Servidor Linux com 3 Placas de Redes [RESOLVIDO]

mazer
(usa CentOS)

Enviado em 14/06/2010 - 14:32h

Boa tarde.

Estou precisando de ajuda. Tenho um servidor Debian 5, com 3 placas de rede.
eth0=10.1.0.127/24 - Rede Lan
eth1=189.11.124.122/29 - Rede Wan
eth2=192.168.0.127/24 - Rede Lan2

Consigo pingar normalmente os servidores das outras pontas da rede eth0 e eth2, e, a rede eth0 consegue normalmente acessar o servidor, mas na rede eth2 não consigo voltar para o servidor. A mensagem que dá é de rede de destina inalcançavel.

Abaixo segue o meu Firewall para que possam me dar uma luz de como fazer isso funcionar.

Grato...


#!/bin/sh

#Variaveis
IPT=/sbin/iptables
MOD=/sbin/modprobe
rede_lan='eth0'
rede_wan='eth1'
rede_vetor='eth2'

#Zerar regras
$IPT -F
$IPT -X
$IPT -F -t nat
$IPT -X -t nat
$IPT -F -t mangle
$IPT -X -t mangle

#Ativacao de Modulos
$MOD iptable_nat
$MOD ip_nat_ftp
$MOD ipt_MASQUERADE

#Determina a politica padrao#
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP

#Aceita os pacotes que realmente devem entrar#
$IPT -A INPUT -i ! $rede_wan -j ACCEPT
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT
$IPT -A FORWARD -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT

#Abre para a interface loopback
$IPT -A INPUT -i lo -j ACCEPT

#Abre faixa de enderecos para a rede local
$IPT -A INPUT -i eth0 -j ACCEPT
$IPT -A INPUT -i eth1 -j ACCEPT
$IPT -A INPUT -i eth2 -j ACCEPT

#Ativa Roteamento no Kernel
echo "1" > /proc/sys/net/ipv4/ip_forward

#Protecao contra ip spoofing#
echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter

#Proxy transparente#
$IPT -t nat -A PREROUTING -i $rede_lan -p tcp --dport 80 -j REDIRECT --to-port 3128
$IPT -t nat -A PREROUTING -i $rede_vetor -p tcp --dport 80 -j REDIRECT --to-port 3128

$IPT -A POSTROUTING -t nat -o $rede_lan -j MASQUERADE
$IPT -A POSTROUTING -t nat -o $rede_wan -j MASQUERADE
$IPT -A POSTROUTING -t nat -o $rede_vetor -j MASQUERADE

#/firewall/Horario.sh
#/firewall/Portas.sh
#/firewall/Protecoes.sh
#/firewall/DNS.sh
#/firewall/Cameras.sh
#/firewall/Cordilheira.sh
#/firewall/Bloqueia_MSN.sh
#/firewall/Libera_MSN.sh
#/firewall/Roteamento.sh
#/firewall/Bloqueio_IP.sh

irado
(usa XUbuntu)

Enviado em 14/06/2010 - 16:25h

bem.. sem maiores análises:

a) INPUT tá arrombado, entra tudo, de qualquer lugar. Por que? se é tráfego de um lugar para outro, cabe FORWARD; se é para acessar serviços NESSA máquina então sim, é INPUT e APENAS para os serviços disponíveis, não essa festa do kaki.

b) não entendi êste trecho: "Consigo pingar normalmente os servidores das outras pontas da rede eth0 e eth2, e, a rede eth0 consegue normalmente acessar o servidor, mas na rede eth2 não consigo voltar para o servidor. A mensagem que dá é de rede de destina inalcançavel."

voltar de onde? pingar de "outras pontas".. hmmm... onde ficam as tais pontas? No fundo, sem mais delongas:

O QUE vc quer fazer, afinal? que as redes internas se "falem" normalmente? se for isso, vc resolve com rotas e não com iptables. Além de forwarding, claro (que já está lá).

vc tem postrouting para as redes mas não vejo o prerouting correspondente (aquêles, de redirect, não valem).

o redirect pode ser resumido em apenas um, se vc ignorar o -i ou -s. Em algum momento me senti confuso (risos) quando li "-i $rede_lan" porque (habitualmente) vc mencionaria -i como sendo INTERFACES reservando as variáveis com nome de "rede" para.. redes :) 192.168.1.0/24, por ex, iria para rede_interna ou coisa assim, enquanto iface_1 iria para eth1.

claro como lama, não? não se preocupe, a tendencia é ficar bem pior.