Это моя домашняя сеть, на которой я учусь.
Пожалуйста, ознакомьтесь с подробными сведениями о правилах VLAN и соответствующих зонах межсетевого экрана в нижней части сообщения
Я успешно назначил 2 NIC (Management / DMZ) для каждого из 6 серверов Windows и использую свой ноутбук Windows в локальной сети для доступа к управлению RDP / Web-доступом для коммутатора / маршрутизатора и т. Д. Я могу пропинговать каждый сервер из Windows Локальный компьютер на свои DMZ и IP управления и получить возврат.
Поэтому я добавил сервер Ubuntu 16 LTS несколько дней назад с той же конфигурацией, но не могу пропинговать оба IP-адреса с ноутбука Windows.
Вот мой файл / etc / network / interfaces
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).
source /etc/network/interfaces.d/*
# The loopback network interface
auto lo
iface lo inet loopback
# The primary network interface
auto eth0
iface eth0 inet static
address 192.168.67.100
netmask 255.255.255.0
# network 192.168.67.0
# broadcast 192.168.67.255
gateway 192.168.67.253
# dns-* options are implemented by the resolvconf package, if installed
dns-nameservers 192.168.67.253
dns-search on.fake.network
# Management network interface
auto eth1
iface eth1 inet static
address 192.168.7.100
netmask 255.255.255.0
# network 192.168.7.0
broadcast 192.168.7.255
#persistent static routes
up route add -net 192.168.1.0/24 gw 192.168.7.253 dev eth1
Моя таблица маршрутов IP
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.67.253 0.0.0.0 UG 0 0 0 eth0
192.168.1.0 192.168.7.253 255.255.255.0 UG 0 0 0 eth1
192.168.7.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
192.168.67.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
Так что с этим конфигом я могу пинговать 192.168.7.100, но не 192.168.67.100 Вынимаю постоянный статический маршрут и его противоположность: /
Как я могу победить, это довольно легко в Windows, но мой тупик в Ubuntu
* ДОПОЛНИТЕЛЬНЫЕ ДЕТАЛИ *
Ubiquiti ERL3 роутер создает VLANS
VLAN 7 - Management (192.168.7.0) - Router interface (GW) IP is 192.168.7.253
VLAN 13 - LAN (192.168.1.0) - Router interface (GW) IP is 192.168.1.253
VLAN 67 - DMZ (192.168.67.0) - Router interface (GW) IP is 192.168.67.253
Windows ноутбук на LAN-соединение
VLAN 13 - LAN (192.168.1.15)
Сервер Ubuntu (через хост Hyper-V) имеет 2 сетевых адаптера
eth0 - VLAN 67 - DMZ (192.168.67.100)
eth1 - VLAN 7 - Management (192.168.7.100)
Пинг инициируется из локальной сети 192.168.1.15 для обоих DMZ / MGMT 192.168.67.100/192.168.7.100
Вот мои сжатые правила брандмауэра, относящиеся к этому сценарию, удаленные дополнения, такие как доступ по SSH / HTTP и т. Д. И т. Д.
Отмечая, что «address-group mgmtfromlan» содержит несколько IP-адресов из локальной сети, включая 192.168.1.15 (ноутбук в локальной сети VLAN)
name lan-dmz {
default-action drop
enable-default-log
rule 1 {
action accept
state {
established enable
related enable
}
}
rule 2 {
action drop
log enable
state {
invalid enable
}
}
rule 100 {
action accept
description "Allow ICMP"
log enable
protocol icmp
}
}
name lan-mgmt {
default-action drop
enable-default-log
rule 1 {
action accept
state {
established enable
related enable
}
}
rule 2 {
action drop
log enable
state {
invalid enable
}
}
rule 100 {
action accept
description "Allow ICMP"
log enable
protocol icmp
source {
group {
address-group mgmtfromlan
}
}
}
}
name dmz-lan {
default-action drop
enable-default-log
rule 1 {
action accept
state {
established enable
related enable
}
}
rule 2 {
action drop
log enable
state {
invalid enable
}
}
}
name mgmt-lan {
default-action drop
enable-default-log
rule 1 {
action accept
state {
established enable
related enable
}
}
rule 2 {
action drop
log enable
state {
invalid enable
}
}
rule 100 {
action accept
description "Allow ICMP"
log enable
protocol icmp
}
}
* ТАБЛИЦА МАРШРУТИЗАЦИИ НА WINDOWS LAPTOP 192.168.1.15 *
===========================================================================
Interface List
15...b8 ca 3a d4 bb bc ......Intel(R) 82579LM Gigabit Network Connection #2
5...3c a9 f4 03 73 ed ......Microsoft Wi-Fi Direct Virtual Adapter #2
19...00 ff d4 0e 47 e9 ......TAP-Windows Adapter V9
7...3c a9 f4 03 73 ec ......Intel(R) Centrino(R) Ultimate-N 6300 AGN #2
1...........................Software Loopback Interface 1
12...00 00 00 00 00 00 00 e0 Microsoft Teredo Tunneling Adapter
===========================================================================
IPv4 Route Table
===========================================================================
Active Routes:
Network Destination Netmask Gateway Interface Metric
0.0.0.0 0.0.0.0 192.168.1.253 192.168.1.15 291
127.0.0.0 255.0.0.0 On-link 127.0.0.1 331
127.0.0.1 255.255.255.255 On-link 127.0.0.1 331
127.255.255.255 255.255.255.255 On-link 127.0.0.1 331
192.168.1.0 255.255.255.0 On-link 192.168.1.15 291
192.168.1.15 255.255.255.255 On-link 192.168.1.15 291
192.168.1.255 255.255.255.255 On-link 192.168.1.15 291
224.0.0.0 240.0.0.0 On-link 127.0.0.1 331
224.0.0.0 240.0.0.0 On-link 192.168.1.15 291
255.255.255.255 255.255.255.255 On-link 127.0.0.1 331
255.255.255.255 255.255.255.255 On-link 192.168.1.15 291
===========================================================================
Persistent Routes:
Network Address Netmask Gateway Address Metric
0.0.0.0 0.0.0.0 192.168.1.253 Default
0.0.0.0 0.0.0.0 192.168.1.253 Default
===========================================================================
IPv6 Route Table
===========================================================================
Active Routes:
If Metric Network Destination Gateway
1 331 ::1/128 On-link
1 331 ff00::/8 On-link
===========================================================================
Persistent Routes:
None
заранее спасибо
источник
Ответы:
При заданном по умолчанию маршруте виртуальная машина ubuntu получает пакет по eth1 (из 192.168.1.15: ping 192.168.7.100). Это будет либо:
Поведение зависит от
/proc/sys/net/ipv4/conf/{all,eth1}/rp_filterзначения, но по умолчанию используется drop: all / rp_filter = 1 и eth1 / rp_filter = 1В случае, если он не отброшен: маршрутизатор ERL3 видит ответный пакет от 192.168.1.7.100, который должен быть в lan-mgmt, но проходит из lan-dmz. В зависимости от настроек, возможно описанных в конфигурации вашего роутера, которую вы написали, но этого я не знаю:
Давайте рассмотрим, что ERL3 принимает это. Тогда «исправить» просто: понизить безопасность в Ubuntu, отключив фильтрацию обратного пути:
ссылка: https://www.kernel.org/doc/Documentation/networking/ip-sysctl.txt (Rp_filter)
(как это работает, eth0 остается защищенным, но это не имеет значения здесь)
Попробуйте сначала, если это работает, проблема решена. Рассмотреть вопрос о замене обоих
echo 0сecho 2только для eth1 (свободный режим). Но учтите, что это все еще проблема: асимметричная маршрутизация может создать другие проблемы, особенно с брандмауэром.Если маршрутизатор ERL3 тоже фильтрует (то есть: выше не работает): ubuntu должен знать о существовании 192.168.1.0/24 для обоих интерфейсов и использования
tableа такжеruleнастройки для правильной маршрутизации. Немного сложно объяснить все почему, в дополнение к тому, как, вот ссылка, это не совсем для этого случая, но может быть основано главным образом (что я сделал здесь):ссылка: http://lartc.org/howto/lartc.rpdb.multiple-links.html
Я выбрал произвольные таблицы 7 и 67 для соответствия 192.168.7.0/24 и 192.168.67.0/24. Начните с пустых маршрутов (кроме автоматически создаваемых локальных локальных маршрутов) и:
Я не знаю, действительно ли это требуется, но это в документации, так что ...:
Ваш маршрут по умолчанию остается тем же, и здесь в
ip routeсинтаксис:И действительно важная часть, которая говорит, чтобы использовать правильный интерфейс:
Последнее замечание: убедитесь, что Ubuntu не маршрутизирует, иначе скомпрометированный хост DMZ может попытаться управлять другим через Ubuntu
источник
Ваш статический маршрут переопределяет шлюз по умолчанию.
Когда маршрут существует, весь трафик до 192.168.1.x проходит через eth1 с использованием 192.168.7.253 в качестве шлюза.
Когда маршрут не существует, весь трафик до 192.168.1.x проходит через eth0 с использованием 192.168.67.253 в качестве шлюза.
Путь от вашего компьютера до сервера в порядке, но обратный путь принимает другой маршрут в зависимости от того, какой интерфейс вы пинговали. Это называется асимметричной маршрутизацией и обычно не допускается устройствами безопасности. Вероятно, он заблокирован на вашем брандмауэре. По сути, обратный трафик, проходящий по другому маршруту, является «не связанным» и нераспознанным трафиком, поэтому он отбрасывается.
Я думаю, что самый простой способ решить эту проблему - убедиться, что трафик вернется по правильному маршруту в зависимости от того, какой интерфейс получил данные. Это можно сделать, настроив шлюз по умолчанию на обоих интерфейсах.
К сожалению, это не так просто, как кажется. Вам нужно будет создать альтернативные таблицы маршрутизации и правила маршрутизации.
Посмотрите, помогут ли эти статьи: https://www.thomas-krenn.com/en/wiki/Two_Default_Gateways_on_One_System
https://askubuntu.com/questions/310355/networking-with-multiple-nics
источник