Как настроить роутинг между двумя локальными сетями?

Question

[Евгений]

Добрый день!
Имеется сервер с 3-мя сетевыми картами.
Первая смотрит в интернет 192.168.0.0/24 (p4p1), остальные две обслуживают разные подсети: 192.168.1.0/24 (br0) и 192.168.10.0/24 (p32p1)
На сервере поднят NAT. Доступ в интернет необходим и работает из подсети 192.168.1.0/24
Теперь понадобилось иметь доступ и подсети 192.168.1.0/24 в 192.168.10.0/24.
1) Форвардинг разумеется включен
2) Траффик между интерфейсами разрешен:
iptables -A FORWARD -i br0 -o p32p1 -j ACCEPT

Однако работать оно что-то не хочет...

Таблица маршрутизации:

Таблица маршутизации ядра протокола IP
Destination Gateway Genmask Flags Metric Ref Use Iface
default         192.168.0.1     0.0.0.0         UG    0      0        0 p4p1
192.168.0.0     *               255.255.255.0   U     0      0        0 p4p1
192.168.1.0     *               255.255.255.0   U     0      0        0 br0
192.168.10.0    *               255.255.255.0   U     0      0        0 p32p1

Конфиг iptables:

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]

-A INPUT -i lo -j ACCEPT
-A INPUT ! -i lo -d 127.0.0.0/8 -j REJECT

-A INPUT -p icmp -m state --state NEW -m icmp --icmp-type echo-reply -j ACCEPT
-A INPUT -p icmp -m state --state NEW -m icmp --icmp-type destination-unreachable -j ACCEPT
-A INPUT -p icmp -m state --state NEW -m icmp --icmp-type source-quench -j ACCEPT
-A INPUT -p icmp -m state --state NEW -m icmp --icmp-type echo-request -j ACCEPT
-A INPUT -p icmp -m state --state NEW -m icmp --icmp-type time-exceeded -j ACCEPT
-A INPUT -p icmp -m state --state NEW -m icmp --icmp-type parameter-problem -j ACCEPT

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

-A INPUT -m state --state INVALID -j DROP
-A INPUT -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,ACK,URG -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A INPUT -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP

-A FORWARD -m physdev --physdev-is-bridged -j ACCEPT
-A FORWARD -i br0 -o p4p1 -j ACCEPT
-A FORWARD -i br0 -o p32p1 -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

# SSH
-A INPUT -p udp -m udp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

# OpenVPN
-A INPUT -p udp -m udp --dport 1194 -j ACCEPT

# NTP
-A INPUT -i br0 -p udp -m udp --dport 123 -j ACCEPT
-A INPUT -i p32p1 -p udp -m udp --dport 123 -j ACCEPT

# DNS
-A INPUT -i br0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i br0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -i p32p1 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i p32p1 -p tcp -m tcp --dport 53 -j ACCEPT

# MDNS
-A INPUT -i br0 -p udp -m udp --dport 5353 -j ACCEPT
-A INPUT -i p32p1 -p udp -m udp --dport 5353 -j ACCEPT

# SAMBA
-A INPUT -i br0 -p tcp -m tcp --dport 135 -j ACCEPT
-A INPUT -i br0 -p udp -m udp --dport 137 -j ACCEPT
-A INPUT -i br0 -p udp -m udp --dport 138 -j ACCEPT
-A INPUT -i br0 -p tcp -m tcp --dport 139 -j ACCEPT
-A INPUT -i br0 -p tcp -m tcp --dport 445 -j ACCEPT

# WWW
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

COMMIT


*nat

# NAT
-A POSTROUTING -o p4p1 -j MASQUERADE

COMMIT

Понимаю, что возможно причина банальна, но все же надеюсь на подсказку со стороны уважаемого сообщества.

Comments

[Smithson]

покажите, что именно не работает и как должно работать?

[Евгений]

Smithson: нет доступа из подсети 192.168.1.0/24 в 192.168.10.0/24.
К примеру не проходят пинги с устройства 192.168.1.189 находящегося в подсети 192.168.1.0/24 до устройства 129.168.10.72 находящегося в подсети 192.168.10.0/24. При этом оба устройства доступны с сервера.

[Smithson]

Евгений: Маршрут на устройстве 192.168.1.189 до сети 192.168.10 есть?
Если это винда, то route print из командной строки. Если линух - то route или netstat -rn

[Ilya Demyanov]

>iptables -A FORWARD -i br0 -o p32p1 -j ACCEPT
А в обратную сторону? Как p32p1 вам будет понги возвращать?

[Евгений]

Ilya Demyanov: не помогает даже такая конструкция:
iptables -A FORWARD -j ACCEPT

[Ilya Demyanov]

Евгений: а обратные маршруты на тех устройствах, что ты пингуешь есть?

[Евгений]

Ilya Demyanov: пингуемые хосты - это ip камеры. Маршруты там ни как не прописать. Однако у всех камер в качестве шлюза по умолчанию прописан сервер.

[Ilya Demyanov]

Евгений: начните тогда с отключения фаерволла и диагностики traceroute, tcpdump и т.д.

Answer 1

[Евгений]

Вопрос снят. Дело было в китайских камерах находящихся в подсети 192.168.10.0/24. Такой вот странный глюк. Камеры могли быть доступны только из своей подсети.
Запросил свежую прошивку у саппорта, все заработало.

Всем спасибо за участие.

Answer 2

[Дмитрий Шицков]

Запускайте tcpdump и смотрите, что куда у вас уходит и откуда не возвращается.

У вас данный сервер - default gateway для всех подсетей?

Answer 3

[Клёвый Админ]

Вроде нужно либо поменять
:FORWARD ACCEPT [0:0]
Либо добавить
-A FORWARD -i p32p1 -o br0 -j ACCEPT
Шлюз должен быть гейтвеем для узлов в этих сетях.