Debian Router: Permitir tráfego de entrada da intranet

Question

eu tenho a rede da escola 10.0.0.0/8

eu tenho o debian sendo executado com o IP atribuído estático 10.122.72.2 gateway 10.122.72.1 on eth0 e a rede local 10.122.2.0/24 on eth1

O problema é que eu posso acessar outras redes, por exemplo. 10.122.1.0/24 mas não consigo acessar minha rede local de fora, por exemplo. ping 10.122.2.1 de 10.122.1.0/24 network

tracert 10.122.1.1 da minha rede local me informa como o pacote foi encaminhado 10.122.2.1 -> 10.122.72.1 -> 10.122.1.1

E tracert 10.122.2.1 de 10.122.1.0/24 network me fornecem 10.122.1.1 -> 10.122.254.9 -> request timed out

sudo route -n me dê isso:

Kernel IP routing table
Destination Gateway     Genmask       Flags Metric Ref Use Iface
0.0.0.0     10.122.72.1 0.0.0.0       UG    0      0   0   eth0
10.122.2.0  0.0.0.0     255.255.255.0 U     0      0   0   eth1
10.122.72.0 0.0.0.0     255.255.255.0 U     0      0   0   eth0

e aqui está meu /etc/network/interfaces

# The loopback network interface
auto lo
iface lo inet loopback
# The primary network interface
auto eth0
iface eth0 inet static
address 10.122.72.2
netmask 255.255.255.0
network 10.122.72.0
broadcast 10.122.72.255
gateway 10.122.72.1
# dns-* options are implemented by the resolvconf package, if installed
dns-nameservers 202.46.129.2
auto eth1
iface eth1 inet static
address 10.122.2.1
netmask 255.255.255.0
network 10.122.2.0
broadcast 10.122.2.255

Aqui estão minhas regras de firewall

outif="eth0"
lanif="eth1"
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -t nat -A POSTROUTING -o $lanif -j MASQUERADE
iptables -t nat -A POSTROUTING -o $outif -j MASQUERADE

Como posso tornar minha rede local acessível de fora?

Obrigado antecipadamente

    

Answer 1

O problema aqui não é seu roteador (pelo menos não ainda).

O tracert que você executou mostra que 10.122.254.9 parece não saber para onde rotear o pacote a seguir. Você precisa configurar os outros roteadores na rede da escola para rotear 10.122.2.0/24 para o seu roteador.

Uma vez feito isso, você poderá remover o NAT do seu roteador.

Dados os dois resultados tracert que você deu, parece que sua rede é algo assim:

O roteamento IP funciona hop por salto. Quando você tenta enviar um pacote para 10.122.2.1 , existem duas possibilidades:

1. Você está na mesma sub-rede que 10.122.2.1 : basta descobrir o endereço da camada 2 e enviá-lo ao pacote.
2. Você está em uma sub-rede diferente. Você procura sua tabela de roteamento para encontrar um roteador em sua sub-rede que o aproximará de 10.122.2.1 , localize seu endereço da camada 2 e envie-lhe o pacote. Ele então segue os passos que você fez.

No seu caso, quando você está na rede 10.122.1.0/24 , se a representação dada acima estiver correta, você pode enviar uma mensagem para os roteadores 1 e 2 controlados pela escola (sendo 2 o gateway padrão, quando você não sabe para quem mandar isso.

Como você não está na rede 10.122.2.0/24 e não sabe para quem enviá-la, envie-a para o gateway padrão, 10.122.1.1 também conhecido como roteador controlado pela escola. 2. Não está na mesma subnet como 10.122.2.1 , e não tem uma entrada especial para isso, então envia para o seu gateway padrão, 10.122.254.9 , que por sua vez, provavelmente, tenta enviá-lo para a internet, altura em que é descartado como ele 10.122.2.1 está em um intervalo de IP privado.

Se você estiver na rede 10.122.72.0/24 , adicione uma entrada para informar ao seu computador que 10.122.2.0/24 está acessível por 10.122.72.2 , mas como você está em outra sub-rede, é necessário informar aos roteadores controlados da escola que 10.122.2.0/24 está acessível através de 10.122.72.2 . Neste caso, isso significaria atualizar o roteador 1 controlado pela escola com uma entrada direta para sua rede como acessível através de sua máquina Debian, e roteador controlado pela escola 2 com uma entrada para seu netwok como acessível através do roteador 1 controlado pela escola.

Sem controlar os roteadores da escola, isso não é algo que você possa fazer. O melhor que você pode fazer, é configurar um servidor VPN em sua máquina Debian e depois tunelar o tráfego para 10.122.2.0/24 usando uma conexão VPN.