[risolto] Inconvenienti del SNAT

Dun · Last edited by Dun on Sun Nov 27, 2005 1:32 am; edited 1 time in total

Salve a tutti

Ho una connessione fastweb e quindi per servire servizi all'esterno utilizzo un serverino fornito in gentile concessione da un mio amico come ponte tra internet e il mio server. Questi due server (F = sotto fastweb) (IN = connesso direttamente ad internet) sono collegati tra di loro tramite un canale VPN realizzato con openvpn.

Per redirigere le chiamate alla porta 80 che arrivano a IN utilizzo sia una regola DNAT che inoltri tutto il traffico destinato alla porta 80 all'ip della connessione vpn, e un'altra regola che effettui il SNAT per queste connessioni che devono passare la vpn. Effettivamente senza quest'ultimo regola il server F rimanderebbe via connessione fastweb i pacchetti di risposta ai client che hanno fatto la richiesta http.

Dun · Posted: Mon Nov 21, 2005 4:04 am Post subject:

federico · Posted: Mon Nov 21, 2005 12:07 pm Post subject:

Quello che penso e' che tu hai bisogno di un po' di iproute2
I pacchetti vengono instradati dal server esterno a fastweb nella vpn, raggiungono il tuo server, e il tuo server risponde attraverso l'interfaccia connessa a fastweb e non attraverso la vpn, in questo modo la tua connessione va a farsi benedire.

Questo problema non e' presente da sempre in faastweb, ma solo dall'agosto dell'anno scorso, quando fastweb ha vietato lo spoofing delle connessioni. Ad ogni modo, siccome noi siamo piu' informatici di loro

potresti risolvere reinstradando correttamente i pacchetti all'interno della vpn.

Se ben ricordo (da ora in poi, che e' la parte che piu' ti interessa

) vado a memoria

devi mettere una riga dentro
/etc/iproute2/rt_tables
ad esempio
200 miorouting
e salvare.

Poi lancia due righe di iproute simili a queste:
ip rule add from $IP-TUO-SERVER-LOCALE-IN-VPN table miorouting
ip route add default via $IP-SERVER-ESTERNO-IN-VPN table miorouting

A questo punto tutto dovrebbe essere reinstradato all'interno della vpn stessa.

Ricorda che per fare questo nei kernel deve essere abilitato l'advanced router
Federico
_________________
Sideralis www.sideralis.org
Pic http://blackman.amicofigo.com/gallery
Arduino http://www.arduino.cc
Chi aveva potuto aveva spaccato
2000 pezzi buttati là
Molti saluti,qualche domanda
Semplice come musica punk

Dun · Posted: Mon Nov 21, 2005 6:10 pm Post subject:

Mmmm...quindi usare una route al posto di un source nat....devo provarci

Thx mille!

Dun · Posted: Mon Nov 21, 2005 6:42 pm Post subject:

Mmm...pero' a senso questo funzionerebbe solo con connessiopne tcp, giusto?

Alla fin fine se fossero pacchetti udp come potrebbe sapere il pc che i pacchetti provenienti da il_prog_x (in risposta ad una richiesta proveniente dalla vpn) devono essere instradati a loro volta per la vpn....giusto?

makoomba · Bodhisattva Joined: 03 Jun 2004 Posts: 1856

se la richiesta è diretta verso 172.16.1.20, la risposta avrà come origine il medesimo indirizzo
la route source-based impone che il traffico con ip sorgente 172.16.1.20 venga instradato verso la vpn

federico · Posted: Mon Nov 21, 2005 11:38 pm Post subject:

makoomba · Bodhisattva Joined: 03 Jun 2004 Posts: 1856

federico · Posted: Tue Nov 22, 2005 4:11 pm Post subject:

Dun · Posted: Thu Nov 24, 2005 3:50 am Post subject:

makoomba · Bodhisattva Joined: 03 Jun 2004 Posts: 1856

no, la nuova tabella di routing viene utilizzata solo per la vpn.
il pc continua ad utilizzare fw per tutto il resto.

Dun · Posted: Thu Nov 24, 2005 11:46 pm Post subject:

federico · Posted: Thu Nov 24, 2005 11:51 pm Post subject:

La route di default per la vpn in questione si intende, e piu' specificatamente per quella tabella di routing, hai provato i comandi? Ho copiato quelli che uso io qui, non possono non andare

Federico
_________________
Sideralis www.sideralis.org
Pic http://blackman.amicofigo.com/gallery
Arduino http://www.arduino.cc
Chi aveva potuto aveva spaccato
2000 pezzi buttati là
Molti saluti,qualche domanda
Semplice come musica punk

Dun · Posted: Fri Nov 25, 2005 12:32 am Post subject:

federico · Posted: Fri Nov 25, 2005 9:28 am Post subject:

Si grazie, con qualche output dovremmo vedere qualcosa meglio.
ip rule, se lo lanci, va?
Fede
_________________
Sideralis www.sideralis.org
Pic http://blackman.amicofigo.com/gallery
Arduino http://www.arduino.cc
Chi aveva potuto aveva spaccato
2000 pezzi buttati là
Molti saluti,qualche domanda
Semplice come musica punk

Dun · Posted: Sat Nov 26, 2005 1:22 am Post subject:

makoomba · Bodhisattva Joined: 03 Jun 2004 Posts: 1856

hai abilitato il policy routing nel kernel ?
_________________
When all else fails, read the instructions.

federico · Posted: Sat Nov 26, 2005 11:55 am Post subject:

Si e' proprio un deficit del tuo kernel, per quello ti avevo domandato di lanciare il comando
_________________
Sideralis www.sideralis.org
Pic http://blackman.amicofigo.com/gallery
Arduino http://www.arduino.cc
Chi aveva potuto aveva spaccato
2000 pezzi buttati là
Molti saluti,qualche domanda
Semplice come musica punk

Dun · Posted: Sun Nov 27, 2005 1:31 am Post subject:

Chiedo venia, avevate ragione

Grandisssimi! Grazie mille!

jar5 · n00b Joined: 19 Dec 2004 Posts: 40

Mi inserisco con una domanda che penso rigurdi il topic.

Ora con l'iproute2 tutto funziona senza bisogno dell'SNAT e il server fastweb (F) risponde correttamente alle richieste che gli arrivano dalla vpn.

Mettiamo ora il caso che il server F abbia bisogno di eseguire un particolare server che ha bisogno di comunicare la propria operatività ad un server centrale (es con ip 68.*.*.250 e quindi esterno alla rete fastweb), in questo modo il server F non ha modo di uscire all'esterno tramite la vpn ma solo di rispondere a delle richieste e quindi non può iniziare una nuova connessione.

un normale: