Vyr: presmerovanie neplatica na php-server

pedro4444

Zdravim vo spolok

riesim jeden kuriozny problem.

Na zaciatok nacrt topologie:

http://pedro4444.tym.sk/server.jpeg

Potrebujem neplaticovi presmerovat 80,443 port na php server port 80 kde mu naskoci upozornovacia stranka.

Keby som mal server pichnuty v hlavnom routri nemal by som ziadny problem to spravit cez dst-nat a nadefinovat nech urcite ip ( v address liste) prehadzuje na ip 192.168.2.2

Ale v tomto pripade kedze to je zapojene do rb2011 kde nemozem urobit dst-nat kvoli fast patch tak stranku uzivatelovi nezobrazi.

Predpokladam ze chyba bude pretoze paket ide na ciel inou cestou ako sa vracia..

Prva uzivatel ide na internet v hlavnom ho dst nat prehodi na server a ked sa poziadavka vracia spat tak uz to samozrejme prejde len cez RB2011.

Napada Vas nejake riesenie ako odstranit tento problem aby som nemusel v hlavnom robit src nat pretoze IP neplatica potrebujem pre identifikaciu.

majklik

To stejné tu o pár hodin dříve řešil a vyřešil někdo jiný: <--- l -->viewtopic.php?f=5&t=14102<--- l -->

Musíš v takovém případě použít kombinaci dst-nat a src-nat na té bráně.

A nebo si třeba natáhnout VLANu přes tu RB2011, aby logicky byl WWW server zapojen do brány a ne RB2011 z pohledu routingu.

Nemlžeš přesměrovat port 443 (HTTPS) na 80 (HTTP), jen 80 na 80 a 443 na 443 (ale s tím, že lidem budou prohlížeče řvát na podvodnou stránku/neplantý certifikát).

pedro4444

To stejné tu o pár hodin dříve řešil a vyřešil někdo jiný: viewtopic.php?f=5&t=14102

Musíš v takovém případě použít kombinaci dst-nat a src-nat na té bráně.

A nebo si třeba natáhnout VLANu přes tu RB2011, aby logicky byl WWW server zapojen do brány a ne RB2011 z pohledu routingu.

Nemlžeš přesměrovat port 443 (HTTPS) na 80 (HTTP), jen 80 na 80 a 443 na 443 (ale s tím, že lidem budou prohlížeče řvát na podvodnou stránku/neplantý certifikát).

majklik ten prispevok som sledoval ale ja mam ten problem ze ja nemozem pouzit srcnat pretoze potom mi do servera pride IP hlavneho routra a ja potrebujem aby prisla v hlavicke ip neplatica, pretoze ja mam stranku neplatica kde je tlacitko na odblokovane ked si to zakaznik precita a klikne nan tak potom server posle cez api prikaz do hlavneho mikrotiku aby v addres liste zakazal jeho ip....

Preto vravim ze dost kuriozny prolbem lebo uz som skusal vseliake veci ale vysledok stale nulovy pretoze ta zdrojova ip tam musim byt a inak ma nenapadlo ako to dostat ten paket kade ja chcem...

majklik

Tak si to hoď tou VLANou. Udělej VLAN nad eth2 na hlavním routeru a pošli ji na tu síťvku v tom web serveru a skrz to si udělej spojovák /30 a máš to. Budeš muset dát tu vlan i nad eth1 a eth3 v tom RB2011 a udělat mezi nima bridge, ale to by ti fast path nemělo rozbít. V cílílovém linuxíku jen pomocí policy routingu uděláš, že co dojde tou vlanou, tak se do vlany i odpoví a půjde ti to tak zpět přes hlavní bránu. Na hlavní bráně pak ten dst nat na IPčko WWW serveru přidělené do té VLANy.

pedro4444

Tak si to hoď tou VLANou. Udělej VLAN nad eth2 na hlavním routeru a pošli ji na tu síťvku v tom web serveru a skrz to si udělej spojovák /30 a máš to. Budeš muset dát tu vlan i nad eth1 a eth3 v tom RB2011 a udělat mezi nima bridge, ale to by ti fast path nemělo rozbít. V cílílovém linuxíku jen pomocí policy routingu uděláš, že co dojde tou vlanou, tak se do vlany i odpoví a půjde ti to tak zpět přes hlavní bránu. Na hlavní bráně pak ten dst nat na IPčko WWW serveru přidělené do té VLANy.

vidis cez Vlan by to mohlo ist ako vravis skusim sa teda s tym pohrat touto cestou diki za nakopnutie..:)

majklik

Jinak to jde i bez té VLANy, ale rozbije to fast path na tom portu eth3 pro příchozí provoz u RB2011. Předpoládám, že na té adrese 192.168.2.2 máš i weby jiné, než jen neplatiče. Tak pak tam přihod ještě další adresu na ten web server, Třeba 192.168.2.66/30 a přesměrovávej na hlavní bráně na adresu 192.168.2.66. Na té rb20111 pak jen to, co přijde přes port eth3 od 192.168.2.66 pomocí policy routingu pošli natvrdo na 10.65.1.1:

/ip route rule add interface=ether3 src-address=192.168.2.66 action=lookup-only-in-table table=navratneplatice

/ip route add dst-address=10.65.1.1 routing-mark=navratneplatice

/ip route add type=unreachable distance=5 routing-mark=navratneplatice

Pokud IP 192.168.2.2 slouží pouze pro neplatiče, tak můžes takto použít přímo i tu.

pedro4444

Jinak to jde i bez té VLANy, ale rozbije to fast path na tom portu eth3 pro příchozí provoz u RB2011. Předpoládám, že na té adrese 192.168.2.2 máš i weby jiné, než jen neplatiče. Tak pak tam přihod ještě další adresu na ten web server, Třeba 192.168.2.66/30 a přesměrovávej na hlavní bráně na adresu 192.168.2.66. Na té rb20111 pak jen to, co přijde přes port eth3 od 192.168.2.66 pomocí policy routingu pošli natvrdo na 10.65.1.1:

/ip route rule add interface=ether3 src-address=192.168.2.66 action=lookup-only-in-table table=navratneplatice

/ip route add dst-address=10.65.1.1 routing-mark=navratneplatice

/ip route add type=unreachable distance=5 routing-mark=navratneplatice

Pokud IP 192.168.2.2 slouží pouze pro neplatiče, tak můžes takto použít přímo i tu.

presne ako vravis toto by bolo tiez riesenie ale rozbilo by to fast path a to nechcem.. A jasne mam tam vela webov ale vsetko ma svoj port v apache2.

A inak zamyslel som sa nad riesenym Vlan aj to nie je presne co by som potreboval pretoze potom vsetko aj ja si budem chciet nieco stiahnut zo servera pojde to cez hlavny router a to nechcem....

Ked tak uvazujem jedine co to asi vyriesi bude kombinancia toho co ty vravis vytvorenie dalsej adresy na web servery a Vlan cez hlavny a tym padom len neplatici budu chodit cez hlavny a ostatne veci kopirovanie suborov pojde len cez RB RB2011.

Alebo ta napada este lahsie riesenie???

majklik

Ten policrz routing s použitím další IP ti požene skrz hlavní oruter jen ty neplatiče, ostantí pujde normálně. A fast path to poškodí jen data přicházející tím portme eth3. Nebo dneska možná ani to už ne, už to mají možná i opraveno.

VLAN je čistější z pohledu, kdy třeba používáš dynamickoý routing, že se s tím korektněji vyrovná. Jinka ani ten VLAN bridge nepoužije fast path, ale pro těch pár neplatičů je to snad jedno (nefunguje fast path na bridge, pokud se dají VLANy do bridge, když tam jsou rovnou etherX porty, tak to jde).

pedro4444

Ten policrz routing s použitím další IP ti požene skrz hlavní oruter jen ty neplatiče, ostantí pujde normálně. A fast path to poškodí jen data přicházející tím portme eth3. Nebo dneska možná ani to už ne, už to mají možná i opraveno.

VLAN je čistější z pohledu, kdy třeba používáš dynamickoý routing, že se s tím korektněji vyrovná. Jinka ani ten VLAN bridge nepoužije fast path, ale pro těch pár neplatičů je to snad jedno (nefunguje fast path na bridge, pokud se dají VLANy do bridge, když tam jsou rovnou etherX porty, tak to jde).

Majklik ty si hlavicka..:) a vyhoda je, ze na servery mam dve sietove karty tak uvazujem to spravit cez nu. Na tej druhej nastavim napr. ako si napisal ip 192.168.2.66/30 Gw: 192.168.2.65 a ta GW adresa bude na eth5 RB2011 a na nej nastavim to prehadzovanie vsetkych spojeny z eth5 na 10.65.1.1 a bude vyhrane..:))) Tymto riesenym osetrim aby teda fast patch som poskodil len na eth5 a to len pre neplaticov. Ostatne data, ktore sa budu tahat cez server pojdu cez fast....

Hned ako sa ku tomu dostanem...natiahnem kabel otestujem a dam vediet.

Kazdopadne este raz diki za tvoje opetovne nakopnutie. Ked pojdem okolo CZ a tvojho rajonu pivo ta neminie..:))))

frito

Ahoj udělej to jako já na :-)

edit:

napadlo mě to dnes ve sprše ani nevím jak prostě jsem si cákl vodu do obličeje a nápad byl na světě

hapi

jo je to ok až na jednu maličkatou věc. Pokud klient bude chtít "www.seznam.cz/pocasi" tak nepochodíš. Ano, přesměruje ho to ale ukáže se mu že stránka neexistuje :-) musíš ještě zapnout rewrite na webserveru a pomocí .htaccess přesměrovat vše na konkrétní stránku... a pak ani žádný čekání na přesměrování nepotřebuješ.

frito

No tak s tímhle moc zkušenosti nemám ani jsem to zatím nezkoušel ale jsem rád že částečně funkční a s tvým vylepšením to bude super pokud se rozhodne pro toto řešení.

pedro4444

Ahoj udělej to jako já na :-)

edit:

napadlo mě to dnes ve sprše ani nevím jak prostě jsem si cákl vodu do obličeje a nápad byl na světě

frido ak som ta spravne pochopil to co si ty napisal znatuje zdrojovu ip adresu, alebo som ta zle pochopil pretoze ja tu zdrojovu ip adresu potrebujem aby si to klient ako som uz pisal cez api mohol odblokovat....

pedro4444

jo je to ok až na jednu maličkatou věc. Pokud klient bude chtít "www.seznam.cz/pocasi" tak nepochodíš. Ano, přesměruje ho to ale ukáže se mu že stránka neexistuje :-) musíš ještě zapnout rewrite na webserveru a pomocí .htaccess přesměrovat vše na konkrétní stránku... a pak ani žádný čekání na přesměrování nepotřebuješ.

hapi si mi teraz presne trafil do cierneho akurat aj to riesim aby to presmerovalo aj ked tam je /nieco...

hodil som to do google

http://www.jakpsatweb.cz/server/mod-rewrite.html

skusim sa do toho vrhnut, ty to mas takto nejako v pohode spojazdene na svojom linuxovom servery???

reset

.... musíš ještě zapnout rewrite na webserveru a pomocí .htaccess přesměrovat vše na konkrétní stránku...

jen mala poznamka, rewrite mod je reseni, ale nepotrebujes ho, lze to vyresit i pres ErrorDocument 404

pedro4444

.... musíš ještě zapnout rewrite na webserveru a pomocí .htaccess přesměrovat vše na konkrétní stránku...

jen mala poznamka, rewrite mod je reseni, ale nepotrebujes ho, lze to vyresit i pres ErrorDocument 404

vies ma trochu naviest ze ako???

reset

http://www.jakpsatweb.cz/clanky/errordocument-404.html

pedro4444

diki reset za super nakopnutie trocha som sa potrapil ale to len kvoli mojej nepozornosti kedze som sa s tym hral v noci...

tazke moj kratky navodik:

takze do korena kde mate dotycnu stranku ku indexu vytvorite .htaccess tam date co pisu v manualy este tam vytvorite chybovku.html a tam si date co uz chcete a hotovka..:)