Re: Linux como router que no enruta
On Tuesday 23 November 2010 09:58:26 Juan Antonio wrote:
> El 22/11/10 10:05, Marc Olive escribió:
> > Buenas listeros,
> >
> > Si asigno esta ruta en el firewall-router, que todos tienen configurado
> > como puerta de enlace predeterminada, entonces desde el mismo
> > firewall-router puedo hacer pings a la red VPN, pero los otros
> > ordenadores de la red no.
> >
> > Si el firewall-router puede acceder a la red VPN, por que los demas
> > ordenadores que tienen ese firewall-router como puerta de enlace
> > (gateway) predeterminada no pueden?
> >
> > El firewall tambien hace snat para dar acceso a internet (sin problemas)
> > y redirige puertos hacia servicios que deben ser accesibles desde
> > internet (tambien sin problemas). Por si sirve de pista.
> >
> > Saludos y gracias,
>
> Hola,
>
> si no estas enmascarando el tráfico en el FW que va desde los clientes
> de esa red hacia la VPN, cuando este vuelve no se entrega al FW, si no
> directamente al cliente que envió la petición, IP descartará ese paquete
> porque no lo esperaba desde esa dirección, si no desde el FW.
>
> Tienes que hacer SNAT de ese tráfico igual que lo haces para internet,
>
> iptables -t nat -I POSTROUTING -d 10.10.0.0/16 -o ethX -j MASQUERADE
Hmm... no veo claro que deba hacer SNAT entre la red VPN y la estándard.
Según lo entiendo, ambas son redes distintas con distinto rango de IP y todas
las direcciones son válidas, deberia ser suficiente con encaminar (enrutar) los
paquetes adecuadamente.
NAT es necesario cuando una IP interna (192.168.0.1, típicamente) debe poder
acceder a servicios de internet, donde esa IP interna no es válida. Entonces
la IP interna se cambia por la IP asignada a internet al enviar los paquetes
(213.4.130.95, por ejemplo) y se restaura otra vez al recibir la respuesta.
No veo la necesidad de usar NAT teniendo dos redes con rangos IP distintos.
La configuració del firewall (que de momento protege poco), la puse en:
http://pastebin.ca/1994330
Hay una línea comentada, $IPTABLES -A FORWARD -i eth1 -o eth1 -j ACCEPT, que
ahora la tengo activa para permitir el reenvio/encaminamiento de paquetes
dentro de la red interna.
Pero si teneis razón malpensando del FW, tambien creo que el problema está
ahí...
> Un saludo.
Gracias,
--
Marc Olivé
Grup Blau
www.grupblau.com
Reply to: