форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение		[Проследить за развитием треда]

"два шлюза, ipfw, natd, вебсервер внутри"
Сообщение от Oppofan (??) on 22-Дек-05, 18:17  (MSK)
Приветствую всех. Виндовая сеть, два шлюза на FreeBSD 4.x один из них шлюз по умолчанию для сети. Вебсервер внутри сети. Через тот шлюз, который по умолчанию, прокинут порт внутрь на этот самый веб-сервер, всё работает без проблем, но появилась необходимость сделать такой же вход через второй шлюз... (раньше на нем работал только прокси тоже всё работало без проблем). natd & ipfw настроены аналогично.... проблема в том, что веб-сервер, судя по всему, пытается ответить на этот запрос через шлюз по умолчанию и, соответственно, коннект у клиента с сервером не устанавливается... Мои думки зашли в тупик... и закрадывается мысль - а вообще так можно сделать? Поможет ли перенос линков от обоих провайдеров на один системник, запустив на нем парочку натов на каждый из внешних интерфейсов? Или Фря не справится с такой задачей? Тогда кто? Линки по теме тоже приветствуются :-)
	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

Сообщения по теме

[Сортировка по времени, UBB]

1. "два шлюза, ipfw, natd, вебсервер внутри"
Сообщение от fa (??) on 22-Дек-05, 21:29  (MSK)
>Приветствую всех. >Виндовая сеть, два шлюза на FreeBSD 4.x один из них шлюз по >умолчанию для сети. Вебсервер внутри сети. Через тот шлюз, который по >умолчанию, прокинут порт внутрь на этот самый веб-сервер, всё работает без >проблем, но появилась необходимость сделать такой же вход через второй шлюз... >(раньше на нем работал только прокси тоже всё работало без проблем). >natd & ipfw настроены аналогично.... проблема в том, что веб-сервер, судя >по всему, пытается ответить на этот запрос через шлюз по умолчанию >и, соответственно, коннект у клиента с сервером не устанавливается... Попробуйте посмотреть tcpdump-ом, так ли это. Должно быть так, если веб-сервер и второй шлюз находятся в разных подсетях. Если адреса фейковые и проброс идет через нат, добавьте веб-серверу второй ip из той же подсети, что и второй шлюз. >Мои думки зашли в тупик... и закрадывается мысль - а вообще так >можно сделать? Поможет ли перенос линков от обоих провайдеров на один >системник, запустив на нем парочку натов на каждый из внешних интерфейсов? >Или Фря не справится с такой задачей? Тогда кто? >Линки по теме тоже приветствуются :-) Справится. У многих (у меня в том числе) 2 канала в инет. Работают 2 ната и трафик дивертится то на один, то на второй в зависимости от айпи пользователя. Наберите в поиске что-то типа "два канала в инет"
Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	2. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от Oppofan (??) on 22-Дек-05, 22:12  (MSK)
	>>natd & ipfw настроены аналогично.... проблема в том, что веб-сервер, судя >>по всему, пытается ответить на этот запрос через шлюз по умолчанию >>и, соответственно, коннект у клиента с сервером не устанавливается... >Попробуйте посмотреть tcpdump-ом, так ли это. Должно быть так, если веб-сервер и >второй шлюз находятся в разных подсетях. Если адреса фейковые и проброс >идет через нат, добавьте веб-серверу второй ip из той же подсети, >что и второй шлюз. по поводу tcpdump'a - никого знакомых снаружи нет - это до завтра, посмотрю обязательно (как сам не догадался...), но настроено одинаково - проблем быть не должно... внутри одна подсеть, так что это не то... >>Мои думки зашли в тупик... и закрадывается мысль - а вообще так >>можно сделать? Поможет ли перенос линков от обоих провайдеров на один >>системник, запустив на нем парочку натов на каждый из внешних интерфейсов? >>Или Фря не справится с такой задачей? Тогда кто? >>Линки по теме тоже приветствуются :-) >Справится. У многих (у меня в том числе) 2 канала в инет. >Работают 2 ната и трафик дивертится то на один, то на >второй в зависимости от айпи пользователя. Наберите в поиске что-то типа >"два канала в инет" Ага - изнутри выпустить наружу не проблема, это в курсе, а вот снаружи впустить внутрь! Суть такая, что у наших клиентов стоит наша (естественно :-)) программа, которая лезет на наш сайт. Задача стоит в том, чтобы при запросе на любой из внешних ip (снаружи подсети разные) ответ клиентом был получен... а сервер внутри. Если оба канала воткнуть в одну машину (как в общем то и планируется вскорости), а не как сейчас в разные, два ната на шлюзе с этим справятся, или ответ будет уходить всё равно по default_router для веб-сервера (напомню, что он внутри)?
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	3. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от Oppofan (??) on 23-Дек-05, 14:01  (MSK)
	Про обещаный tcpdump - так и есть - есть приходящие пакеты на внешнем интерфейсе второго шлюза, они же уходят с внутреннего внутрь сети, и вот оно! ответные пакеты идут через первый шлюз... который по умолчанию.... Если для веб-сервера установить шлюзом по умолчанию второй шлюз, работает... А хочется работать через любой...
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	4. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от Beginner (??) on 23-Дек-05, 14:29  (MSK)
	>Про обещаный tcpdump - так и есть - есть приходящие пакеты на >внешнем интерфейсе второго шлюза, они же уходят с внутреннего внутрь сети, >и вот оно! ответные пакеты идут через первый шлюз... который по >умолчанию.... >Если для веб-сервера установить шлюзом по умолчанию второй шлюз, работает... А хочется >работать через любой... У меня похожая ситуация: есть 2 сети у 2 провайдеров, у обих одинаковые адреса в сетях 10.х.х.х Я так и не придумал, как на одной машине управиться ( мне нужно было, чтоб мой скрипт лазил по обоим сетям, а сервер с результатами был один ). Сейчас так: на одной машине сервер, он смотрит на одного провайдера. Вторая машина смотрит на второго провайдера и соединена с первой по внутренней сети. Для второй машины в нейм сервере прописал адрес сайта как адрес первой машины во внутренней сети. На второй пробывал поставить web сервер и чтоб он запросы перенаправлял на первый. Пробывал так: Создал .htaccess такого содержания: RewriteEngine on Options +FollowSymlinks RewriteRule (.*) http://adress_1_servera/$1 [P] Все работало, за исключением одной штуки: когда в адресе появлялись адреса вида %DD%DA , то на сервре запрос приходил в виде что-то типа \xdd\xda (точно не помню). Побороть не мог. Потом сделал так: %cat /usr/local/etc/rc.d/ipf.sh #!/bin/sh if [ "x$1" = "x" -o "x$1" = "xstart" ]; then         echo " ipfilter start "         /sbin/kldload ipl         /sbin/ipnat -F -C -f /etc/ipnat.rules         /sbin/ipnat -l -v elif [ "x$1" = "xstop" ]; then         /sbin/kldunload ipl fi %cat /etc/ipnat.rules # rl0 - external # rl1 - internal map rl1 from 0/0 to internal_ip_1_mashiny/32 -> internal_ip_2_mashiny/32 rdr rl0 external_ip_2_mashiny/32 port 80 -> internal_ip_1_mashiny port 80 Все работет, только проблема - запросы на сервер приходят уже от второй машины, поэтому определить реальный ip пользователя не могу :( На всякий случай - у меня FreeBSD
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	5. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от fa (??) on 23-Дек-05, 15:14  (MSK)
	>Про обещаный tcpdump - так и есть - есть приходящие пакеты на >внешнем интерфейсе второго шлюза, они же уходят с внутреннего внутрь сети, >и вот оно! ответные пакеты идут через первый шлюз... который по >умолчанию.... >Если для веб-сервера установить шлюзом по умолчанию второй шлюз, работает... А хочется >работать через любой... Странно, конечно. Попробую за Вас схему сети нарисовать :-) 1.1.1.1-шлюз1-192.168.0.254\                              |свич|-192.168.0.1-webserver 2.2.2.2-шлюз2-192.168.0.253/ Так? При такой схеме пакеты полученные от 192.168.0.253 ну никак не должны уходить на 192.168.0.254. Скорей всего веб-сервер видит пакет, пришедший не от 192.168.0.253 а от машины в интернете. Возможно Вам поможет програмка datapipe (есть в портах). Установите на втором шлюзе.
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	6. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от Oppofan (??) on 23-Дек-05, 15:53  (MSK)
	>Странно, конечно. Попробую за Вас схему сети нарисовать :-) > > 1.1.1.1-шлюз1-192.168.0.254\ >             >           >      |свич|-192.168.0.1-webserver > 2.2.2.2-шлюз2-192.168.0.253/ > >Так? При такой схеме пакеты полученные от 192.168.0.253 ну никак не должны >уходить на 192.168.0.254. Скорей всего веб-сервер видит пакет, пришедший не от >192.168.0.253 а от машины в интернете. >Возможно Вам поможет програмка datapipe (есть в портах). Установите на втором шлюзе. > Опуская тонкости, именно так :-) вот только разве natd не должен, впуская пакет внутрь сети, подменять адрес отправителя своим? пока читаю ман, с моим знанием аглицкого и дневными пробежками по офису это сложно - жду вечера :-) #/etc/natd.conf same_ports yes use_sockets yes redirect_port tcp 192.168.0.1:80 80 #/etc/rc.conf gateway_enable="YES" router_enable="YES" firewall_enable="YES" natd_enable="yes" natd_interface="xl0" natd_flags="-f /etc/natd.conf" firewall_script="/etc/firewall.cnf" Вот примерно так... Может надо что в natd.conf подправить? :-)
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	7. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от fa (??) on 23-Дек-05, 16:14  (MSK)
	>Опуская тонкости, именно так :-) вот только разве natd не должен, впуская >пакет внутрь сети, подменять адрес отправителя своим? Должен или нет не скажу, но то что он этого не делает - это факт. Я как-то делал проброс порта для ssh. Так вот, в источником пакетов видна именно та машина, которая хочет соединиться с компом, а не мой шлюз с натом.
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	8. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от YuryD (??) on 23-Дек-05, 16:19  (MSK)
	>>Странно, конечно. Попробую за Вас схему сети нарисовать :-) >> >> 1.1.1.1-шлюз1-192.168.0.254\ >>             >>           >>      |свич|-192.168.0.1-webserver >> 2.2.2.2-шлюз2-192.168.0.253/ >>   как идет обращение к серверу - по имени ? тогда DNS1 должен выдать 1.1.1.1   а DNS 2-й сети должен выдать 2.2.2.2 , если же IP один и тот-же, то с маршрутизацией вам придется очень туго. Пакет идет на шлюз2 к IP 1.1.1.1 шлюз2 зная где 1.1.1.1 нормально его туда и завернет, как уж тут nat-у быть не знаю
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	9. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от Oppofan (??) on 25-Дек-05, 16:29  (MSK)
	Обращение идет по ip и они разные Второй айпи вообще безымянный, вернее к моему домену не привязан - ADSL зону держит провайдер на первом айпишнике Видать не судьба... А другой файрволл-нат, другая ось? неужто ни у кого нет похожей ситуации?
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	10. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от fa (??) on 26-Дек-05, 12:45  (MSK)
	>Обращение идет по ip и они разные >Второй айпи вообще безымянный, вернее к моему домену не привязан - ADSL > >зону держит провайдер на первом айпишнике >Видать не судьба... >А другой файрволл-нат, другая ось? неужто ни у кого нет похожей ситуации? > datapipe пробовали?
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	11. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от emercom on 26-Дек-05, 16:08  (MSK)
	может быть так получиться: сейчас, к примеру, вот так :                    - шлюз1 (192.168.0.254) IP провайдера1 веб (192.168.0.1)-                    - шлюз2 (192.168.0.253) IP провайдера2 добавляем 2-ю сетевую карту на веб сервер. и делаем, к примеру, вот так:                    - шлюз1 (192.168.0.254) IP провайдера1 веб (192.168.0.1)-     (192.168.1.1)-                    - шлюз2 (192.168.1.254) IP провайдера2 ну и естесно для сети 192.168.0.0 - шлюз по умолчанию 192.168.0.254, а для сети 192.168.1.0 - шлюз по умолчанию 192.168.1.254 мне кажется все должно получиться ))
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	12. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от YuryD (??) on 26-Дек-05, 16:30  (MSK)
	> ну и естесно для сети 192.168.0.0 - шлюз по умолчанию 192.168.0.254, >а для сети 192.168.1.0 - шлюз по умолчанию 192.168.1.254 Где бывают два шлюза по умолчанию ?
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	13. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от emercom on 26-Дек-05, 16:46  (MSK)
	>> ну и естесно для сети 192.168.0.0 - шлюз по умолчанию 192.168.0.254, >>а для сети 192.168.1.0 - шлюз по умолчанию 192.168.1.254 > > Где бывают два шлюза по умолчанию ? на каждом интефейсе будет свой шлюз
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

	14. "два шлюза, ipfw, natd, вебсервер внутри"
	Сообщение от Oppofan (??) on 27-Дек-05, 10:10  (MSK)
	>на каждом интефейсе будет свой шлюз Урррряяя!!! Заработало!!!! Всё гениальное просто.... добавил вторую сетевуху и вуаля! Спасибо, emercom!!! Веб сервер, в силу некоторых скриптов работает под виндой... там на каждый интерфейс дать свой шлюз без проблем Спасибо ещё раз!!!! Вы мне очень помогли :-)
	Удалить	Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ]