-1

есть ПК внутри vpn сети (10.8.0.0/24)

внутри этой же сети есть сервак с линуксом, который имеет доступ в подсеть (10.10.0.0/24)

Задача: дать доступ ПК в подсеть 10.10.0.0

Как я понимаю, нужно сделать сервер шлюзом и настроить маршрутизацию. Маршрут на ПК я прописал, указав шлюзом IP сервера.

Проблема в том, что никак не могу найти информацию о том, как настроить шлюз на конкретную подсеть. Постоянно натыкаюсь только на то, «как расшарить инетик».

Как это делается? Как создать шлюз на сиске или длинке я знаю, а вот с сервером — чего-то не понимаю.

3
  • echo 1 > /proc/sys/net/ipv4/ip_forward, iptables -A FORWARD -j ACCEPT.
    – user194374
    3 июл 2016 в 17:13
  • 1
    как расшарить инетик — фактически, это оно самое и есть. // для помощи вам в диагностике проблем приведите, пожалуйста, вывод ip a; ip r на всех трёх ключевых точках — «пк внутри сети», «серваке», «компьютере внутри подсети 10.10.0.0/24» 3 июл 2016 в 17:24
  • Если вам дан исчерпывающий ответ, отметьте его как верный (галка напротив выбранного ответа). 4 июл 2016 в 6:55

1 ответ 1

4

если на компьютерах в подсети шлюзом по умолчанию указано использование того самого сервера, который вы настраиваете, то достаточно:

  • разрешить на этом сервере передачу пакетов между интерфейсами:

    $ echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward
    

    для того, чтобы эта настройка применялась и после перезагрузки, раскомментируйте (или добавьте, если нет) строку в /etc/sysctl.conf:

    net.ipv4.ip_forward=1
    
  • проконтролировать, что эти пакеты не искажаются и не блокируются netfilter-ом (см. вывод $ sudo iptables-save).

если же на этих компьютерах шлюзом по умолчанию служит другая машина (или вообще таковой не задан), то, в дополнение к разрешению передачи пакетов между интерфейсами, вам ещё придётся эти пакеты «искажать».

как минимум потребуется подмена адреса источника у пакетов, поступивших на «внешний» интерфейс, и адресованных компьютерам подсети, а также обратная подмена адреса назначения у «ответных» пакетов.

оба данных действия может выполнять директива netfilter-а под названием snat (source nat). пример её добавления с помощью программы iptables:

$ sudo iptables -t nat -A POSTROUTING -o интерфейс -j SNAT --to-source ip-адрес

где:

  • интерфейс — это имя сетевого интерфейса, через который данный компьютер подключен к целевой подсети
  • ip-адрес — адрес, закреплённый за данным интерфейсом
3
  • У iptables по умолчанию выбирается таблица filter, а SNAT выполняется в таблице nat, поэтому к команде нужно ещё добавить -t nat.
    – user194374
    3 июл 2016 в 19:26
  • ... да и -m tcp -p tcp, пожалуй, лишние... ;-)
    – user194374
    3 июл 2016 в 19:28
  • @kff, спасибо, исправил копипаст. 3 июл 2016 в 19:31

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.