enrutamiento de ip publicas

Imagen de elgabo

Forums: 

Hola a todos

Tengo problemas al utilizar un linux como router de IPs publicas, no voy a utilizar NAT ya que las IPs si son ruteables.
El esquema es el siguiente

Internet <--> eth2 {router} eth0 <--> subnet ips publicas

la eth2 esta configura de la siguiente forma:

ip: x.y.206.126
netmask: 255.255.255.192
gateway: x.y.206.65

la eth0 con la siguiente informacion

ip: x.y.112.71
netmask: 255.255.255.240

el parametro ip_forward esta habilitado

root@router:~# cat /proc/sys/net/ipv4/ip_forward
1

lo extraño es que esas ips no responden cuando hago ping desde una eth que no este dentro de la propia red ... me explico con un ejemplo


root@centHost:~# ping -I eth0 x.y.206.126
PING x.y.206.126 (x.y.206.126) from x.y.112.71 eth0: 56(84) bytes of data.
From x.y.112.71 icmp_seq=1 Destination Host Unreachable
From x.y.112.71 icmp_seq=2 Destination Host Unreachable
From x.y.112.71 icmp_seq=3 Destination Host Unreachable

--- x.y.206.126 ping statistics ---
5 packets transmitted, 0 received, +3 errors, 100% packet loss, time 4005ms, pipe 4

con el caso contrario pasa lo siguiente

root@centHost:~# ping -I eth2 x.y.112.71
PING x.y.112.71 (x.y.112.71) from x.y.206.126 eth2: 56(84) bytes of data.
From 10.0.134.1 icmp_seq=1 Time to live exceeded
From 10.0.134.1 icmp_seq=2 Time to live exceeded
From 10.0.134.1 icmp_seq=3 Time to live exceeded

--- x.y.112.71 ping statistics ---
4 packets transmitted, 0 received, +3 errors, 100% packet loss, time 3006ms, pipe 2

no se si me halla comido un paso, si este es el caso quedaria muy agradecido con quien pueda ayudarme en este tema.

Gracias.

Tienes que hacer SNAT

Imagen de juanmi

Si lanzas un paquete desde eth2 con direccion 192.168.1.1 al gw 217.45.206.126 en el gateway sin hacer SNAT, le llegará el paquete desde una 192.168.1.1 y el no sabe donde esta esa red y no te podra responder. Es decir todo lo que salga desde eth2 por eth1 debe salir con la ip de eth1:

iptables -t nat -A POSTROUTING -s eth1 -o eth2 -j SNAT --to-source 217.45.206.126

Otra cosa es que tuvieses el control del gateway 217.45.206.65 y alli pudieses añadir que para ir a la red 192.168.1.1 debe irse por el router 217.45.206.126

Saludos!!

Es verdad, pero el tráfico no

Imagen de acl

Es verdad, pero el tráfico no llega de las redes privadas. Únicamente consideramos tráfico que viene de las ips públicas (eth2 desde la perspectiva del enrutador linux) a internet (eth0). Las pruebas se están haciendo desde detrás de eth2, por lo que la dirección de origen será una ip pública ruteable. No hace falta hacer SNAT para las ips públicas.

Páginas