O encaminhamento de porta não funciona para determinado IP da LAN

Question

Espero que alguém possa esclarecer isso. Meu conhecimento de redes é básico na melhor das hipóteses.

Eu tenho um servidor CentOS em duas redes:

• A NIC1 está em um IP público com o conjunto de gateways no switch 1. (Internet ADSL)
• A NIC2 está definida como 10.10.10.2 sem nenhum conjunto de gateway localizado no Comutador 2. (Internet a cabo)
• O gateway / roteador do Switch 2 é 10.10.10.1. (Roteador ASUS)

Dentro da LAN, outros PCs da rede local podem acessar o 10.10.10.2 em portas abertas. Quando uma regra de encaminhamento de porta é definida a partir do gateway / roteador 10.10.10.1 - > 10.10.10.2, isso não está funcionando. Encaminhamento de porta no gateway / roteador 10.10.10.1 - > para 10.10.10.3 funciona (máquina Windows com gateway definido como 10.10.10.1).

É possível acessar 10.10.10.2 a partir da internet pública através do roteador ASUS 10.10.10.1?

    

Answer 1

Roteamento de políticas de IP.

Eu encontrei dois write-ups do mesmo que usei para atualizar meu servidor CentOS para permitir que a segunda NIC receba e envie pacotes. Também foi bem sucedido na atualização de outro servidor semelhante com um dual NICs / gateways.

link < - Eu fui com a configuração de políticas de IP sob a melhor solução 'seção e não alterou o valor de rp_filter. Este write-up também tem diagramas agradáveis.

link < - exemplo adicional dos itens acima, o que tornou isso mais claro para mim.

Se você quiser que as alterações permaneçam, siga as instruções no primeiro link acima.

Meu exemplo:

• ip route add 99.88.77.66/24 dev eth0 tabela 1 (exemplo Public IP # 1)
• ip route adiciona padrão via 99.88.77.1 tabela 1 (exemplo gateway do IP nº 1 público)
• ip route add 10.10.10.0/24 dev eth1 tabela 2 (segunda NIC em rede diferente)
• ip route adiciona o padrão via 10.10.10.1 tabela 2 (gateway do roteador ASUS)
• ip rule add de 99.88.77.66/32 tabela 1 prioridade 100
• regra de ip adicionar de 10.10.10.4/32 tabela 2 prioridade 110
• cache de limpeza de rota ip

O / 24 para você pode mudar dependendo da máscara de sub-rede do seu IP.

    

Answer 2

Primeiro, precisamos entender por que sua configuração não funciona. Para fazer isso, precisamos considerar o que acontece.

• Uma tentativa de conexão vem da conexão à Internet "por cabo".
• O roteador NAT modifica o endereço de destino e configura uma entrada na tabela de mapeamento.
• O pacote chega ao seu servidor e uma resposta é gerada.
• Seu servidor consulta o destino da resposta em sua tabela de roteamento e envia o pacote para o gateway padrão (por exemplo, para a conexão à Internet "ADSL").
• O mais provável é que o pacote seja descartado por ter um endereço de origem falso. Mesmo que ele retorne ao cliente, seu endereço de origem não corresponderá ao que o cliente espera, então o cliente descartará isso como falso.

Agora entendemos o que está errado, podemos fazer algo sobre isso. Existem algumas opções.

A opção 1 é usar o "roteamento de políticas" no servidor para rotear o tráfego com base no IP de origem. Esta é a melhor opção do servidor suporta (versões recentes do linux). A resposta de Stile aborda como configurar o roteamento de políticas em um servidor Linux para rotear com base no endereço de origem.

A opção 2 é apontar o gateway padrão do servidor em uma caixa que possa fazer o roteamento de políticas. Em seguida, essa caixa pode rotear o tráfego corretamente, dependendo do seu IP de origem. Esta pode ser uma solução útil se o sistema operacional do servidor não suportar o roteamento de políticas.

A opção 3 é fazer a caixa NAT Masqurade para o tráfego que é o encaminhamento de porta. Eu consideraria isso uma opção de último recurso, pois oculta o verdadeiro endereço de origem do tráfego.