Vyriesene:presmerovanie pptp komunikacie cez druhu routu....

pedro4444

Zdravim vo spolok

Momentalne riesim jednu perlicku... potrebujem mat spraveny tunel cez zaloznu linku.

Takze na zaciatok vysvetlenie danej situacie:

jeden MK a donho su privedene dve pripojky (net1-eth1 a net2-eth2)

hlavna default routa 0.0.0.0 je cez eth1

potom druhu default routu mam spravenu cez routing mark oznacenu cesta2

moja otazka znie ako donutim aby cez eth2 isla len pptp komunikacia a iny protocol isiel nadalej cez eth1

skusal som v mangle davat pravidla na porty (pptp komunikacie) tcp 1723 a 47 gre ale nic....

Dufam ze som sa vyjadril dost jasne ak nie napiste a spravim aj obrazky...:)

za odpoved vopred diki..

majklik

A v jakém mangle řetezci jsi to mangloval? Mělo by to být v output, ale v některých verzích to stejně nefunguje korektně.

Pokud by bylo zadání, že chci komunikaci s PPTP serverem na abdrese a.b.c.d posílat přes druhou linku, kde adresa brány je q.w.e.r a ne obecně posílat jakýkoliv PPTP, tak nejjednodušší řešení (pokud dnaou IP adresu serveur nepoužívám ještě pro něco jiného) bez opičáren je normálně statická routa:

/ip route add dst-address=a.b.c.d gateway=q.w.e.r

a nemusíš se vůbec s nějakým routing markem párat. Pokud by mělo i platit, že při selhání druhé konektiity se nemá použít primární, tak se ještě přidá:

/ip route add dst-address=a.b.c.d type=unreachable distance=5

pedro4444

A v jakém mangle řetezci jsi to mangloval? Mělo by to být v output, ale v některých verzích to stejně nefunguje korektně.

Pokud by bylo zadání, že chci komunikaci s PPTP serverem na abdrese a.b.c.d posílat přes druhou linku, kde adresa brány je q.w.e.r a ne obecně posílat jakýkoliv PPTP, tak nejjednodušší řešení (pokud dnaou IP adresu serveur nepoužívám ještě pro něco jiného) bez opičáren je normálně statická routa:

/ip route add dst-address=a.b.c.d gateway=q.w.e.r

a nemusíš se vůbec s nějakým routing markem párat. Pokud by mělo i platit, že při selhání druhé konektiity se nemá použít primární, tak se ještě přidá:

/ip route add dst-address=a.b.c.d type=unreachable distance=5

na zaciatku mi neda povedat ze Majklik ty si jednoducho hlavicka...:)

skusil som tam dat to output a uz paket odchytava ale este niekde je chyba pretoze to nespoji...

nastavil som output a tam nech to riesi len na cielovu ip 56.56.56.56

dal porty najprv 1723 a potom dalsie pravidlo na port 43 a v action dal preroutovat na cestu2 (teda cez backup routu)

a presne si ma aj odhadol keby som tu ip neptoreboval tak to hodim do static rout a nie je problem ale v tom ej ten hacik ze potrebujem len tu pptp komunikaciu tade supnut ostatne veci potrebujem aby bezali cez eth1.

robim este niekde chybu alebo to ozaj bude len tou verziou ze v tejto mi to nepojde mam 5.21

majklik

Musíš markovat spojení na TCP port 1723 a protokol 47 (GRE), ne port 47 či 43.

pedro4444

Musíš markovat spojení na TCP port 1723 a protokol 47 (GRE), ne port 47 či 43.

sorry som sa zle vyjadril presne tie markujem tcp 1723 a hned pod tym je 47gre pekne sa zaratavaju pakety ked dam aby to spojilo ale nespoji to....

a samozrejme ked dam to static routu to ide v pohode ale toto nechcem potrebujem tie ostatne packety cez eth1....

majklik

A jak se ti to chová v reálu? Nechová se to náhodou tak, že provoz odchází fyzicky tou druhou linkou - policy routing se uplatní, ale zdrojová adresa odchozích paketů je použita taková, která odpovídá IP adrese první konektivity? Takže to fakticky pak nemá šanci fungovat...

Nahoď /ip route export

pedro4444

A jak se ti to chová v reálu? Nechová se to náhodou tak, že provoz odchází fyzicky tou druhou linkou - policy routing se uplatní, ale zdrojová adresa odchozích paketů je použita taková, která odpovídá IP adrese první konektivity? Takže to fakticky pak nemá šanci fungovat...

Nahoď /ip route export

no v mangle sa nejake tie data zaratavaju pri tych pravidlach takze sa to moze tvarit aj ako pise ale v route list pochybujem zeby som mal chybu tam nieco co riesit ale budis.

add comment="cesta2" disa

bled=no distance=1 dst-address=0.0.0.0/0 \

\... gateway=10.105.105.1 routing-mark=cesta2 scope=30 target-scope=10

add comment="default routa" disabled=no distance=1 dst-address=\

0.0.0.0/0 gateway=192.168.2

1.1 scope=30 target-scope=10

add comment="klienti" disabled=no \

\... distance=1 dst-address=10.95.0.0/16 gateway=10.15.9.2 scope=30 \

\... target-scope=10

a mangle je nastavene ako vravim dve pravidla jedno tcp 1723 a druhe 47 (gre) output na cielovu ip a action je vybrana moznost mark routing a vybrana routa: cesta2

ale vravim ked sa nad tym zamyslim tvary sa to tak ako pises mangle to zachyti a potom sa to niekde strati takze ten packet ani akokeby neodisiel...

majklik

V MKčku máš funkci Torch, tak ji použij. Koukej, zda a jakým uplinkem se to snaží odcházet a jakou zdrojovou adresu to bude mít. V podstatě by se to mělo objevit i v connections.

Ten routing se mi zdá moc chudý.. Za předpokladu, že IP/maska a interface druhé linky by byla 10.105.105.2/24 a ether2 interface, tak bych očekával:

/ip route

add dst-address=0.0.0.0/0 gateway=192.168.21.1

add dst-address=0.0.0.0/0 gateway=10.105.105.1 distance=5

add dst-address=10.105.105.0/24 gateway=ether2 pref-src=10.105.105.2 routing-mark=cesta2

add dst-address=0.0.0.0/0 gateway=10.105.105.1 pref-src=10.105.105.2 routing-mark=cesta2

add dst-address=0.0.0.0/0 type=unreachable distance=5 routing-mark=cesta2

/ip route rule

add action=lookup-only-in-table src-address=10.105.105.2 table=cesta2

Tohle ale někde stejně nefunguje.

pedro4444

to je cele:

este raz teraz som dal compact export a z toho som ti to vybral:

/ip route

add comment="cesta2 u CR" distance=1 gateway=10.105.105.1 routing-mark=\

cesta2

add comment="default cesta" distance=1 gateway=192.168.21.1

add comment=klienti distance=1 dst-address=10.95.0.0/16 gateway=10.15.9.2

ty to mas trocha rozsirene naco tam davas aj ten lookup?

a inak ine vecicky ked takto odchytavam ktore nevytvaram v mk ale cez neho prechadzaju teda nezvolim output ale prerouting lebo to ma preroutovat tak to pekne prehadzuje ale ked sa to spojenie tvori v mk bude treba veru ine smerovanie pouzit lebo to nerobi dobrotu...

a no cez connection som to odflitroval a presne to robi to co si predpoklada mangle to odchytava ale v connection sa to pokusa spojit cez eth1 a to je presne nahovno takze to mangle to neprehadzuje na routu dva.

majklik

V connections nevidíš, kterým fyzickým portme to odchází. Vidíš jenom jakou zdrojovou adresu to použije. Dle mého se ten policy routing uplatní, odchází ti to druhou linkou se zdrojovou adresou odpovídající té první. Proto chci, ať si to ověříš tím Torchem na tom portu přímo. Pokud tomu tak bude, tak máš vyhráno, pak už jen nastupuje jedno ze tří řešení:

a) Neívm, jak je impolementován vnitřně ten PPTP klient, zda volí zdrojovou adresu natvrdo nebo ne. Pokud si sám nevolí adresu natvrdo, tak je šance mu vnutit správnou zdrojovou adresu tím pref-src=10.105.105.2, jak mám v té ukázce s tím, jak má tne policy routing druhým portem vypadat komplet.

b) Tu adresu zkrátka přepíšeš pomocí src nat. Na ten ether2 dej pravidlo, co budě dělat src-nat na IPčko toho ether2 a možná se ti to rozjede (jde NATovat lokálně vzniklá odchozí spojení).

c) Jde to řešit pomocí VRF, ale to už je trošku overkill.

pedro4444

V connections nevidíš, kterým fyzickým portme to odchází. Vidíš jenom jakou zdrojovou adresu to použije. Dle mého se ten policy routing uplatní, odchází ti to druhou linkou se zdrojovou adresou odpovídající té první. Proto chci, ať si to ověříš tím Torchem na tom portu přímo. Pokud tomu tak bude, tak máš vyhráno, pak už jen nastupuje jedno ze tří řešení:

a) Neívm, jak je impolementován vnitřně ten PPTP klient, zda volí zdrojovou adresu natvrdo nebo ne. Pokud si sám nevolí adresu natvrdo, tak je šance mu vnutit správnou zdrojovou adresu tím pref-src=10.105.105.2, jak mám v té ukázce s tím, jak má tne policy routing druhým portem vypadat komplet.

b) Tu adresu zkrátka přepíšeš pomocí src nat. Na ten ether2 dej pravidlo, co budě dělat src-nat na IPčko toho ether2 a možná se ti to rozjede (jde NATovat lokálně vzniklá odchozí spojení).

c) Jde to řešit pomocí VRF, ale to už je trošku overkill.

majklik ja to vravim ty si hlavicka!!!!!!! Konecne som sa ku tomu dostal a veru v torch som videl zdrojovu ip tej prvej linky a tak som to prenatoval ako si napisal v tom druhom bode a uz to fici! :)

vazne diki za tvoje rady a usmernenie... :))))