Как сделать телепортацию белого ip-адрес на другой сервер при помощи ipip-туннеля?

Question

[microitx]

Прописал команды:

сервер A:
# ip link add name ipip0 type ipip local 193.164.16.243 remote 10.188.188.188
# ip link set ipip0 up
# ip addr add 192.168.168.1/24 dev ipip0
Add a remote internal subnet route if the endpoints don't belong to the same subnet
# ip route add 192.168.168.1/24 dev ipip0
net.ipv4.conf.default.proxy_arp = 1
net.ipv4.conf.all.proxy_arp = 1
net.ipv4.ip_forward=1
сервер B:
 #ip link add name ipip0 type ipip local 192.168.0.151 remote 193.164.16.243
# ip link set ipip0 up
# ip addr add 192.168.168.2/24 dev ipip0
# ip route add 192.168.168.2/24 dev ipip0

Оба сервера имеют внешний белый IP.
Что делаю не так?

Comments

[Valentin Barbolin]

# ip link add name ipip0 type ipip local 193.164.16.243 remote 10.188.188.188
#ip link add name ipip0 type ipip local 192.168.0.151 remote 193.164.16.243

1. Че-то тут адреса разные.
2. IPIP через NAT не работает.

[Модератор]

Не надо ставить как можно больше тэгов. Лучше оставить один, но конкретный, с которым проблема.
См.п.3.1 Регламента.

[Valentin Barbolin]

microitx, В твоем вопросе только один белый адрес. 10.188.188.188 Это серый адрес.

https://help.keenetic.com/hc/en-us/articles/115002...
Important! The IPIP, GRE, EoIP tunnels are of the point-to-point type. Both tunnel participants must have external IP addresses (or be on the same network), and there must be no NAT address translation between them. These are the prerequisites for establishing a tunnel.

[AUser0]

В поддержку слов Valentin Barbolin, сделайте простейшую проверку: ping 10.188.188.188 на сервере A. Если ping-ответов не будет - значит и связи на этот IP у вас не будет...

[AUser0]

microitx, мда, тут ваша взяла.
Тогда встаёт в полный рост вопрос - на роутере этот трафик пробрасывается? И видимо NAT-ом?

[AUser0]

microitx, я бы на вашем месте удостоверился, что это ответ именно от удалённого сервера, запуском tcpdump -nni ipip0 на удалённом сервере. Ну а дальше - щупать доступные порты и смотреть в tcpdump, этот трафик на удалённом сервере есть? И iptables/firewall-ы проверьте, вдруг там заблокирован TCP, или ещё что.

[Модератор]

microitx, Скриншот фрагмента кода удалён модератором. Фрагменты кода надо размещать в виде текста и оборачивать тэгом code для корректного отображения. Удобно делать кнопкой </>
Это обязательно, см.п.3.8 Регламента.
Сюда же относится traceback, ввод и вывод в консоли и другая структурированная текстовая инфа.

[Модератор]

microitx, не надо устраивать склоку. Всё своё возмущение держите при себе. Вам тут никто ничем не обязан. Включая и тот факт, что никто не обязан додумывать за вами, что вы там подразумевали и скрывали. Всё надо писать в вопросе явно, например «этот ip не соответствует реальному для конфиденциальности».

Когда вы регистрировались, вы обещали выполнять Регламент. Ваше сообщение нарушило сразу несколько параграфов Регламента.

Если вы будете продолжать нарушать Регламент, ваши вопросы могут быть удалены, а аккаунт заблокирован модераторами временно или навсегда.

Будьте благоразумны.

Answer 1

[DoMoVoY]

с помощью proxy arp ты создаешь проблему другим хостам в сегменте. так не нужно делать только если ты не провайдер или администратор сети.
задача решается через DNAT всего трафика или нужных портов. тип туннеля не играет роли. ipip/gre/ipsec/wg/tap/tun и т.д.

Answer 2

[gavk]

Туннель ты сделал.
С сервера А пингуется 192.168.168.2?
С сервера В пингуется 192.168.168.1?
Если всё работает, то на сервере А заворачиваешь в NAT все пакеты, идущие на телепортируемый адрес и отправляешь их на сервер В.

Comments

[gavk]

Можешь попробовать:
- убрать телепортируемый адрес с сервера А,
- настроить маршрут к нему на сервер В,
- на сервере В добавить телепортируемый адрес на виртуальный интерфейс,
- настроить маршрутизацию, чтобы пакеты. приходящие на телепортируемый адрес, уходили с с того интерфейса, на который пришли (либо все пакеты, приходящие на телепортируемый адрес отправлять в туннель.