https://www.opennet.ru/openforum/vsluhforumID1/83563.html Есть шлюз на PC (Slackware-12.1) <br> <br>eth0 (aa.bb.cc.dd) - смотрит в инет <br>eth1 (10.10.0.2) - смотрит в частную сеть (10.0.0.0/24) через криптошлюз (10.10.0.1) <br>eth2 (192.168.1.2) - в локалку офиса 1 <br>eth3 (192.168.2.2) - в локалку офиса 2 <br> <br>для сети 10.0.0.0 прописан роут: <br>route add -net 10.0.0.0/24 gw 10.10.0.1 eth1 <br> <br>так как криптошлюз не знает о существовании сетей 192.168.1.0 и 192.168.2.0, траффик из них в сеть 10.0.0.0 маскарадится. <br> <br>iptables -A -t nat POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source aa.bb.cc.dd <br>iptables -A -t nat POSTROUTING -s 192.168.2.0/24 -o eth0 -j SNAT --to-source aa.bb.cc.dd <br> <br>iptables -A -t nat POSTROUTING -s 192.168.1.0/24 -o eth1 -j SNAT --to-source 10.10.0.2 <br>iptables -A -t nat POSTROUTING -s 192.168.2.0/24 -o eth1 -j SNAT --to-source 10.10.0.2 <br> <br>С клиентских машин из локалок прекрасно гуляется в интернет и 10.0.0.0 (через NAT). Проблема, в том, что нет возможности зайти на http-сервер находящийся в сети 10.0.0.0 с самого шлюза. Т.е. links https://www.opennet.ru/openforum/vsluhforumID1/83563.html#11 Mon, 05 Jan 2009 20:25:01 GMT &gt;могу ошибаться, но похоже что браузер соединение с сервером установил и запросил <br>&gt;данные, но они или не дошли или сервер сбросил соединение <br><br>Проблема разрешилась. Дело видимо в кривоватом криптошлюзе на который смотрит eth1<br>в старых линуксах /proc/sys/net/ipv4/tcp_window_scaling стояло в 0. в новых - 1. Поставил 0 и все заработало.<br> https://www.opennet.ru/openforum/vsluhforumID1/83563.html#10 Mon, 05 Jan 2009 19:41:56 GMT &gt;[оверквотинг удален]<br>&gt;16:35:25.243116 IP 10.0.0.1.80 &gt; 10.10.0.2.50066: S 3742329487:3742329487(0) ack 2124744963 win 5792 &lt;mss 1460,sackOK,timestamp 146227900 6051184,nop,wscale 7&gt;<br>&gt;16:35:25.243158 IP 10.10.0.2.50066 &gt; 10.0.0.1.80: . ack 1 win 46 &lt;nop,nop,timestamp 6051190 146227900&gt;<br>&gt;16:35:25.244039 IP 10.10.0.2.50066 &gt; 10.0.0.1.80: P 1:595(594) ack 1 win 46 &lt;nop,nop,timestamp 6051190 146227900&gt;<br>&gt;16:35:25.264702 IP 10.0.0.1.80 &gt; 10.10.0.2.50066: R 3742329488:3742329488(0) win 0<br>&gt;16:35:25.264892 IP 10.10.0.2.50067 &gt; 10.0.0.1.80: S 2126973838:2126973838(0) win 5840 &lt;mss 1460,sackOK,timestamp 6051196 0,nop,wscale 7&gt;<br>&gt;16:35:25.268538 IP 10.0.0.1.80 &gt; 10.10.0.2.50066: R 3742329488:3742329488(0) win 0<br>&gt;16:35:25.284591 IP 10.0.0.1.80 &gt; 10.10.0.2.50067: S 3757775759:3757775759(0) ack 2126973839 win 5792 &lt;mss 1460,sackOK,timestamp 146227912 6051196,nop,wscale 7&gt;<br>&gt;16:35:25.284622 IP 10.10.0.2.50067 &gt; 10.0.0.1.80: . ack 1 win 46 &lt;nop,nop,timestamp 6051201 146227912&gt;<br>&gt;16:35:25.284874 IP 10.10.0.2.50067 &gt; 10 https://www.opennet.ru/openforum/vsluhforumID1/83563.html#9 Mon, 05 Jan 2009 13:51:13 GMT в дополнение, вывод tcpdump -ni eth1 при links 10.0.0.1<br><br>16:35:25.216735 IP 10.10.0.2.50066 &gt; 10.0.0.1.80: S 2124744962:2124744962(0) win 5840 &lt;mss 1460,sackOK,timestamp 6051184 0,nop,wscale 7&gt;<br>16:35:25.243116 IP 10.0.0.1.80 &gt; 10.10.0.2.50066: S 3742329487:3742329487(0) ack 2124744963 win 5792 &lt;mss 1460,sackOK,timestamp 146227900 6051184,nop,wscale 7&gt;<br>16:35:25.243158 IP 10.10.0.2.50066 &gt; 10.0.0.1.80: . ack 1 win 46 &lt;nop,nop,timestamp 6051190 146227900&gt;<br>16:35:25.244039 IP 10.10.0.2.50066 &gt; 10.0.0.1.80: P 1:595(594) ack 1 win 46 &lt;nop,nop,timestamp 6051190 146227900&gt;<br>16:35:25.264702 IP 10.0.0.1.80 &gt; 10.10.0.2.50066: R 3742329488:3742329488(0) win 0<br>16:35:25.264892 IP 10.10.0.2.50067 &gt; 10.0.0.1.80: S 2126973838:2126973838(0) win 5840 &lt;mss 1460,sackOK,timestamp 6051196 0,nop,wscale 7&gt;<br>16:35:25.268538 IP 10.0.0.1.80 &gt; 10.10.0.2.50066: R 3742329488:3742329488(0) win 0<br>16:35:25.284591 IP 10.0.0.1.80 &gt; 10.10.0.2.50067: S 3757775759:3757775759(0) ack 2126973839 win 5792 &lt;mss 1460,sackOK,timestamp 146227912 605 https://www.opennet.ru/openforum/vsluhforumID1/83563.html#8 Mon, 05 Jan 2009 12:14:34 GMT <br>&gt;интересно, помоему это не связано ни с маршрутизацией, ни с iptables. <br>&gt;вы писали, что tcpdump показывает что ответы приходят, а какой адрес используется? <br>&gt;10.10.0.2?<br><br>именно он.<br> https://www.opennet.ru/openforum/vsluhforumID1/83563.html#7 Mon, 05 Jan 2009 09:49:02 GMT &gt;[оверквотинг удален]<br>&gt; 0 <br>&gt; 0 eth1 <br>&gt;127.0.0.0 0.0.0.0 <br>&gt; 255.0.0.0 <br>&gt;U 0 <br>&gt;0 0 lo <br>&gt;0.0.0.0 xx.xx.xx.xx <br>&gt; 0.0.0.0 <br>&gt;UG 1 0 <br>&gt; 0 eth0 <br><br>интересно, помоему это не связано ни с маршрутизацией, ни с iptables.<br>вы писали, что tcpdump показывает что ответы приходят, а какой адрес используется? 10.10.0.2?<br> https://www.opennet.ru/openforum/vsluhforumID1/83563.html#6 Mon, 05 Jan 2009 07:41:50 GMT &gt;&gt;есть один момент. traceroute работает только если указать явно -i eth0. Если <br>&gt;&gt;не указывать, он пишет: traceroute: Warning: Multiple interfaces found; using 127.0.0.1 <br>&gt;&gt;@ lo..... и не проходит никуда.<br>&gt;<br>&gt;то есть не может определить маршрут? <br>&gt;тогда что в route -n <br><br>Kernel IP routing table<br>Destination Gateway Genmask Flags Metric Ref Use Iface<br>xx.xx.xx.xx 0.0.0.0 255.255.255.248 U 0 0 0 eth0<br>10.0.4.0 0.0.0.0 255.255.255.0 U 0 0 0 eth4<br>192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth2<br>192.168.2.0 0.0.0.0 255.255.255.0 U 0 0 0 eth3<br>10.10.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1<br>10.0.0.0 10.10.0.1 255.255.255.0 UG 0 0 0 eth1<br>127.0.0.0 0.0.0.0 255.0.0.0 U 0 0 0 lo<br>0.0.0.0 xx.xx.xx.xx 0.0.0.0 UG 1 0 0 eth0<br><br><br> https://www.opennet.ru/openforum/vsluhforumID1/83563.html#5 Sun, 04 Jan 2009 22:08:05 GMT &gt;[оверквотинг удален]<br>&gt;&gt;&gt;шлюз, а через прописанный роут на 10.0.0.0/24 только с хостов из <br>&gt;&gt;&gt;локалки. При этом с локалхоста, машины в сети 10.0.0.0 пингуются <br>&gt;&gt;&gt;и трассировка до них нормально проходит. вывод tcpdump сейчас не могу <br>&gt;&gt;&gt;привести. <br>&gt;&gt;<br>&gt;&gt;тоесть icmp протокол проходит, с MTU это не связано? <br>&gt;<br>&gt;есть один момент. traceroute работает только если указать явно -i eth0. Если <br>&gt;не указывать, он пишет: traceroute: Warning: Multiple interfaces found; using 127.0.0.1 <br>&gt;@ lo..... и не проходит никуда.<br><br>то есть не может определить маршрут?<br>тогда что в route -n<br><br> <br>&gt;[оверквотинг удален]<br>&gt;COMMIT <br>&gt;# Completed on Sun Jan 4 23:52:40 2009 <br>&gt;# Generated by iptables-save v1.4.0 on Sun Jan 4 23:52:40 2009 <br>&gt;<br>&gt;*filter <br>&gt;:INPUT ACCEPT [16:1200] <br>&gt;:FORWARD ACCEPT [0:0] <br>&gt;:OUTPUT ACCEPT [38:24972] <br>&gt;COMMIT <br>&gt;# Completed on Sun Jan 4 23:52:40 2009 <br><br> https://www.opennet.ru/openforum/vsluhforumID1/83563.html#4 Sun, 04 Jan 2009 20:57:47 GMT &gt;&gt;проблема в том, что с локалхоста свободно ходится куда угодно через основной <br>&gt;&gt;шлюз, а через прописанный роут на 10.0.0.0/24 только с хостов из <br>&gt;&gt;локалки. При этом с локалхоста, машины в сети 10.0.0.0 пингуются <br>&gt;&gt;и трассировка до них нормально проходит. вывод tcpdump сейчас не могу <br>&gt;&gt;привести. <br>&gt;<br>&gt;тоесть icmp протокол проходит, с MTU это не связано? <br><br>есть один момент. traceroute работает только если указать явно -i eth0. Если не указывать, он пишет: traceroute: Warning: Multiple interfaces found; using 127.0.0.1 @ lo..... и не проходит никуда. <br><br>&gt; я конечно верю, но хотелось бы увидеть, что ACCEPT во всех таблицах<br><br># Generated by iptables-save v1.4.0 on Sun Jan 4 23:52:40 2009<br>*mangle<br>:PREROUTING ACCEPT [58:4292]<br>:INPUT ACCEPT [58:4292]<br>:FORWARD ACCEPT [0:0]<br>:OUTPUT ACCEPT [38:24972]<br>:POSTROUTING ACCEPT [38:24972]<br>COMMIT<br># Completed on Sun Jan 4 23:52:40 2009<br># Generated by iptables-save v1.4.0 on Sun Jan 4 23:52:40 2009<br>*nat<br>:PREROUTING ACCEPT [0:0]<br>:POSTROUTING ACCEPT [0:0] https://www.opennet.ru/openforum/vsluhforumID1/83563.html#3 Sun, 04 Jan 2009 19:40:56 GMT &gt;&gt;покажите iptables-save и tcpdump <br>&gt;<br>&gt;в iptables те 4 строки на построуте. FORWARD, INPUT и OUTPUT - <br>&gt;ACCEPT <br><br>я конечно верю, но хотелось бы увидеть, что ACCEPT во всех таблицах<br><br>&gt;проблема в том, что с локалхоста свободно ходится куда угодно через основной <br>&gt;шлюз, а через прописанный роут на 10.0.0.0/24 только с хостов из <br>&gt;локалки. При этом с локалхоста, машины в сети 10.0.0.0 пингуются <br>&gt;и трассировка до них нормально проходит. вывод tcpdump сейчас не могу <br>&gt;привести. <br><br>тоесть icmp протокол проходит, с MTU это не связано?<br>