myth Posted March 23, 2016 (edited) Всем привет. Есть у нас 3 /24 сети реальных IP и 2 /24 серых. Приоритетно абонентам выдаются IP из белых диапазонов. Тем, кому реальных IP не хватило выдаются серые IP. Натятся они с помощью -j NETMAP на подсеть реальных ip. Плюс к этому - сервер с личным кабинетом так же висит за натом(на ip NAS). Можно ли как-то в этих условиях отказаться от трекинга соединений на белых подсетях? Сам уже всю голову поломал, адекватного решения не вижу. Edited March 23, 2016 by myth Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
kayot Posted March 23, 2016 Можно и нужно, для этого и нужен -j NOTRACK :) 80 порт трекаем(нужен для редиректа должников), остальное нет. Если нужно натить куда-то - аналогично accept трафик на этот IP и обратно. 8080 у меня порт куда редиректятся должники для заглушки. *raw # пускаем реальные адреса мимо системного трассировщика кроме 25 и 80 порта(нужен nat) -A PREROUTING -i ppp+ -s xx.xx.xx.xx/xx -p tcp --dport 80 -j ACCEPT -A PREROUTING -i ppp+ -s xx.xx.xx.xx/xx -j NOTRACK # то же с обратной стороны -A PREROUTING -i bond0.2 -d xx.xx.xx.xx/xx -s xx.xx.xx.19 -p tcp --sport 8080 -j ACCEPT -A PREROUTING -i bond0.2 -d xx.xx.xx.xx/xx -p tcp --sport 80 -j ACCEPT -A PREROUTING -i bond0.2 -d xx.xx.xx.xx/xx -j NOTRACK Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
myth Posted March 23, 2016 (edited) А как же -j NETMAP? Просто разрешить обмен пакетами между серой сетью и белой? bond0 в этом примере - интерфейс аплинка? Edited March 23, 2016 by myth Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
kayot Posted March 23, 2016 Ну да, если нужна видимость между клиентами - просто разрешить обмен. Netmap'у указать не натить сервые-белые. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
myth Posted March 23, 2016 Но я не хочу натить 300 клиентов на 1 ip Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
kayot Posted March 23, 2016 А кто-то заставляет? Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
myth Posted March 23, 2016 (edited) А кто-то заставляет? Netmap'у указать не натить сервые-белые. Это iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j NETMAP --to 62.xx.xx.0/24 ,которое сейчас и работает Edited March 23, 2016 by myth Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
g3fox Posted March 23, 2016 iptables -t raw -A PREROUTING -s my_white -d my_gray -j ACCEPT iptables -t raw -A PREROUTING -d my_white -s my_gray -j ACCEPT iptables -t raw -A PREROUTING -s my_gray -j ACCEPT iptables -t raw -A PREROUTING -s my_white -j NOTRACK так что ли? Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
kayot Posted March 23, 2016 Ну если между gray и white нужен NAT - то где-то так. Если не нужен(проще маршрутизацию сделать) - и того не нужно. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
myth Posted March 23, 2016 С исходящими соединениями разобрался, спасибо. Как быть с входящими? Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
kayot Posted March 23, 2016 Дык в первом посте, # то же с обратной стороны Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
myth Posted March 24, 2016 Тогда отваливается netmap на эти адреса Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
myth Posted March 24, 2016 (edited) Не работает так. Интернета за натом нет. Да и логику работы без контрака не очень представляю. Edited March 24, 2016 by myth Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
kayot Posted March 24, 2016 Погоди. Так тебе NAT надо делать или нет? Вроде разговор был про белые адреса. Если для них нужно NATить какой-то порт или одиночный IP - добавьте accept перед notrack что б этот трафик отслеживать. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
myth Posted March 24, 2016 (edited) Есть белые, есть серые. Нужно сделать notrack так, чтобы у серых все работало. Натится в серые посредством NETMAP в POSTROUTING с /24 маской. Edited March 24, 2016 by myth Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
kayot Posted March 24, 2016 А почему у серых неработает, если вы делаете notrack для белых? Что-то недоговариваете в схеме. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
myth Posted March 24, 2016 А почему у серых неработает, если вы делаете notrack для белых? Что-то недоговариваете в схеме. Ну блин, прочитай как NETMAP работает. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
kayot Posted March 24, 2016 Удачи. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
