[FEDORA] Routing e NAT tra 2 sottoreti, aiuto nella configurazione, grazie!!

[Remoz]

Ciao a tutti, sto trafficando con un server Fedora Core 6 che ho installato da zero (kernel 2.6.22.14-72). Questo server ha 4 porte di rete, 2 broadcom, 2 intel, tutte e 4 correttamente riconosciute. Al momento comunque me ne servono solo 2.
Questo server dovrebbe (oltre ad altri servizi) fungere anche da ROUTER, e poichè ho 2 sottoreti (192.168.0.0 e 192.168.1.0) vorrei metterle in comunicazione tra di loro, quindi che una cartella condivisa sulla rete .0.0 sia visibile anche ai computers della rete .1.0 passando attraverso questo "router".
Come devo configurare FC6 per far comunicare le 2 sottoreti tra di loro?
Ho googlato parecchio e ho trovato parecchie informazioni su come abilitare l'accesso ad internet da entrambe le sottoreti, ma non come entrare in una dall'altra e viceversa..
Eventualmente se è più semplice, posso farlo tramite webmin?

grazie in anticipo! Ciauz!

P.S. Buon 2008 a tutti!!!!

[linux_goblin]

dovrebbe essere semplice ...

configura una scheda come 192.168.0.x e l'altra come 192.168.1.x e abilita l' ipforwarding con un

echo "1" > /proc/sys/net/ipv4/ip_forward

ora le richieste da una rete all'altra possono passare da quel server.

manca solo un piccolo passo da fare: dire ai tuoi client che devono prima andare sul server e da lì possono vedere l'altra rete.

devi cioè impostare una route statica su tutti i client (lascio a te il compito di capire come anche in base al sistema operativo) che dice appunto che se la destinazione è la rete 0 devono passare dall'ip 1 del server e viceversa

questo presuppone che il server in questione non sia già un default gateway per la tua rete (se lo è funzionerà già tutto dopo aver abilitato il forwarding)

ciao,
Marco - Goblin

P.S. dimenticavo di dire che quel comando devi darlo ad ogni riavvio del server quindi puoi metterlo nel file /etc/init.d/rc.local

[Remoz]

Originariamente inviato da linux_goblin

dovrebbe essere semplice ...

configura una scheda come 192.168.0.x e l'altra come 192.168.1.x e abilita l' ipforwarding con un

echo "1" > /proc/sys/net/ipv4/ip_forward

ora le richieste da una rete all'altra possono passare da quel server.

manca solo un piccolo passo da fare: dire ai tuoi client che devono prima andare sul server e da lì possono vedere l'altra rete.

devi cioè impostare una route statica su tutti i client (lascio a te il compito di capire come anche in base al sistema operativo) che dice appunto che se la destinazione è la rete 0 devono passare dall'ip 1 del server e viceversa

questo presuppone che il server in questione non sia già un default gateway per la tua rete (se lo è funzionerà già tutto dopo aver abilitato il forwarding)

ciao,
Marco - Goblin

P.S. dimenticavo di dire che quel comando devi darlo ad ogni riavvio del server quindi puoi metterlo nel file /etc/init.d/rc.local

Grazie, sei un grande!! Ora provo poi ti dico se sono riuscito..
Nel caso in cui i client di una sottorete siano windows, do loro come gateway di riferimento l'ip del server che fa da router, giusto? E sarebbe, se io configuro eth0 su 192.168.0.100 e eth1 su 192.168.1.100 ad esempio... ai client windows della rete 192.168.1.0 do come gateway 192.168.1.100 e a quelli della 192.168.0.0 do gw=192.168.0.100 ?
Dopo aver fatto ciò, ad esempio è possibile pingare un pc di una sottorete da un pc dell'altra sottorete?

Grazie ancora!

[linux_goblin]

hai detto bene, gli dai come gateway l'indirizzo 192.168.0.100 per quelli nella rete 0 e 192.168.1.100 per quelli nella rete 1 e così si pingano

non hanno connessione ad internet vero?

perchè in questo caso mettere quel gateway ti crea problemi e devi risolvere con route statiche

ciao,
Marco - Goblin

[Remoz]

Originariamente inviato da linux_goblin

hai detto bene, gli dai come gateway l'indirizzo 192.168.0.100 per quelli nella rete 0 e 192.168.1.100 per quelli nella rete 1 e così si pingano

non hanno connessione ad internet vero?

perchè in questo caso mettere quel gateway ti crea problemi e devi risolvere con route statiche

ciao,
Marco - Goblin

Solo una delle 2 sottoreti deve avere accesso ad internet (e già ce l'ha prima di queste operazioni..) quindi se io do a questi pc come gw l'ip del server che fa da router tra le 2 reti locali, poi non vanno più su internet.. ma io posso dire a questo server che fa da gw, che se i pacchetti sono indirizzati a un indirizzo non locale, di girarli a loro volta all'attuale gw WAN, giusto? Come? Devo fare un routing?

[Remoz]

Azzzz, non sono riuscito a pingare... ti spiego:
su FC6 ho disattivato firewall e SE, ho configurato:

-----------------------------------------------
su serverFC6 (router):
A eth1 192.168.1.100
B eth2 192.168.0.95 (era già così, l'ho lasciato..)
-----------------------------------------------

poi ho altri 2 pc:
-----------------------------------------------
C winxp 192.168.1.11 (GW=192.168.1.100)
-----------------------------------------------
D serverFC4 192.168.0.1
-----------------------------------------------

tutti sono connessi tramite lo stesso switch 10/100.
Ho dato il comando echo "1" > /proc/sys/net/ipv4/ip_forward a FC6 e ho provato qualche ping...

C pinga A
A pinga C
B pinga D
D pinga B

e fin qui ok, ovvio... ma:

C pinga B
ma C NON pinga D...

dove ho toppato?

[linux_goblin]

nelle tabelle di routing
mi spiego meglio:
c->a sono sulla stessa rete
a->c sono sulla stessa rete
b->d sono sulla stessa rete
d->b sono sulla stessa rete

e funzionano.

c->b funziona perchè il "pc router" sa che può rispondere sulla 192.168.1.100 (anche se l'hai interpellato sulla 192.168.0.95) perchè la chiamata viene da 192.168.1.11

ora devi dire a "c" che può vedere "d" attraverso "b" con il comando route (di XP)
su C
route add 192.168.0.0 mask 255.255.255.0 192.168.1.100
(al riavvio va persa quindi puoi rendere permanente la route su XP con il flag -p)

per fare in modo che "d" riesca a rispondere dovrà sapere il percorso e cioè
su D
route add -net 192.168.1.0 gw 192.168.0.95
(al riavvio va persa quindi devi metterla in /etc/rc.d/rc.local)

ora i due si pingano



ciao,
Marco

[linux_goblin]

Solo una delle 2 sottoreti deve avere accesso ad internet (e già ce l'ha prima di queste operazioni..) quindi se io do a questi pc come gw l'ip del server che fa da router tra le 2 reti locali, poi non vanno più su internet.. ma io posso dire a questo server che fa da gw, che se i pacchetti sono indirizzati a un indirizzo non locale, di girarli a loro volta all'attuale gw WAN, giusto? Come? Devo fare un routing?

io non metterei mano al gateway perchè così facendo poi dovresti dire al "pc router" di andare su internet al posto dei pc client (che ti metterebbe nelle condizioni di bloccare tutto se si spegne il "pc router")

lasciando il gw che già hanno i client della rete che devono navigare (come già fanno mi stai dicendo) aggiungerei delle route (vie di collegamento) che gli dicono soltanto come raggiungere l'altra rete.

nota bene: non essendo un default gateway i pc che sono nella rete che non naviga non navigheranno neanche dopo che tu hai aggiunto il "pc router" come credo tu sia interessato a fare... ma si vedranno l'un l'altro come a te serve

[Remoz]

Ah, ecco, ora mi sembra tutto più chiaro! Sei stato chiarissimo, domattina provo a dargli le route anche a XP e all'altro server 192.168.0.3 così vedo se ho capito bene
Pensa che nemmeno sapevo l'esistenza del comando ROUTE in XP!!!

Grazie ancora, a domani!! Ciau!!

[Remoz]

Grandissimo linux_goblin!! Sono riuscito a pingare tra le 2 sottoreti, e ad accedere con successo ad uno xampp installato su una macchina virtuale presente in una sottorete, da un pc dell'altra sottorete! Fantastico!
Poi la sottorete che "contiene" anche il router ADSL WAN va su internet come prima, quelli dell'altra sottorete invece non vanno su internet, proprio come deve essere..
Per ora dovrei essere a posto!
Solo una cosa, se hai 2 minuti di tempo da farti rubare ancora, non è indispensabile, ma me la sono chiesta se eventualmente mi servisse in futuro in altre situazioni, se volessi far navigare anche i pc della sottorete che non contiene il router adsl, come dovrei fare? Perchè questi pc (windows xp) 192.168.1.0 se li imposto con GW=192.168.0.2 (indirizzo del router WAN) tramite la regola di ROUTE hanno tutto l'occorrente per raggiungere il router correttamente, ma da quel che ho capito, è il router WAN che non sa come raggiungere loro, giusto? Si tratta quindi di configurare il router WAN oppure c'è un altro modo?

Grazie ancora, sei stato chiaro e gentilissimo!

[linux_goblin]

se volessi far navigare anche i pc della sottorete che non contiene il router adsl, come dovrei fare? Perchè questi pc (windows xp) 192.168.1.0 se li imposto con GW=192.168.0.2 (indirizzo del router WAN) tramite la regola di ROUTE hanno tutto l'occorrente per raggiungere il router correttamente, ma da quel che ho capito, è il router WAN che non sa come raggiungere loro, giusto? Si tratta quindi di configurare il router WAN oppure c'è un altro modo?

in linea di massima hai ragione tu (devi mettere mano al router WAN) ma io farei anche un tentativo in questo senso:
potresti mettere come default gw 192.168.1.100 (la macchina fedora router) e con il forward attivato dovrebbero navigare facendo da ponte su quella (comunque i pacchetti passerebbero di lì in ogni caso)
controlla che: sull'interfaccia 192.168.1.100 non ci sia nessun gateway impostato ma che viceversa ci sia il giusto gateway sulla 192.168.0.95

ripeto non sono sicuro che funzioni ma tentar non nuoce.

sono contento di esserti stato utile, è nello spirito dell'open source aiutarsi a risolvere i problemi ! è per questo che linux si diffonde sempre di più.

ciao,
Marco - Goblin

[Remoz]

Originariamente inviato da linux_goblin

in linea di massima hai ragione tu (devi mettere mano al router WAN) ma io farei anche un tentativo in questo senso:
potresti mettere come default gw 192.168.1.100 (la macchina fedora router) e con il forward attivato dovrebbero navigare facendo da ponte su quella (comunque i pacchetti passerebbero di lì in ogni caso)
controlla che: sull'interfaccia 192.168.1.100 non ci sia nessun gateway impostato ma che viceversa ci sia il giusto gateway sulla 192.168.0.95

ripeto non sono sicuro che funzioni ma tentar non nuoce.

sono contento di esserti stato utile, è nello spirito dell'open source aiutarsi a risolvere i problemi ! è per questo che linux si diffonde sempre di più.

ciao,
Marco - Goblin

Funziona tutto!! sono riuscito anche a fare navigare le macchine della sottorete 192.168.1.0 perchè ho fatto una regola di router dentro il router WAN 3com, e gli ho detto come agli altri dove andare a trovare la sottorete 192.168.1.0... Grandissimo, grazie ancora!!

[Remoz]

Ehilà! Ripasso ancora in questo mio vecchio thread perchè mi servirebbe aggiungere una cosa, una richiesta sempre inerente questo argomento, e spero che linux_goblin sia ancora "in ascolto"...

Allora, sempre Fedora, questa volta FC8, ma non penso che cambi qualcosa, ho due ethernet eth0 e eth1, eth0 192.168.1.x, eth1 192.168.2.x.
Devo fare nat tra le due interfacce in modo che le due sottoreti comunichino tra di loro... In questo caso posso impostare come gateway predefinito sui computer l'ip di questo server, e quindi non dovrebbe essere necessario creare delle regole di routing sui vari pc. Detto questo, una sottorete conterrà tutti i pc, l'altra farà solo da "cuscinetto" tra il server FC8 (che farà solo da proxy e filtering) e l'attuale router/firewall ZyWall v2 che è già configurato per poter accedere dall'esterno su varie porte a vari servizi interni distribuiti su 2 server diversi dall'FC8.
Quindi, domandone: Se io inserisco tra la sottorete dei computers e lo ZyWall questo FC8 proxy/filtering creando anche la sottorete "cuscinetto" in modo che i pc non possano accedere a internet bypassando l'FC8 proxy, successivamente dall'esterno accederò ancora ai vari servizi che risiedono sugli altri 2 server?
O dovrò creare una regola di routing sullo ZyWall per dirgli dove trovare i server visto che di mezzo ce ne sarà un'altro?

Grazie ancora per le risposte eventuali!

Ciao

Roberto

[eclissi83]

Originariamente inviato da Remoz

Ehilà! Ripasso ancora in questo mio vecchio thread perchè mi servirebbe aggiungere una cosa, una richiesta sempre inerente questo argomento, e spero che linux_goblin sia ancora "in ascolto"...

Allora, sempre Fedora, questa volta FC8, ma non penso che cambi qualcosa, ho due ethernet eth0 e eth1, eth0 192.168.1.x, eth1 192.168.2.x.
Devo fare nat tra le due interfacce in modo che le due sottoreti comunichino tra di loro... In questo caso posso impostare come gateway predefinito sui computer l'ip di questo server, e quindi non dovrebbe essere necessario creare delle regole di routing sui vari pc. Detto questo, una sottorete conterrà tutti i pc, l'altra farà solo da "cuscinetto" tra il server FC8 (che farà solo da proxy e filtering) e l'attuale router/firewall ZyWall v2 che è già configurato per poter accedere dall'esterno su varie porte a vari servizi interni distribuiti su 2 server diversi dall'FC8.
Quindi, domandone: Se io inserisco tra la sottorete dei computers e lo ZyWall questo FC8 proxy/filtering creando anche la sottorete "cuscinetto" in modo che i pc non possano accedere a internet bypassando l'FC8 proxy, successivamente dall'esterno accederò ancora ai vari servizi che risiedono sugli altri 2 server?
O dovrò creare una regola di routing sullo ZyWall per dirgli dove trovare i server visto che di mezzo ce ne sarà un'altro?

Grazie ancora per le risposte eventuali!

Ciao

Roberto

Cerco di riassumere la tua situazione e correggimi se sbaglio:
i client accedono ad internet attraverso un server con un proxy, mentre i servizi esposti all'esterno sono in una specie di DMZ creata dal Router/Firewall su un'altra sottorete.
Ora quello che non ho capito e' se tu vuoi far accedere dall'interno ai servizi che sono esposti oppure no.
Nel primo caso, considerato che non hai piu' la macchina gnu/linux a fare da router, devi impostare lo ZyWall affinche' faccia il forwarding tra le due sottoreti.
Pero' mi sa che facendo cosi' si abbassa il livello della sicurezza della rete: non vorrei sbagliarmi, ma nel caso in cui una macchina esposta su Internet venga compromessa, sarebbe possibile accedere anche al resto della rete e quindi tentare di compromettere le altre macchine.
Credo, e correggetemi ancora se sbaglio, che se invece venissero usate delle rotte statiche dei client verso le macchine con i servizi, il problema non dovrebbe essere cosi' rilevante.

Ovviamente, se invece parliamo del caso 2 di cui sopra, basta accedere ai servizi pubblicati dall'esterno.

my 2 cents