Из внутренней сети не видно сервисы на внешнем ip

CoolMan 26 Августа, 2010 - 20:01

Системное администрирование

Есть сервер, который используется в т.ч. в качестве маршрутизатора.
Одна сетевушка (с адресом 192.168.1.1), соответственно, соединена кроссом с моим компом, вторая смотрит в инет (с динамический ипом).
На сервере крутится samba, ssh, сервер operation flashpoint, сервер teamspeak.
Косяк в следующем.
С моего компа (192.168.1.2) ко всему этому набору сервисов есть доступ по ip 192.168.1.1 (сетевушка, которая смотрит внутрь), а вот если стучаться на динамический ip сетевушки с инетом, то есть доступ только к ssh и самбе, а сервера офп (порт 2302) и тимспика (порт 9987) как будто бы нет (и даже nmap подтерждает, что порты закрыты). При всем при этом из инета (айпишник пров дает белый) по этому самому внешнему айпи видно и сервер офп, и сервер тимспика.

Проблемы как таковой нет, ведь в итоге все работает, но тем не менее хочется понять что за ерунда. Причем помню что раньше все было нормально - из внутренней сети все сервисы на внешнем ипе было видно, и данный косячок я заметил вроде как после обновления ядра.

Для комментирования войдите или зарегистрируйтесь

Телепаты сами знаете

Автор Hrundix, дата создания 26 Августа, 2010 - 23:48.

Телепаты сами знаете где...
Маршрутизация? Firewall?

Для комментирования войдите или зарегистрируйтесь

Ничего гениального..))ussr

Автор CoolMan, дата создания 27 Августа, 2010 - 01:59.

Ничего гениального..))
Все, что идет на сервер снаружи, за исключением некоторых портов, пропускается сквозняком на мой комп .1.2

Обнаружил странное поведение тимспика. Коннекчусь на внешний айпи - не подключается. Коннекчусь на внутренни - все гуд. Если не перезапускать клиента и после подключения по внутреннему подключиться по внешнему - коннект проходит! Магия.

ussr ~ # iptables -t nat -L PREROUTING
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
RETURN     tcp  --  anywhere             anywhere            tcp dpt:10011
RETURN     tcp  --  anywhere             anywhere            tcp dpt:30033
RETURN     udp  --  anywhere             anywhere            udp dpt:9987
RETURN     tcp  --  anywhere             anywhere            tcp dpt:ssh
RETURN     udp  --  anywhere             anywhere            udp dpt:ssh
RETURN     udp  --  anywhere             anywhere            udp dpt:2302
RETURN     tcp  --  anywhere             anywhere            tcp dpt:2302
RETURN     udp  --  anywhere             anywhere            udp dpt:netbios-dgm
RETURN     udp  --  anywhere             anywhere            udp dpt:netbios-ns
RETURN     tcp  --  anywhere             anywhere            tcp dpt:microsoft-ds
RETURN     tcp  --  anywhere             anywhere            tcp dpt:netbios-ssn
RETURN     tcp  --  anywhere             anywhere            tcp dpt:http
RETURN     udp  --  anywhere             anywhere            udp dpt:27015
DNAT       all  --  anywhere             anywhere            to:192.168.1.2

ussr ~ # iptables -t nat -L POSTROUTING
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  192.168.1.0/24       anywhere
MASQUERADE  all  --  192.168.2.0/24       anywhere

Для комментирования войдите или зарегистрируйтесь

Дайте вывод не просто '-L', а

Автор alexpro, дата создания 27 Августа, 2010 - 03:27.

Дайте вывод не просто '-L', а '-L -vn'.

Для комментирования войдите или зарегистрируйтесь

ussr ~ # iptables -t nat -L

Автор CoolMan, дата создания 27 Августа, 2010 - 15:01.

ussr ~ # iptables -t nat -L PREROUTING -vn
Chain PREROUTING (policy ACCEPT 130M packets, 11G bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 RETURN     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:10011
    1    60 RETURN     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:30033
    5   942 RETURN     udp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           udp dpt:9987
 105K 6192K RETURN     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22
    0     0 RETURN     udp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           udp dpt:22
35593 7301K RETURN     udp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           udp dpt:2302
    0     0 RETURN     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:2302
    0     0 RETURN     udp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           udp dpt:138
  148 11544 RETURN     udp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           udp dpt:137
69246 3343K RETURN     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:445
17036  819K RETURN     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:139
 3938  199K RETURN     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80
    3   241 RETURN     udp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           udp dpt:27015
 450K   42M DNAT       all  --  eth1   *       0.0.0.0/0            0.0.0.0/0           to:192.168.1.2

ussr ~ # iptables -t nat -L POSTROUTING -vn
Chain POSTROUTING (policy ACCEPT 202M packets, 21G bytes)
 pkts bytes target     prot opt in     out     source               destination
 121M 9567M MASQUERADE  all  --  *      *       192.168.1.0/24       0.0.0.0/0
1193K   68M MASQUERADE  all  --  *      *       192.168.2.0/24       0.0.0.0/0

Правда не очень понимаю, как это поможет...

Попробую объяснить несколько проще, чем в первом посте.
Сетевушка серва для внутренней сети - 192.168.1.1, для внешней - динамический айпи, в данный момент 109.173.12.199.
Если я стучусь со 192.168.1.2 на 192.168.1.1 на порт 9987, то все гуд. Если я стучусь со 192.168.1.2 на 109.173.12.199 на тот же порт - коннекта нету. Если на 109.173.12.199:9987 постучаться из инета - коннект есть.

Для комментирования войдите или зарегистрируйтесь

Если сбросить DNAT - так есть

Автор alexpro, дата создания 27 Августа, 2010 - 16:43.

Если сбросить DNAT - так есть коннект? Кстати - eth1 это внешний интерфейс?

Для комментирования войдите или зарегистрируйтесь

Нет, DNAT ничего не

Автор CoolMan, дата создания 27 Августа, 2010 - 19:40.

Нет, DNAT ничего не решает.
eth1 - внешний, смотрит в инет.
Глюк окончательно стал непонятным. Помимо непоняток с тимспиком (если сначала зайти на внутренний айпи, а потом на внешний - то подключается), добавился и глюк с офп) В программе мониторинга серверов мой сервер видно только по внутреннему айпи, а игра спокойно подключается и по внутреннему, и по внешнему...