lacost Posted August 9, 2010 Posted August 9, 2010 Есть 2 linux-маршрутизатора, 3 аплинка, BGP. Пакет уходит в интернет через один из маршрутизаторов, а возвращается через другой, доходит до машины-отправителя, но по каким-то причинам отбрасывается. На маршрутизаторах - iptables и quagga. Есть предположение, что ip_conntrack маршрутизатора принимающего ответный пакет из интернета вносит какие-то изменения в заголовок пакета. Есть ли какие способы отключения трассировки соединений или только пересборка ядра? Или дело вовсе не в iptables? Вставить ник Quote
bokl Posted August 9, 2010 Posted August 9, 2010 Есть 2 linux-маршрутизатора, 3 аплинка, BGP. Пакет уходит в интернет через один из маршрутизаторов, а возвращается через другой, доходит до машины-отправителя, но по каким-то причинам отбрасывается. На маршрутизаторах - iptables и quagga. Есть предположение, что ip_conntrack маршрутизатора принимающего ответный пакет из интернета вносит какие-то изменения в заголовок пакета. Есть ли какие способы отключения трассировки соединений или только пересборка ядра? Или дело вовсе не в iptables? а ната нет нигде случаем? Вставить ник Quote
lacost Posted August 9, 2010 Author Posted August 9, 2010 Есть конечно, но не на этих маршрутизаторах, а в глубине сети. схема такая: Источник -> NAT -> BGP-роутер Но нат тут ни при чем. Пробывал то же самое проделать с NAT-сервера - картина та же самая. Пакет доходит, но игнорируется. ICMP проходит без проблем, а вот с tcp и udp - проблема. Вставить ник Quote
EvilShadow Posted August 9, 2010 Posted August 9, 2010 Оно не должно так работать, но всё же проверьте в sysctl.conf параметр rp_filter. Есть ли какие способы отключения трассировки соединений или только пересборка ядра?Цель NOTRACK в таблице raw в iptables. Вставить ник Quote
lacost Posted August 9, 2010 Author Posted August 9, 2010 rp_filter отключен. Он нужен для отслеживания различных интерфейсов в пределе одной машины, а тут получается что пакеты либо только уходят либо только приходят... Вставить ник Quote
lacost Posted August 9, 2010 Author Posted August 9, 2010 Цель NOTRACK в таблице raw в iptables. + iptables -A FORWARD -m state --state UNTRACKED -j ACCEPT решили проблему. EvilShadow, спасибо за наводку! Вставить ник Quote
UglyAdmin Posted August 10, 2010 Posted August 10, 2010 Как только не извратятся, лишь бы нормальное оборудование не покупать... Вставить ник Quote
.png.5d2afa2996cc6a85d0f2c09b92dd0a28.png)
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.