Как настроить 2ую сетевую карту?

Question

[Игорь Веденов]

Доброго. Бьюсь уже долго, не выходит. Суть проблемы такая. Ставил FreePBX distro на сервер. У сервера 2е сетевые карты. При установке назначил им IP адреса вручную статикой (для eth0 192.168.1.10/24 , для eth1 192.168.200.20/24 для примера). После этого получилась следующая картина: ПО сети eth0 трафик ходит в обе стороны прекрасно, по сети eth1 сервер может общаться с миром, но входящие запросы не проходя, но в iptraf-ng при выборе eth1 видно что мой комп стучит в неё, но в ответ тишина. В чём может быть проблема?
Ради интереса пробовал в FreePBX вообще отключать фаервол на обе карточки, результат 0

Comments

[Valentin Barbolin]

Какой IP у компа?

[Игорь Веденов]

Andrey Barbolin, у тестового? В соответственных сетях на конце 50

[Valentin Barbolin]

Игорь Веденов,
> но в iptraf-ng при выборе eth1 видно что мой комп
Напиши IP мой комп

[Игорь Веденов]

Andrey Barbolin, при eth1 я вижу что запросы поступают с ПК 192.168.200.50 на сетевую карту 192.168.200.20 на сервере. Ответа нет

[Valentin Barbolin]

Игорь Веденов, покажи вывод из консоли
192.168.200.50 - ipconfig
192.168.200.20 - ip ad

[Игорь Веденов]

Andrey Barbolin,
2: eth0: mtu 1500 qdisc mq state UP group default qlen 1000
link/ether 00:15:5d:7a:5b:27 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.10/24 brd 192.168.1.255 scope global eth0
valid_lft forever preferred_lft forever
inet6 fe80::215:5dff:fe7a:5b27/64 scope link
valid_lft forever preferred_lft forever
3: eth1: mtu 1500 qdisc mq state UP group default qlen 1000
link/ether 00:15:5d:7a:5b:28 brd ff:ff:ff:ff:ff:ff
inet 192.168.200.20/24 brd 192.168.200.255 scope global eth1
valid_lft forever preferred_lft forever
inet6 fe80::215:5dff:fe7a:5b28/64 scope link
valid_lft forever preferred_lft forever

----------------

Адаптер беспроводной локальной сети Беспроводная сеть:

DNS-суффикс подключения . . . . . :
Локальный IPv6-адрес канала . . . : fe80::8553:b254:43c6:49a9%17
IPv4-адрес. . . . . . . . . . . . : 192.168.200.50
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . : 192.168.200.1

[Valentin Barbolin]

Игорь Веденов, Можно еще?
192.168.200.20 - ip ro

[Игорь Веденов]

Andrey Barbolin,
default via 192.168.200.1 dev eth1
169.254.0.0/16 dev eth0 scope link metric 1002
169.254.0.0/16 dev eth1 scope link metric 1003
192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.10
192.168.200.0/24 dev eth1 proto kernel scope link src 192.168.200.20

[Valentin Barbolin]

Игорь Веденов, Можешь запустить tcpdump -ni eth1 host 192.168.200.50 ?
и пингануть с 192.168.200.50 по 192.168.200.20

[Игорь Веденов]

Andrey Barbolin,
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 262144 bytes
20:13:20.285511 IP 192.168.200.50 > 192.168.200.20: ICMP echo request, id 1, seq 1601, length 40
20:13:25.188024 IP 192.168.200.50 > 192.168.200.20: ICMP echo request, id 1, seq 1602, length 40
20:13:30.174395 IP 192.168.200.50 > 192.168.200.20: ICMP echo request, id 1, seq 1603, length 40
20:13:35.172146 IP 192.168.200.50 > 192.168.200.20: ICMP echo request, id 1, seq 1604, length 40
^C
4 packets captured
4 packets received by filter
0 packets dropped by kernel

в винде на машинке наблюдаю "Превышен интервал ожидания для запроса"

[Valentin Barbolin]

Игорь Веденов, Осталось посмотреть firewall
iptables-save

[Игорь Веденов]

Andrey Barbolin,

Вывод команды

# Generated by iptables-save v1.4.21 on Thu May 20 22:43:25 2021
*nat
:PREROUTING ACCEPT [528:120707]
:INPUT ACCEPT [81:12114]
:OUTPUT ACCEPT [211:15957]
:POSTROUTING ACCEPT [211:15957]
:masq-input - [0:0]
:masq-output - [0:0]
-A POSTROUTING -j masq-input
-A POSTROUTING -j masq-output
-A POSTROUTING -m mark --mark 0x3/0x3 -j MASQUERADE
-A masq-input -j MARK --set-xmark 0x1/0xffffffff
COMMIT
# Completed on Thu May 20 22:43:25 2021
# Generated by iptables-save v1.4.21 on Thu May 20 22:43:25 2021
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [4295:9301929]
:fpbx-rtp - [0:0]
:fpbxattacker - [0:0]
:fpbxblacklist - [0:0]
:fpbxfirewall - [0:0]
:fpbxhosts - [0:0]
:fpbxinterfaces - [0:0]
:fpbxknownreg - [0:0]
:fpbxlogdrop - [0:0]
:fpbxnets - [0:0]
:fpbxratelimit - [0:0]
:fpbxregistrations - [0:0]
:fpbxreject - [0:0]
:fpbxrfw - [0:0]
:fpbxshortblock - [0:0]
:fpbxsignalling - [0:0]
:fpbxsmarthosts - [0:0]
:fpbxsvc-chansip - [0:0]
:fpbxsvc-ftp - [0:0]
:fpbxsvc-http - [0:0]
:fpbxsvc-https - [0:0]
:fpbxsvc-iax - [0:0]
:fpbxsvc-isymphony - [0:0]
:fpbxsvc-letsencrypt - [0:0]
:fpbxsvc-nfs - [0:0]
:fpbxsvc-pjsip - [0:0]
:fpbxsvc-provis - [0:0]
:fpbxsvc-provis_ssl - [0:0]
:fpbxsvc-restapps - [0:0]
:fpbxsvc-restapps_ssl - [0:0]
:fpbxsvc-smb - [0:0]
:fpbxsvc-ssh - [0:0]
:fpbxsvc-tftp - [0:0]
:fpbxsvc-ucp - [0:0]
:fpbxsvc-vpn - [0:0]
:fpbxsvc-webrtc - [0:0]
:fpbxsvc-xmpp - [0:0]
:fpbxsvc-zulu - [0:0]
:lefilter - [0:0]
:rejsvc-nfs - [0:0]
:rejsvc-smb - [0:0]
:zone-external - [0:0]
:zone-internal - [0:0]
:zone-other - [0:0]
:zone-trusted - [0:0]
-A INPUT -j fpbxfirewall
-A fpbx-rtp -p udp -m udp --dport 10000:20000 -j ACCEPT
-A fpbx-rtp -p udp -m udp --dport 4000:4999 -j ACCEPT
-A fpbxattacker -m recent --set --name ATTACKER --mask 255.255.255.255 --rsource
-A fpbxattacker -j DROP
-A fpbxfirewall -i lo -j ACCEPT
-A fpbxfirewall -p tcp -m connmark ! --mark 0x20 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A fpbxfirewall -p icmp -j ACCEPT
-A fpbxfirewall -d 255.255.255.255/32 -j ACCEPT
-A fpbxfirewall -m pkttype --pkt-type multicast -j ACCEPT
-A fpbxfirewall -p udp -m udp --sport 67:68 --dport 67:68 -j ACCEPT
-A fpbxfirewall -j fpbx-rtp
-A fpbxfirewall -j fpbxblacklist
-A fpbxfirewall -j fpbxsignalling
-A fpbxfirewall -j fpbxsmarthosts
-A fpbxfirewall -j fpbxregistrations
-A fpbxfirewall -j fpbxnets
-A fpbxfirewall -j fpbxhosts
-A fpbxfirewall -j fpbxinterfaces
-A fpbxfirewall -j fpbxreject
-A fpbxfirewall -m mark --mark 0x2/0x2 -j fpbxrfw
-A fpbxfirewall -p udp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A fpbxfirewall -p tcp -m set --match-set lefilter dst -j lefilter
-A fpbxfirewall -j fpbxlogdrop
-A fpbxinterfaces -i eth0 -j zone-internal
-A fpbxinterfaces -i eth1 -j zone-internal
-A fpbxknownreg -m recent --remove --name REPEAT --mask 255.255.255.255 --rsource
-A fpbxknownreg -m recent --remove --name ATTACKER --mask 255.255.255.255 --rsource
-A fpbxknownreg -j MARK --set-xmark 0x4/0x4
-A fpbxknownreg -m mark --mark 0x1/0x1 -j ACCEPT
-A fpbxknownreg -j fpbxsvc-ucp
-A fpbxknownreg -j fpbxsvc-zulu
-A fpbxknownreg -j fpbxsvc-restapps
-A fpbxknownreg -j fpbxsvc-restapps_ssl
-A fpbxknownreg -j fpbxsvc-provis
-A fpbxknownreg -j fpbxsvc-provis_ssl
-A fpbxlogdrop -j DROP
-A fpbxnets -s 192.168.1.58/32 -j zone-trusted
-A fpbxnets -s 192.168.1.55/32 -j zone-trusted
-A fpbxnets -s 192.168.1.50/32 -j zone-trusted
-A fpbxnets -s 192.168.1.0/24 -j zone-trusted
-A fpbxnets -s 192.168.200.0/24 -j zone-trusted
-A fpbxratelimit -m mark --mark 0x4/0x4 -j ACCEPT
-A fpbxratelimit -m recent --rcheck --seconds 90 --hitcount 1 --name WHITELIST --mask 255.255.255.255 --rsource -j ACCEPT
-A fpbxratelimit -m state --state NEW -m recent --set --name REPEAT --mask 255.255.255.255 --rsource
-A fpbxratelimit -m state --state NEW -m recent --set --name DISCOVERED --mask 255.255.255.255 --rsource
-A fpbxratelimit -j LOG
-A fpbxratelimit -m recent --rcheck --seconds 86400 --hitcount 1 --name ATTACKER --mask 255.255.255.255 --rsource -j fpbxattacker
-A fpbxratelimit -m recent --rcheck --seconds 86400 --hitcount 200 --name REPEAT --mask 255.255.255.255 --rsource -j fpbxattacker
-A fpbxratelimit -m recent --rcheck --seconds 300 --hitcount 100 --name REPEAT --mask 255.255.255.255 --rsource -j fpbxattacker
-A fpbxratelimit -m recent --rcheck --seconds 60 --hitcount 50 --name REPEAT --mask 255.255.255.255 --rsource -j fpbxshortblock
-A fpbxratelimit -j ACCEPT
-A fpbxregistrations -s 192.168.1.40/32 -j fpbxknownreg
-A fpbxregistrations -s 192.168.1.55/32 -j fpbxknownreg
-A fpbxregistrations -s 192.168.1.61/32 -j fpbxknownreg
-A fpbxregistrations -s 192.168.1.208/32 -j fpbxknownreg
-A fpbxreject -j rejsvc-nfs
-A fpbxreject -j rejsvc-smb
-A fpbxrfw -m recent --rcheck --seconds 90 --hitcount 1 --name WHITELIST --mask 255.255.255.255 --rsource -j ACCEPT
-A fpbxrfw -m recent --set --name REPEAT --mask 255.255.255.255 --rsource
-A fpbxrfw -m recent --set --name DISCOVERED --mask 255.255.255.255 --rsource
-A fpbxrfw -m recent --rcheck --seconds 10 --hitcount 50 --name REPEAT --mask 255.255.255.255 --rsource -j fpbxattacker
-A fpbxrfw -m recent --rcheck --seconds 86400 --hitcount 1 --name ATTACKER --mask 255.255.255.255 --rsource -j fpbxattacker
-A fpbxrfw -m recent --rcheck --seconds 60 --hitcount 10 --name SIGNALLING --mask 255.255.255.255 --rsource -j fpbxshortblock
-A fpbxrfw -m recent --set --name SIGNALLING --mask 255.255.255.255 --rsource
-A fpbxrfw -m recent --rcheck --seconds 86400 --hitcount 100 --name REPEAT --mask 255.255.255.255 --rsource -j fpbxattacker
-A fpbxrfw -j ACCEPT
-A fpbxshortblock -m recent --set --name CLAMPED --mask 255.255.255.255 --rsource
-A fpbxshortblock -j REJECT --reject-with icmp-port-unreachable
-A fpbxsignalling -p udp -m udp --dport 5160 -j MARK --set-xmark 0x1/0xffffffff
-A fpbxsignalling -p udp -m udp --dport 5060 -j MARK --set-xmark 0x1/0xffffffff
-A fpbxsmarthosts -s 89.20.155.116/32 -m mark --mark 0x1/0x1 -j ACCEPT
-A fpbxsmarthosts -s 185.45.152.174/32 -m mark --mark 0x1/0x1 -j ACCEPT
-A fpbxsvc-chansip -p udp -m udp --dport 5160 -j ACCEPT
-A fpbxsvc-ftp -p tcp -m tcp --dport 21 -j ACCEPT
-A fpbxsvc-http -p tcp -m tcp --dport 80 -j ACCEPT
-A fpbxsvc-https -p tcp -m tcp --dport 443 -j ACCEPT
-A fpbxsvc-iax -p udp -m udp --dport 4569 -j ACCEPT
-A fpbxsvc-pjsip -p udp -m udp --dport 5060 -j ACCEPT
-A fpbxsvc-provis -p tcp -m tcp --dport 84 -j fpbxratelimit
-A fpbxsvc-restapps -p tcp -m tcp --dport 82 -j ACCEPT
-A fpbxsvc-ssh -p tcp -m tcp --dport 22 -j ACCEPT
-A fpbxsvc-tftp -p udp -m udp --dport 69 -j ACCEPT
-A fpbxsvc-ucp -p tcp -m tcp --dport 81 -j ACCEPT
-A fpbxsvc-ucp -p tcp -m tcp --dport 8001 -j ACCEPT
-A fpbxsvc-ucp -p tcp -m tcp --dport 8003 -j ACCEPT
-A fpbxsvc-vpn -p udp -m udp --dport 1194 -j ACCEPT
-A fpbxsvc-webrtc -p tcp -m tcp --dport 8088 -j ACCEPT
-A fpbxsvc-webrtc -p tcp -m tcp --dport 8089 -j ACCEPT
-A fpbxsvc-xmpp -p tcp -m tcp --dport 5222 -j ACCEPT
-A lefilter -m state --state NEW -j CONNMARK --set-xmark 0x20/0xffffffff
-A lefilter -m state --state NEW -j ACCEPT
-A lefilter -m string --string "GET /.well-known/acme-challenge/" --algo kmp --from 52 --to 53 -j ACCEPT
-A lefilter -m string --string "GET /.freepbx-known/" --algo kmp --from 52 --to 53 -j ACCEPT
-A lefilter -j RETURN
-A zone-external -j MARK --set-xmark 0x10/0x10
-A zone-external -j fpbxsvc-ucp
-A zone-external -j fpbxsvc-zulu
-A zone-external -j fpbxsvc-vpn
-A zone-external -j fpbxsvc-xmpp
-A zone-internal -j MARK --set-xmark 0x4/0x4
-A zone-internal -j fpbxsvc-ssh
-A zone-internal -j fpbxsvc-http
-A zone-internal -j fpbxsvc-https
-A zone-internal -j fpbxsvc-ucp
-A zone-internal -j fpbxsvc-pjsip
-A zone-internal -j fpbxsvc-chansip
-A zone-internal -j fpbxsvc-iax
-A zone-internal -j fpbxsvc-webrtc
-A zone-internal -j fpbxsvc-zulu
-A zone-internal -j fpbxsvc-isymphony
-A zone-internal -j fpbxsvc-provis
-A zone-internal -j fpbxsvc-provis_ssl
-A zone-internal -j fpbxsvc-vpn
-A zone-internal -j fpbxsvc-restapps
-A zone-internal -j fpbxsvc-restapps_ssl
-A zone-internal -j fpbxsvc-xmpp
-A zone-internal -j fpbxsvc-ftp
-A zone-internal -j fpbxsvc-tftp
-A zone-other -j MARK --set-xmark 0x8/0x8
-A zone-other -j fpbxsvc-ucp
-A zone-other -j fpbxsvc-zulu
-A zone-other -j fpbxsvc-provis
-A zone-other -j fpbxsvc-provis_ssl
-A zone-other -j fpbxsvc-vpn
-A zone-other -j fpbxsvc-xmpp
-A zone-trusted -j ACCEPT
COMMIT
# Completed on Thu May 20 22:43:25 2021

Answer 1

[Игорь Веденов]

Проблема решилась следующим образом. Поменяли местами подсети на сетевых картах, отключили одну из подсетей (которая в ситуации была eth0, перенесли её на eth1) и настроили на уровне роутера маршрутизацию в ту подсеть. С 1ой картой всё работает. Балансировки нормальной не получилось, пока оставили так.

Answer 2

[Sergey Ryzhkin]

Проверяйте на Centos маршруты которые вы должны были прописать для подсетей, файлы начинаются с route-enp*
В этом файлы вы принудительно указываете подсеть и интерфейс через которые они должны общаться.