1

Имею centos 6.6, который первоначально находился за NAT. Сейчас потребовалось повесить на него отдельный сервис для которого нужен отдельный IP, чтобы не ломать пробросы и не переконфигурировать клиентов которые подвязаны под старый IP - взял дополнительный IP. Грубо говоря для нового IP мне нужен доступ из вне, но он даже не пингуется,подскажите что я должен сделать?

ifconfig отображает 2 интерфейса eth0 (старый NAT) и eth1 (новый IP)

eth0      Link encap:Ethernet  HWaddr 00:00:00:00:00:00  
          inet addr:192.168.10.230  Bcast:192.168.10.255  Mask:255.255.255.0


eth1      Link encap:Ethernet  HWaddr 00:00:00:00:00:00  
          inet addr:150.90.34.236  Bcast:150.90.34.239  Mask:255.255.255.248

route -n

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
150.90.34.232      0.0.0.0         255.255.255.248 U     0      0        0 eth1
192.168.10.0    0.0.0.0         255.255.255.0   U     0      0        0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U     1002   0        0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U     1003   0        0 eth1
0.0.0.0         192.168.10.199  0.0.0.0         UG    0      0        0 eth0

iptables (INPUT):

 Chain INPUT (policy ACCEPT)
    num  target     prot opt source               destination         
    1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
    2    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
    3    fail2ban-FTP  tcp  --  0.0.0.0/0            0.0.0.0/0           multiport dports 21 
    4    fail2ban-apache-auth  tcp  --  0.0.0.0/0            0.0.0.0/0           multiport dports 80 
    5    fail2ban-SIP  all  --  0.0.0.0/0            0.0.0.0/0           
    6    fail2ban-SIP  all  --  0.0.0.0/0            0.0.0.0/0           
    7    fail2ban-SSH  tcp  --  0.0.0.0/0            0.0.0.0/0           multiport dports 22 
    8    fail2ban-recidive  all  --  0.0.0.0/0            0.0.0.0/0           
    9    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:10051 state NEW 
    10   ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:10050 state NEW 
    11   SIP        udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:5060 
    12   SIP        tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:5060 

2 ответа 2

1

Наверное, открыть порты в firewalld:

$ firewall-cmd --permanent --zone=public --add-port=80/tcp
$ firewall-cmd --permanent --zone=public --add-port=443/tcp
$ firewall-cmd --reload

Чтобы узнать зону, к которой подключен сетевой интерфейс (в моем примере public)

$ firewall-cmd --get-zone-of-interface=eth1

Если используется iptables:

$ iptables -I INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT
$ iptables -I INPUT -p tcp --dport 443 -m state --state NEW -j ACCEPT
$ service iptables save
$ /etc/init.d/iptables restart
1
  • Я использую iptables (добавил раздел INPUT в вопрос). Если я правильно понимаю, то iptables должен пропускать ping и прочие пакеты. Проблема скорее всего в маршрутах, придется использовать mangle...
    – Malus
    10 окт 2018 в 6:00
0

Ответ не развернутый, а только основная его часть:

sysctl -w net.ipv4.conf.eth0.rp_filter=0
sysctl -w net.ipv4.conf.eth1.rp_filter=0

Добавить в файл /etc/iproute2/rt_tables:

10 isp1
11 isp2

Дальше команды:

ip route add default via GW1 table isp1
ip route add default via GW2 table isp2

iptables -t mangle -A PREROUTING -i eth0 -m state --state NEW -j CONNMARK --set-mark 10
iptables -t mangle -A PREROUTING -i eth1 -m state --state NEW -j CONNMARK --set-mark 11

iptables -t mangle -A PREROUTING -j CONNMARK --restore-mark
iptables -t mangle -A OUTPUT -j CONNMARK --restore-mark

iptables -t mangle -s GW1 -A OUTPUT -j MARK --set-mark 10
iptables -t mangle -s GW2 -A OUTPUT -j MARK --set-mark 11

ip rule add fwmark 10 table isp1
ip rule add fwmark 11 table isp2

После всего этого всё работает.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.