Roteador Linux: o ping não retorna

14

Eu tenho uma caixa Debian que estou tentando configurar como roteador e uma caixa Ubuntu que estou usando como cliente.

Meu problema é que, quando o cliente Ubuntu tenta executar ping em um servidor na Internet, todos os pacotes são perdidos (embora, como você pode ver abaixo, eles pareçam ir ao servidor e voltar sem problemas).

Estou fazendo isso na caixa do Ubuntu:

# ping -I eth1 my.remote-server.com
PING my.remote-server.com (X.X.X.X) from 10.1.1.12 eth1: 56(84) bytes of data.
^C
--- my.remote-server.com ping statistics ---
13 packets transmitted, 0 received, 100% packet loss, time 12094ms

(Alterei o nome e o IP do servidor remoto por privacidade).

No roteador Debian, vejo o seguinte:

# tcpdump -i eth1 -qtln icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 65535 bytes
IP X.X.X.X > 10.1.1.12: ICMP echo reply, id 305, seq 7, length 64
IP 10.1.1.12 > X.X.X.X: ICMP echo request, id 305, seq 8, length 64
IP X.X.X.X > 10.1.1.12: ICMP echo reply, id 305, seq 8, length 64
IP 10.1.1.12 > X.X.X.X: ICMP echo request, id 305, seq 9, length 64
IP X.X.X.X > 10.1.1.12: ICMP echo reply, id 305, seq 9, length 64
IP 10.1.1.12 > X.X.X.X: ICMP echo request, id 305, seq 10, length 64
IP X.X.X.X > 10.1.1.12: ICMP echo reply, id 305, seq 10, length 64
IP 10.1.1.12 > X.X.X.X: ICMP echo request, id 305, seq 11, length 64
IP X.X.X.X > 10.1.1.12: ICMP echo reply, id 305, seq 11, length 64
^C
9 packets captured
9 packets received by filter
0 packets dropped by kernel

# tcpdump -i eth2 -qtln icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth2, link-type EN10MB (Ethernet), capture size 65535 bytes
IP 192.168.1.10 > X.X.X.X: ICMP echo request, id 360, seq 213, length 64
IP X.X.X.X > 192.168.1.10: ICMP echo reply, id 360, seq 213, length 64
IP 192.168.1.10 > X.X.X.X: ICMP echo request, id 360, seq 214, length 64
IP X.X.X.X > 192.168.1.10: ICMP echo reply, id 360, seq 214, length 64
IP 192.168.1.10 > X.X.X.X: ICMP echo request, id 360, seq 215, length 64
IP X.X.X.X > 192.168.1.10: ICMP echo reply, id 360, seq 215, length 64
IP 192.168.1.10 > X.X.X.X: ICMP echo request, id 360, seq 216, length 64
IP X.X.X.X > 192.168.1.10: ICMP echo reply, id 360, seq 216, length 64
IP 192.168.1.10 > X.X.X.X: ICMP echo request, id 360, seq 217, length 64
IP X.X.X.X > 192.168.1.10: ICMP echo reply, id 360, seq 217, length 64
^C
10 packets captured
10 packets received by filter
0 packets dropped by kernel

E no servidor remoto, vejo o seguinte:

# tcpdump -i eth0 -qtln icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
IP Y.Y.Y.Y > X.X.X.X: ICMP echo request, id 360, seq 1, length 64
IP X.X.X.X > Y.Y.Y.Y: ICMP echo reply, id 360, seq 1, length 64
IP Y.Y.Y.Y > X.X.X.X: ICMP echo request, id 360, seq 2, length 64
IP X.X.X.X > Y.Y.Y.Y: ICMP echo reply, id 360, seq 2, length 64
IP Y.Y.Y.Y > X.X.X.X: ICMP echo request, id 360, seq 3, length 64
IP X.X.X.X > Y.Y.Y.Y: ICMP echo reply, id 360, seq 3, length 64
IP Y.Y.Y.Y > X.X.X.X: ICMP echo request, id 360, seq 4, length 64
IP X.X.X.X > Y.Y.Y.Y: ICMP echo reply, id 360, seq 4, length 64
IP Y.Y.Y.Y > X.X.X.X: ICMP echo request, id 360, seq 5, length 64
IP X.X.X.X > Y.Y.Y.Y: ICMP echo reply, id 360, seq 5, length 64
IP Y.Y.Y.Y > X.X.X.X: ICMP echo request, id 360, seq 6, length 64
IP X.X.X.X > Y.Y.Y.Y: ICMP echo reply, id 360, seq 6, length 64
IP Y.Y.Y.Y > X.X.X.X: ICMP echo request, id 360, seq 7, length 64
IP X.X.X.X > Y.Y.Y.Y: ICMP echo reply, id 360, seq 7, length 64
IP Y.Y.Y.Y > X.X.X.X: ICMP echo request, id 360, seq 8, length 64
IP X.X.X.X > Y.Y.Y.Y: ICMP echo reply, id 360, seq 8, length 64
IP Y.Y.Y.Y > X.X.X.X: ICMP echo request, id 360, seq 9, length 64
IP X.X.X.X > Y.Y.Y.Y: ICMP echo reply, id 360, seq 9, length 64

18 packets captured
228 packets received by filter
92 packets dropped by kernel

Aqui "XXXX" é o IP do meu servidor remoto e "AAAA" é o IP público da minha rede local. Então, o que eu entendo é que os pacotes de ping estão saindo da caixa Ubuntu (10.1.1.12), para o roteador (10.1.1.1), de lá para o próximo roteador (192.168.1.1) e alcançando o servidor remoto (XXXX ) Então eles voltam até o roteador Debian, mas nunca chegam à caixa do Ubuntu de volta.

o que estou perdendo?

Aqui está a configuração do roteador Debian:

# ifconfig
eth1      Link encap:Ethernet  HWaddr 94:0c:6d:82:0d:98  
          inet addr:10.1.1.1  Bcast:10.1.1.255  Mask:255.255.255.0
          inet6 addr: fe80::960c:6dff:fe82:d98/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:105761 errors:0 dropped:0 overruns:0 frame:0
          TX packets:48944 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:40298768 (38.4 MiB)  TX bytes:44831595 (42.7 MiB)
          Interrupt:19 Base address:0x6000 

eth2      Link encap:Ethernet  HWaddr 6c:f0:49:a4:47:38  
          inet addr:192.168.1.10  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::6ef0:49ff:fea4:4738/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:38335992 errors:0 dropped:0 overruns:0 frame:0
          TX packets:37097705 errors:0 dropped:0 overruns:0 carrier:1
          collisions:0 txqueuelen:1000 
          RX bytes:4260680226 (3.9 GiB)  TX bytes:3759806551 (3.5 GiB)
          Interrupt:27 

eth3      Link encap:Ethernet  HWaddr 94:0c:6d:82:c8:72  
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
          Interrupt:20 Base address:0x2000 

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:3408 errors:0 dropped:0 overruns:0 frame:0
          TX packets:3408 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:358445 (350.0 KiB)  TX bytes:358445 (350.0 KiB)

tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  
          inet addr:10.8.0.1  P-t-P:10.8.0.2  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:2767779 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1569477 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100 
          RX bytes:3609469393 (3.3 GiB)  TX bytes:96113978 (91.6 MiB)


# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.8.0.2        0.0.0.0         255.255.255.255 UH    0      0        0 tun0
127.0.0.1       0.0.0.0         255.255.255.255 UH    0      0        0 lo
10.8.0.0        10.8.0.2        255.255.255.0   UG    0      0        0 tun0
192.168.1.0     0.0.0.0         255.255.255.0   U     1      0        0 eth2
10.1.1.0        0.0.0.0         255.255.255.0   U     0      0        0 eth1
0.0.0.0         192.168.1.1     0.0.0.0         UG    0      0        0 eth2

# arp -n 
# Note: Here I have changed all the different MACs except the ones corresponding to the Ubuntu box (on 10.1.1.12 and 192.168.1.12)
Address                  HWtype  HWaddress           Flags Mask            Iface
192.168.1.118            ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.72             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.94             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.102            ether   NN:NN:NN:NN:NN:NN   C                     eth2
10.1.1.12                ether   00:1e:67:15:2b:f0   C                     eth1
192.168.1.86             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.2              ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.61             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.64             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.116            ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.91             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.52             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.93             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.87             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.92             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.100            ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.40             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.53             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.1              ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.83             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.89             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.12             ether   00:1e:67:15:2b:f1   C                     eth2
192.168.1.77             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.66             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.90             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.65             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.41             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.78             ether   NN:NN:NN:NN:NN:NN   C                     eth2
192.168.1.123            ether   NN:NN:NN:NN:NN:NN   C                     eth2


# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination   

# iptables -L -n -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
MASQUERADE  all  --  10.1.1.0/24         !10.1.1.0/24         
MASQUERADE  all  -- !10.1.1.0/24          10.1.1.0/24         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

E aqui está a caixa do Ubuntu:

# ifconfig
eth0      Link encap:Ethernet  HWaddr 00:1e:67:15:2b:f1  
          inet addr:192.168.1.12  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::21e:67ff:fe15:2bf1/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:28785139 errors:0 dropped:0 overruns:0 frame:0
          TX packets:19050735 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:32068182803 (32.0 GB)  TX bytes:6061333280 (6.0 GB)
          Interrupt:16 Memory:b1a00000-b1a20000 

eth1      Link encap:Ethernet  HWaddr 00:1e:67:15:2b:f0  
          inet addr:10.1.1.12  Bcast:10.1.1.255  Mask:255.255.255.0
          inet6 addr: fe80::21e:67ff:fe15:2bf0/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:285086 errors:0 dropped:0 overruns:0 frame:0
          TX packets:12719 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:30817249 (30.8 MB)  TX bytes:2153228 (2.1 MB)
          Interrupt:16 Memory:b1900000-b1920000 

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:86048 errors:0 dropped:0 overruns:0 frame:0
          TX packets:86048 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:11426538 (11.4 MB)  TX bytes:11426538 (11.4 MB)

# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.1.1     0.0.0.0         UG    0      0        0 eth0
0.0.0.0         10.1.1.1        0.0.0.0         UG    100    0        0 eth1
10.1.1.0        0.0.0.0         255.255.255.0   U     0      0        0 eth1
10.8.0.0        192.168.1.10    255.255.255.0   UG    0      0        0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 eth0
192.168.1.0     0.0.0.0         255.255.255.0   U     1      0        0 eth0

# arp -n
# Note: Here I have changed all the different MACs except the ones corresponding to the Debian box (on 10.1.1.1 and 192.168.1.10)
Address                  HWtype  HWaddress           Flags Mask            Iface
192.168.1.70             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.90             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.97             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.103            ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.13             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.120                    (incomplete)                              eth0
192.168.1.111            ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.118            ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.51             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.102                    (incomplete)                              eth0
192.168.1.64             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.52             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.74                     (incomplete)                              eth0
192.168.1.94             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.121            ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.72             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.87             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.91             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.71             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.78             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.83             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.88                     (incomplete)                              eth0
192.168.1.82             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.98             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.100            ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.93             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.73             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.11             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.85                     (incomplete)                              eth0
192.168.1.112            ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.89             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.65             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.81             ether   NN:NN:NN:NN:NN:NN   C                     eth0
10.1.1.1                 ether   94:0c:6d:82:0d:98   C                     eth1
192.168.1.53             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.116            ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.61             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.10             ether   6c:f0:49:a4:47:38   C                     eth0
192.168.1.86                     (incomplete)                              eth0
192.168.1.119            ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.66             ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.1              ether   NN:NN:NN:NN:NN:NN   C                     eth0
192.168.1.1              ether   NN:NN:NN:NN:NN:NN   C                     eth1
192.168.1.92             ether   NN:NN:NN:NN:NN:NN   C                     eth0

# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination  

# iptables -L -n -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination

Edit: Seguindo a sugestão de Patrick, eu fiz um tcpdump com a caixa Ubuntu e vejo isso:

# tcpdump -i eth1 -qtln icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 65535 bytes
IP 10.1.1.12 > X.X.X.X: ICMP echo request, id 21967, seq 1, length 64
IP X.X.X.X > 10.1.1.12: ICMP echo reply, id 21967, seq 1, length 64
IP 10.1.1.12 > X.X.X.X: ICMP echo request, id 21967, seq 2, length 64
IP X.X.X.X > 10.1.1.12: ICMP echo reply, id 21967, seq 2, length 64
IP 10.1.1.12 > X.X.X.X: ICMP echo request, id 21967, seq 3, length 64
IP X.X.X.X > 10.1.1.12: ICMP echo reply, id 21967, seq 3, length 64
IP 10.1.1.12 > X.X.X.X: ICMP echo request, id 21967, seq 4, length 64
IP X.X.X.X > 10.1.1.12: ICMP echo reply, id 21967, seq 4, length 64
IP 10.1.1.12 > X.X.X.X: ICMP echo request, id 21967, seq 5, length 64
IP X.X.X.X > 10.1.1.12: ICMP echo reply, id 21967, seq 5, length 64
IP 10.1.1.12 > X.X.X.X: ICMP echo request, id 21967, seq 6, length 64
IP X.X.X.X > 10.1.1.12: ICMP echo reply, id 21967, seq 6, length 64
^C
12 packets captured
12 packets received by filter
0 packets dropped by kernel

Portanto, a pergunta é: se todos os pacotes parecem ir e vir, por que o ping relata 100% de perda de pacotes?

— El Barto
fonte

como é a sua configuração do iptables? Você está bloqueando pacotes ICMP?

— Zypher 23/05

Não, eu não sou. Acabei de adicionar a saída do iptables -L -nroteador Debian. Está vazio.

— El Barto 23/05

Eu sou, mas não fazem isso?:MASQUERADE all -- 10.1.1.0/24 !10.1.1.0/24 MASQUERADE all -- !10.1.1.0/24 10.1.1.0/24

— El Barto

1

Que tal um tcpdump da 'caixa do ubuntu'? O tcpdump do 'debian router' mostra claramente os pacotes de resposta que estão sendo enviados. O tcpdump opera fora da filtragem no nível do kernel, portanto, se o kernel está descartando as respostas por qualquer motivo, o tcpdump no 'ubuntu box' deve pelo menos mostrá-los chegando à caixa. Em outra nota, você forneceu muitas informações úteis de uma maneira muito clara, é bom ter aqui.

— 247 Patrick

Obrigado, @Patrick. Eu fiz um tcpdump na caixa Ubuntu e os pacotes parecem estar voltando, mas o ping ainda mostra 100% de perda de pacotes.

— El Barto 24/05

9

De sua pergunta nos comentários:

No servidor remoto, vejo solicitações e respostas. Mas no roteador Debian não vejo nada ... em nenhuma das interfaces! Meu palpite é que agora, a caixa do Ubuntu está falando diretamente com o roteador no 192.168.1.1, apesar de enviar solicitações com IP 10.1.1.12, para que não possa ser roteada de volta. Mas por que??

No servidor Ubuntu:

# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.1.1     0.0.0.0         UG    0      0        0 eth0 <---
0.0.0.0         10.1.1.1        0.0.0.0         UG    100    0        0 eth1

No momento em que você capturou essa tabela de roteamento, você tem um padrão de métrica mais baixo ao eth0apontar para o seu roteador em 192.168.1.1 (isto é, não na máquina debian). Um padrão de métrica mais baixo é sempre seguido primeiro, o que significa que o Ubuntu deseja enviar todo o tráfego não conectado diretamente para 192.168.1.1.

Quando você tiver tempo de inatividade disponível, remova esse padrão com

route del default gw 192.168.1.1 dev eth0

Ainda estou fervilhando com o problema maior (os rastros originais do sniffer mostram respostas de ping no Ubuntu: eth1, mas nenhum ping aceito pelo sistema operacional). Você poderia fazer ping no Ubuntu: eth1 e capturar simultaneamente no Debian: eth2 para demonstrar o que está acontecendo com o NAT depois de forçar o Ubuntu a enviar todo o tráfego através do Debian novamente?

— Mike Pennington
fonte

Obrigado, sua resposta sobre a métrica foi útil. No momento, não consigo remover a rota padrão através do 192.168.1.1, mas verificarei isso mais tarde. Atualmente, o tcpdump no Debian: eth2 não mostra nada (eu acho) porque os pacotes estão sendo enviados diretamente para 192.168.1.1. Mas o que aconteceu antes está no meu post original. Verifique onde está escrito "No roteador Debian, eu vejo isso".

— El Barto

É difícil dizer sobre o problema original ... minha sugestão: redefinir tudo depois de remover o padrão ... faça todas as suas capturas de sniffer de uma só vez. Além disso, se possível obtenha informações sobre o endereço mac src / dest além dos IPs src / dest ... o mundo perfeito é usar tshark(wireshark no modo de texto) e você pode especificar quais campos deseja capturar ... veja meu pergunta aqui para um exemplo. Por fim, você pode executar ping em outros destinos na Internet quando o problema está acontecendo?

— 9788 Mike Junning

Obrigado, Mike. Vou verificar sem a rota padrão em algumas horas quando as pessoas saem do escritório. Em relação a outros destinos, é engraçado. Acabei de tentar executar o ping no google.com e estou obtendo o mesmo resultado que fiz anteriormente no servidor remoto: consigo ver pacotes ICMP entrando e saindo pelas interfaces apropriadas, mas pingainda mostrando 100% de perda de pacotes. Suponho que essa diferença entre o Google e meu servidor remoto esteja relacionada ao cache de rotas. Estou certo?

— El Barto

Ainda não posso dizer sobre o motivo das falhas no ping ... Não tenho evidências suficientes. Esse é um problema incomum ... algumas sugestões para ajudar a diagnosticar. Use ping -v <destination>para ver se você obtém mais diagnósticos sobre por que os pings estão falhando ... Além disso, acompanhe seus pings, começando com localhost, depois o ubuntu ethernet ip addr, o gw padrão, um salto depois e assim por diante até encontrar onde eles começar a falhar. Além disso, por favor, não especificar a interface quando você faz isso ...

— Mike Pennington

Vou checar algumas horas. Atualmente, se eu executar ping sem especificar uma interface, ele passará pelo gateway padrão que é 192.168.1.1.

— El Barto

8

Você verificou se a filtragem de caminho reverso está ativada na caixa Ubuntu?

É uma configuração sysctl ( net.ipv4.conf.all.rp_filter), ele filtrará os pacotes recebidos se o endereço de origem estiver chegando na interface "errada" (ou seja, não na interface para a qual o kernel o encaminharia)

Você também pode tentar net.ipv4.conf.all.log_martians=1ver o que está acontecendo.

— Jeroen van Bemmel
fonte

1

Este comentário me levou na direção certa, mas tive que desativá-lo para a interface específica, como: #sysctl net.ipv4.conf.eth1.rp_filter=0

— konrad

2

A chave para fazer isso funcionar é criar tabelas de roteamento separadas para as diferentes interfaces e instruir a pilha de rede a usar essas tabelas de roteamento em vez da padrão.

No seu caso, isso deve ping -I eth2 8.8.8.8funcionar:

# register the 'foo' table name and give it id 1
echo '1 foo' >> /etc/iproute2/rt_tables

# setup routing table 'foo'
ip route add 192.168.1.0/24 dev eth2 src 192.168.1.10 table foo
ip route add default via 192.168.1.1 table foo

# use routing table 'foo' for address 192.168.1.10
ip rule add from 192.168.1.10 table foo

Mais informações sobre roteamento para vários uplinks podem ser encontradas no LARTC HOWTO: http://lartc.org/howto/lartc.rpdb.multiple-links.html

— Konrad
fonte

-1

Se o seu iptables estiver completamente em branco (além da instrução mascarada), você provavelmente precisará adicionar uma cadeia FORWARDING para permitir o tráfego através da caixa. Tente iniciar a partir de uma configuração de trabalho conhecida

http://wiki.debian.org/DebianFirewall#Using_iptables_for_IPv4_traffic

Isso também inclui a confirmação de que você deve encaminhar no sysctl e tal.

— rnxrx
fonte

A cadeia FORWARD tem sua política definida como ACEITAR, está bem. O tcpdump também mostra os pacotes sendo encaminhados corretamente (nas duas direções).

— 244 Patrick

Talvez esteja faltando alguma coisa, mas sua rota padrão na caixa Ubuntu é através de um roteador separado, não na caixa Debian. Na caixa Ubuntu, você especifica que deseja que os pacotes sejam originários da 10.1.1.12, mas sua rota padrão é através da 192.168.1.1. Se você deseja que o roteador Debian traduza esse tráfego, o host Ubuntu precisa rotear seu tráfego de saída através desse dispositivo, não do roteador. Tente adicionar uma rota ao seu servidor remoto através da caixa Debian e veja como isso funciona.

— Rnxrx

A questão é que a caixa Debian está atualmente atrás de outro roteador. Portanto, o caminho que os pacotes devem seguir é da caixa Ubuntu, da caixa Debian, através do outro roteador para o servidor remoto na Internet (e vice-versa). Pelo que vejo no tcpdump, isso parece estar funcionando, mas em algum momento há algo faltando porque pingrelata os pacotes como perdidos.

— El Barto

-1

Você precisa configurar o NAT.

Em uma configuração típica, uma rede local usa uma das sub-redes de endereços IP "particulares" designadas. Um roteador nessa rede possui um endereço particular nesse espaço de endereço. O roteador também está conectado à Internet com um endereço "público" atribuído por um provedor de serviços da Internet. À medida que o tráfego passa da rede local para a Internet, o endereço de origem em cada pacote é traduzido rapidamente de um endereço privado para o endereço público. O roteador rastreia dados básicos sobre cada conexão ativa (principalmente o endereço e a porta de destino). Quando uma resposta retorna ao roteador, ela usa os dados de rastreamento de conexão armazenados durante a fase de saída para determinar o endereço privado na rede interna para a qual encaminhar a resposta.

— Jerry
fonte

O NAT já está configurado. Observe que os pacotes no tcpdump no roteador e no tcpdump no servidor remoto mostram os pacotes que foram SNATed para o novo endereço. O tcpdumps também mostra os pacotes de retorno sendo restaurados corretamente.

— 243 Patrick