Серые IP в источнике пакета, откуда?

Question

[Александр Липатов]

Собственно, думаю уже какой день, в чем дело и почему при отправке пакетов из локальной сети (за NAT), пакеты летят в интернет с адресом-источником с серым IP!

Лог от дяди Леши (админ провайдера):

Посмотрел ваш трафик, возможно на выходе не все попадает под NAT/firewall, вот срез с нашего роутера, интерфейс Gi0/NAME_INTERFACE - это
VLAN ваш, пакеты с приватными адресами летят "наружу":
SrcIf         SrcIPaddress    DstIf         DstIPaddress    Pr SrcP DstP  Pkts
Gi0/NAME_INTERFACE     ***Local_ip****  Null          64.233.165.113  11 D769 01BB     3
Gi0/NAME_INTERFACE     ***Local_ip****  Null          52.17.203.231   06 FAAE 040C     7
Gi0/NAME_INTERFACE     ***Local_ip****  Null          74.125.205.189  11 F8EF 01BB     1
Gi0/NAME_INTERFACE     ***Local_ip****  Null          52.17.203.231   06 E6A4 040C     3
Gi0/NAME_INTERFACE     ***Local_ip****  Null          64.233.165.139  06 D163 01BB     1

NAT естественно включен, форварды есть. Дядя Леша должен видеть внешний IP выданный нам, ведь так? И собственно в таком раскладе, что его "крайний" пограничный роутер отрезает эти пакеты, так как ответ придет на них же, и это сказывается на качестве "интернет-услуг", которые мы получаем..

И действительно уходят пакеты с адресом источником с локальным IP на внешнем интерфейсе, только загадка в том, что не полноценная подсеть, а из разных подсетей, выборочно летят пакеты... Как пример:

09:23:12.451428 IP ***LOCAL_IP***.63440 > 94.100.180.72.443: Flags [R.], seq 1, ack 1, win 0, length 0
09:23:12.454861 IP ***LOCAL_IP***.63435 > 94.100.180.76.443: Flags [F.], seq 3091904178, ack 4143344419, win 1020, length 0
09:23:12.454880 IP ***LOCAL_IP***.63435 > 94.100.180.76.443: Flags [R.], seq 1, ack 1, win 0, length 0
09:23:12.454892 IP ***LOCAL_IP***.63433 > 217.69.139.244.443: Flags [F.], seq 3268938754, ack 859051175, win 65535, length 0
09:23:12.455099 IP ***LOCAL_IP***.63433 > 217.69.139.244.443: Flags [R.], seq 1, ack 1, win 0, length 0
09:23:12.456098 IP ***LOCAL_IP***.63432 > 217.69.139.244.443: Flags [F.], seq 1193167781, ack 3677299424, win 1021, length 0
09:23:12.456344 IP ***LOCAL_IP***.63432 > 217.69.139.244.443: Flags [R.], seq 1, ack 1, win 0, length 0
09:23:13.416121 IP ***LOCAL_IP***.63444 > 184.31.10.65.443: Flags [F.], seq 2954132686, ack 1776309780, win 1022, length 0
09:23:13.416135 IP ***LOCAL_IP***.63444 > 184.31.10.65.443: Flags [R.], seq 1, ack 1, win 0, length 0
09:23:16.264048 IP ***LOCAL_IP***.50225 > 188.43.61.140.80: Flags [F.], seq 4112172240, ack 2323109567, win 16425, length 0
09:23:16.564170 IP ***LOCAL_IP***.50225 > 188.43.61.140.80: Flags [F.], seq 0, ack 1, win 16425, length 0
09:23:17.160054 IP ***LOCAL_IP***.50225 > 188.43.61.140.80: Flags [F.], seq 0, ack 1, win 16425, length 0
09:23:18.361985 IP ***LOCAL_IP***.50225 > 188.43.61.140.80: Flags [F.], seq 0, ack 1, win 16425, length 0

Где-то зарылась «кривизна рук» или ПО?

Comments

[Максим Гришин]

Проверьте настройки NAT, может в самом деле не весь трафик натится.

[Александр Липатов]

Аналогично, как и Вы предложили, сразу сделал это, но при такой строчке в конфиге, что может не НАТится? (имею около 20 VLAN'ов на данный момент)
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source *real_IP*

p.s Сначала был NAT на каждую сеть, но решив закомментировать и дописать такую строчку, результата не дало. :]

[Виктор Бельский]

Какая схема подключения, ну и настройки nat/firewall?

[Александр Липатов]

Виктор Бельский, интернет приходит на коммутатор и тегируется, далее этот тег попадает в KVM машину (шлюз, виртуальный) на его интерфейс (напр. eth0). А локальные сети, напр. eth1-30 так же в тегах уходят куда им надо с виртуального роутера.

Что конкретно по настройкам NAT/firewall ? До самого примитивного это nat на внешнем интерфейсе и forward, output по умолчанию accept.

[Дмитрий]

Александр Липатов, смотрите что включено в этот же коммутатор с таким же тегом.

[Александр Липатов]

Дмитрий, этот тег никакого отношения к существующим не имеет. От "балды" придуман, чтобы инет прокинуть. Он в единственном экземпляре на 2 коммутаторах.

[Виктор Бельский]

Ну, зеркалируйте порт свича куда приходит инет и разбирайте логи сниффера. Либо что-то у вас в сети бегает, в инет влане, либо у дяди Леши.

[Александр Липатов]

Выяснил интересную штуку, что действительно уходят пакеты с адресом источником с локальным IP на внешнем интерфейсе, только загадка в том, что не полноценная подсеть, а из разных подсетей, выборочно летят пакеты... Как пример:

09:23:12.451428 IP ***LOCAL_IP***.63440 > 94.100.180.72.443: Flags [R.], seq 1, ack 1, win 0, length 0
09:23:12.454861 IP ***LOCAL_IP***.63435 > 94.100.180.76.443: Flags [F.], seq 3091904178, ack 4143344419, win 1020, length 0
09:23:12.454880 IP ***LOCAL_IP***.63435 > 94.100.180.76.443: Flags [R.], seq 1, ack 1, win 0, length 0
09:23:12.454892 IP ***LOCAL_IP***.63433 > 217.69.139.244.443: Flags [F.], seq 3268938754, ack 859051175, win 65535, length 0
09:23:12.455099 IP ***LOCAL_IP***.63433 > 217.69.139.244.443: Flags [R.], seq 1, ack 1, win 0, length 0
09:23:12.456098 IP ***LOCAL_IP***.63432 > 217.69.139.244.443: Flags [F.], seq 1193167781, ack 3677299424, win 1021, length 0
09:23:12.456344 IP ***LOCAL_IP***.63432 > 217.69.139.244.443: Flags [R.], seq 1, ack 1, win 0, length 0
09:23:13.416121 IP ***LOCAL_IP***.63444 > 184.31.10.65.443: Flags [F.], seq 2954132686, ack 1776309780, win 1022, length 0
09:23:13.416135 IP ***LOCAL_IP***.63444 > 184.31.10.65.443: Flags [R.], seq 1, ack 1, win 0, length 0
09:23:16.264048 IP ***LOCAL_IP***.50225 > 188.43.61.140.80: Flags [F.], seq 4112172240, ack 2323109567, win 16425, length 0
09:23:16.564170 IP ***LOCAL_IP***.50225 > 188.43.61.140.80: Flags [F.], seq 0, ack 1, win 16425, length 0
09:23:17.160054 IP ***LOCAL_IP***.50225 > 188.43.61.140.80: Flags [F.], seq 0, ack 1, win 16425, length 0
09:23:18.361985 IP ***LOCAL_IP***.50225 > 188.43.61.140.80: Flags [F.], seq 0, ack 1, win 16425, length 0

Где-то зарылся косяк.... Пока еще разбираюсь, есть мысли?

[Dmitry T.]

У вас с провайдером обмен происходит теггированным трафиком или нет? Возможно у вас что-то уходит с лишним тегом в наружу и тег где-то обрезается по пути? Что говорит tcpdump с режиме ethernet tcpdump -nei eth0

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source *real_IP* - сработает только для исходящих пакетов без тега.

[Александр Липатов]

Dmitry T., обмен с провайдером НЕтегированный, по поводу лишнего.. думал на эту тему... не знаю, как отловить.. в миррор на выходных стану только, гляну что там.. что говорит tcpdump отправлю завтра.. А может всё-таки "глюк" iptables или дебика??

[Александр Липатов]

Dmitry T., со шлюза tcpdump -nei eth0 говорит вот что:

14:35:14.600138 *****MAC_eth0***** > ****MAC_Дяди_Лёши_Шлюза****, ethertype IPv4 (0x0800), length 54: ****LOCAL_IP****.53259 > 68.232.35.172.443: Flags [R], seq 3364982580, win 0, length 0
14:35:14.600201 *****MAC_eth0***** > ****MAC_Дяди_Лёши_Шлюза****, ethertype IPv4 (0x0800), length 54: ****LOCAL_IP****.53259 > 68.232.35.172.443: Flags [R], seq 3364982580, win 0, length 0

Answer 1

[Xilian]

>>При всём этом, tcpdump уверенно говорит, что источник наш внешний ip

с каких пор 176.103.130.130 уже стал серым? GW запросто может видеться у вас как внутренний адрес - если кто-то в hosts прописал.

Comments

[Александр Липатов]

Вы внимательно посмотрите, где вы увидели, что данный IP - серый ? Обращение идет с локальных серых IP на внешний интерфейс к провайдеру по рэндомным портам, выборочно... А в вашем примере, это внешний адрес, с ним проблем нет. Прочитайте несколько комментариев, имеющих место быть..