein.
>
> Er will ja nur den einen Laptop an eth1 anschliessen, wenn dieser
> 192.168.1.4 hat kann man dies per route über eth1 routen.

Mit einer Host-Route, die _vor_ der Connected-Route des IF eth0 in der 
Routingtabelle steht - und nur damit.

> Ich denke der OP hat das Problem, das Linux nicht von alleine von
> eth0 nach eth1 routet - was sagt dem Rechner, das er auf eth0 noch
> andere Pakete als für 192.168.1.105 annehmen soll?

Der PC nimmt die Daten ja nicht entsprechend der IP an, sondern 
entsprechend der Ziel MAC des Frames. Erst danach wird die IP geprüft.

Ist das IP-Forwarding eingeschaltet und existiert eine Route, die auf 
die Ziel-IP des Paketes passt (und sei es die default-Route), wird das 
Paket auch entsprechend weiter verabreitet.

> AFAIK kann man doch Firewalls mit zwei NICs auch ganz ohne eigene IP
> betreiben, oder zumindest wenn man 3 PCs mit public IPs hat so, das
> die drei weiterhin von aussen wie vorher sichtbar sind und keine
> weitere öffenetliche IP verbraucht wird.

Ja, als Bridging-Firewall. Das hat auch mit public-IPs nichts zu tun, 
außer wenn man mit diesem System auch ins Internet will.

-- 
Gruß
                MaxX

Bitte beachten: Diese Mailadresse nimmt nur Listenmails entgegen.
Für PM bitte den Empfänger gegen den Namen in der Sig tauschen.