The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка  RSS
"Nat на одном интерфейсе"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение [Проследить за развитием треда]

"Nat на одном интерфейсе" 
Сообщение от meps emailИскать по авторуВ закладки on 29-Окт-05, 14:58  (MSK)
Привет всем!
Есть компьютер (FreeBSD5.3) один интерфейс, два апишника - один реальный, другой внутренний, настроен тунель (IPSec, Racoon). Шлюзы видят друг друга нормально. Теперь нужно чтоб компы с внутренней сети попадали в этот тунель. Прописываю маршрут к компу где настроен ВПН, на нем же поднимаю нат, tcpdump показывает что пакеты уходят нормально а обратно не приходят. Я вроде как слышал, что нат на одном интерфейсе не живет.
Подскажите что можно сделать.... Плиз
  Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

 Оглавление

Индекс форумов | Темы | Пред. тема | След. тема
Сообщения по теме

1. "Nat на одном интерфейсе" 
Сообщение от alish Искать по авторуВ закладки on 30-Окт-05, 00:18  (MSK)
а вот я слышал,что ipsec с нат без нат_травесал не живет :)
и вообще, подробнее распишите схему,а то не совсем понятно

>Привет всем!
>Есть компьютер (FreeBSD5.3) один интерфейс, два апишника - один реальный, другой внутренний,
>настроен тунель (IPSec, Racoon). Шлюзы видят друг друга нормально. Теперь нужно
>чтоб компы с внутренней сети попадали в этот тунель. Прописываю маршрут
>к компу где настроен ВПН, на нем же поднимаю нат, tcpdump
>показывает что пакеты уходят нормально а обратно не приходят. Я вроде
>как слышал, что нат на одном интерфейсе не живет.
>Подскажите что можно сделать.... Плиз


  Удалить Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

2. "Nat на одном интерфейсе" 
Сообщение от fisher emailИскать по авторуВ закладки(??) on 31-Окт-05, 15:14  (MSK)
>а вот я слышал,что ipsec с нат без нат_травесал не живет :)
>
>и вообще, подробнее распишите схему,а то не совсем понятно
есть шлюз FreeBSD5.2 (один интерфейс) внутренний айпишник 192.168.0.10 и внешний А.А.А.А (rl0)
настроен gif0 (IPSec racoon) 172.19.13.49
с самой фри все нормально пингается, если же с других машин в сети 0 таймаут.
на клиентских машинах прописал: route add 172.19.13.49 192.168.0.10
на фре поднят натд nat
/sbin/natd -n rl0
ipfw add 00001 divert 8665 ip from any to any


  Удалить Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх

3. "Nat на одном интерфейсе" 
Сообщение от dodger emailИскать по авторуВ закладки(ok) on 01-Ноя-05, 06:56  (MSK)
>есть шлюз FreeBSD5.2 (один интерфейс) внутренний айпишник 192.168.0.10 и внешний А.А.А.А (rl0)
>
>настроен gif0 (IPSec racoon) 172.19.13.49
>с самой фри все нормально пингается, если же с других машин в
>сети 0 таймаут.
>на клиентских машинах прописал: route add 172.19.13.49 192.168.0.10
>на фре поднят натд nat
>/sbin/natd -n rl0
>ipfw add 00001 divert 8665 ip from any to any

1. Если у клиентских компов "маршрут по умолчанию" показывает на фрю, то им никаких маршрутов прописывать руками не надо. Они все равно будут отправлять все пакеты на нее.

2. Nat легко работает, и не зависит от тунелей и их конфигурации.

3. Внутренний IP фрюхи можно легко использовать для локального конца туннеля. Например:
gif0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1280
        tunnel inet A.A.A.A --> ?.?.?.? (реальный_IP_адрес удаленного конца)
        inet 192.168.0.10 --> 192.168.1.1 netmask 0xffffffff

Обрати внимание на маску! IP 192.168.1.1 на "том" конце также пусть висит на внутреннем интерфейсе "той" фрюхи.
С точки зрения маршрутизации все путем. Нужно только на самих фрюхах добавить статические маршруты (для локальной в данном случае route add 192.168.1.0 192.168.1.1 255.255.255.0).

ЗЫ: C racoonом проблемы были. Потери пакетов при авт. смнене ключей. Мне пришлось от него отказаться в пользу постоянных ключей для IPsec вручную.

  Удалить Правка | Высказать мнение | Ответить | Рекомендовать в FAQ | Cообщить модератору | Наверх


Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ]
Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2023 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру