Problem mit IPTABLES - Firwall Einstellung

[frank_m24]

Hallo,

Dafür bin ich auch. Vom ROUTER1(192.168.0.22) müssen Pakete in zwei Subnetze und die kann man nicht mit 255.255.255.0 routen. Der geeigneter Routing-Befehl lautet:

route add -net 192.168.0.0/16 gw 192.168.10.1

:rosen: :dance: :groesste: :lach:

Jetzt hast du dich vollkommen ins Nirvana geschossen. Unter Einbeziehung der zu diesem Zeitpunkt bereits bekannten Tatsachen, gönne ich mir mal den Spaß, und nehme das auseinander:

• ROUTER1 hat die IP 192.168.0.1. Die 192.168.0.22 gehört zu ROUTER2.
• Warum sollte der Traffic von Subnetz3 -> Subnetz2 erst über ROUTER1 geroutet werden, wo doch ROUTER2 schon die Verbindung herstellen könnte? Das würde nur unnötige Netzlast erfordern, und wäre damit Unsinnig.
• Wie soll ROUTER1 das Gateway 192.168.10.1 finden? Er kennt die IP ja gar nicht, sondern nur die WAN IP von ROUTER2 an seinem Anschluss, die 192.168.0.22. Die müsste also als Gateway angegeben sein, wenn ROUTER2 vollwertig Routen würde.
• Durch die Subnetzmaske "/16" gibst du dem ROUTER1 eine Route für Pakete seines eigenen Subnetzes :!:. Das ist die Krönung schlechthin. Was soll er denn jetzt machen? Seine eigenen Netzwerkinterfaces bedienen? Ein Gateway benutzen (das er in diesem Fall gar nicht kennt)? Routen mit Gateways richtet man nur ein, wenn man ein Ziel erreichen will, das nicht über seine eigenen Netzwerkinterfaces abgedeckt ist.
• ROUTER2 ist ein NAT Router - er blockt alle Pakete, die auf sein WAN Interface prallen, der er keine ausgehende Verbindung oder eine gültige Portfreigabe zuordnen kann. Also alles, was per Routing von ROUTER1 auf ROUTER2 geschickt wird, würde geblockt.
• Weil ROUTER2 ein NAT Router ist, bekommt ROUTER1 Pakete aus den Subnetzen 192.168.10.0/24 und 192.168.11.0/24 nie zu sehen. Was soll er also mit einer Route für diese Subnetze?

Du hättest besser mal die Ratschläge von oben befolgt, und dich aus der Diskussion herausgehalten.

Viele Grüße

Frank

 

[RalfFriedl]

@klaus111
Es wäre gut, wenn Du Dir erstmal klar machst, wie Deine Konfiguration aussieht.
Außerdem wäre es nett, wenn Du sie auch komplett in einen einzelnen Beitrag herein schreibst, damit man sich nicht alles von verschiedenen Stellen zusammen suchen muß und es auch dort zum Teil nur erraten kann.
Einige Tips hierzu:
- Router und Bridge sind verschiedene Funktionen. Was ist bei Dir tatsächlich der Fall (aus Beitag 1, Router3-Bridge)?
- Eine IP-Adresse gehört nicht zu einem Gerät, sondern zu einem Netzwerk-Anschluß. Ein Router hat mehrere Netzwerk-Anschlüsse, folglich mehrere IP-Adressen. (Eine IP-Adresse gedanklich dem ganzen Gerät zuzuweisen kann man dann, wenn es sich um einen Rechner handelt, der nur einen Netzwerk-Anschluß hat.)
- Welche Kommunikationswege sollen möglich sein?
- Könntest Du die Konfiguration des Routers1 vom ISP bei Bedarf ändern oder nicht?

 

[britzelfix]

@frank_m24

Wenn Du so schlau bist, dann zeig klaus111
doch die Lösung. Du mußt über ein
Interface 2 Subnetze Routen, und da kommst
Du mit der Netzmaske 255.255.255.0 nicht weiter,
aber das habe ich schon so of gesagt.

Danke

EDIT: wie alt bist Du eigentlich, 15?

Gruß
britzelfix

 

[frank_m24]

Hallo,

Wenn Du so schlau bist, dann zeig klaus111 doch die Lösung.

Wenn du lesen könntest, dann wüsstest du, dass ich ihn auf die kritischen Punkte schon aufmerksam gemacht habe, nämlich dass es sich bei den FON Routern und NAT Router handelt und sie jeweils den Zugriff aufs eigene Subnetz blocken. Beides muss er abstellen, dass haben hier mittlerweile mehrere bestätigt.

Du mußt über ein Interface 2 Subnetze Routen, und da kommst Du mit der Netzmaske 255.255.255.0 nicht weiter, aber das habe ich schon so of gesagt.

Wie kommst du eigentlich die ganze Zeit auf die Idee, man müsse zwei Subnetze über ein Interface routen? Allein die Formulierung ist ein Widerspruch in sich ... "über ein Interface routen" - zum Routen braucht man zwangsläufig zwei Interfaces. Welches Interface meinst du denn? Und warum soll das erforderlich sein? Dann erkläre doch mal deine Lösung, vor allem unter der Randbedingung, das ROUTER2 und ROUTER3 NAT Router sind. Wie sind die Routen auf den Geräten und auf den Clients einzurichten, dass sich hinterher alle gegenseitig erreichen können? Wie fließen die Paketströme beispielhaft von Subentz2 -> Subnetz3 und umgekehrt? (Soll ich deine Antwort schon mal vorwegnehmen? Du wirst jetzt in etwa sagen, dass es unter deiner Würde ist, und Dilettanten deine Luxuslösung zu präsentieren, weil wir sie ja eh nicht verstehen. Sowas in der Form kommt immer, wenn man solche Fragen stellt.)

EDIT: wie alt bist Du eigentlich, 15?

Nein, und man muss auch bei weitem keine 15 sein, um deine Netzwerkkenntnisse zu übertreffen. :hehe:

Viele Grüße

Frank

 

[britzelfix]

@frank_m24

Deine Lösung bitte.

Gruß
britzelfix

 

[frank_m24]

Hallo,

@britzelfix: Solche Ausreden habe ich erwartet. (Obwohl du damit natürlich implizit zugestehst, dass du nicht liest.)
Mein Vorschlag steht oben. Wenn er NAT und die Zugriffsbeschränkung nicht aufheben kann, dann kann er sein Vorhaben mit seinen Routern vergessen. Das sollte mittlerweile sogar dir klar geworden sein.

Deswegen sind wir ja so gespannt auf deine Lösung, mit der er das Problem auch mit seinem vorhandenen Equipment problemlos in den Griff bekommt.

Viele Grüße

Frank

 

[britzelfix]

@frank_m24

Wieso ich? Ich bin doch der DAU hier im Forum.
Das ist jetzt aber ein ziemlich plumper Versuch
den Spies umzudrehen. Meinst Du nicht auch?

Gruß
britzelfix

 

[frank_m24]

Hallo,

@britzelfix: Tja, du hast also auch keine Lösung. Schade, hättest du eine Lösung gehabt, dann wäre das deine Chance gewesen, zu beweisen, dass du eben nicht der DAU bist, für den dich momentan alle halten.

Viele Grüße

Frank

 

[RalfFriedl]

Vom ROUTER1(192.168.0.22) müssen Pakete in zwei Subnetze und die kann man nicht mit 255.255.255.0 routen. Der geeigneter Routing-Befehl lautet:

route add -net 192.168.0.0/16 gw 192.168.10.1

Jetzt bin ich aber überrascht. Ich hatte gedacht, das oben wäre schon die Lösung gewesen.

Vielleicht können wir uns auch darauf einigen, daß von klaus111 noch gar nicht genug Informationen vorliegen, um zu wissen, ob es einen Lösung gibt und wie die aussehen kann.

Am Ende könnte sich herausstellen, daß er auf den Router1 gar keinen Zugriff hat, und alles, was dort ansetzt schon deswegen nicht funktioniert.

 

[Steff]

Muss zugeben, hier nicht alles gelesen zu haben. Aber: Wenn NAT auf RT3 das Problem ist und SSH-Zugriff auf dieses Gerät gegeben ist, was spricht dann dagegen die NAT-Tabelle zu flushen bzw. die Scripts so zu ändern, dass sie gar nicht erst erstellt wird?