LINUX.ORG.RU
Форум — Admin  

из локалки нгаволю через впн. пинг есть коннекту нет ((


0

0

такая проблемка. есть машинка на адсл, через впн в инет. на ней мандраке 10.1 ядро из пакта 2.6.8

в настройках иптаблеса сделано:
iptables -t nat -A POSTROUTING -s 192.168.0.2/32 -j MASQUERADE
(ну и соответственно 3, 4, 5 для других машин)

еще есть некоторые ограничения
iptables -A INPUT -p tcp -i ppp0 -d 213.204.200.155/32 --dport 1:1100 -j DROP
iptables -A OUTPUT -p tcp -o ppp0 -d 213.204.200.155/32 --dport 137:139 -j DROP
iptables -A FORWARD -p tcp -s 0/0 -d 0/0 --dport 137:139 -j DROP
iptables -A FORWARD -p udp -s 0/0 -d 0/0 --dport 137:139 -j DROP
(где 213.204.200.155 - мой адрес впн)

и вот, такая фигня: с машинок в локалке проходят пинги наружу. можно пинговать майл.ру но при этом, загрузить страницу с этого сервера на машины в локалке невозможно ("задумываются" в процессе сервер найден ожидается ответ )
при этом с машинки "шлюза" все нормально. та же история наблюдается с подавляющим большинством серверов в инете. находится они находятся, пингуются но ответы от серверов по хттп теряются гдейто на шлюзе.
исключение составляют очень немногие сайты, например ya.ru
потому, совершенно не понятно, как локализовать и исправить данную проблему (ежлиб все напроч не работалло и пинг не проходил, былоб понятно, а так просто непойму куда и ковырять то)
вообщем вопрос - ктойнить сталкивался с подобным и как это вылечить???

anonymous
← шлюз для сайтов
Разные дистрибутивы на PDC и BDC? →

проблема с размером MTU

сделай
iptables -I 1 FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --сlamp-mss-to-pmtu
и будет тебе счастье

anonymous
()
Ответ на: комментарий от anonymous

непосредственно на приведенную строку ругается, мол неверный номер правила.
ежли так:
iptables -IFORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --сlamp-mss-to-pmtu
то ругается Unknown arg `--сlamp-mss-to-mtu'

я предположил, что имеется в виду следующее:
///CONFIG_IP_NF_TARGET_TCPMSS - Эта опция может использоваться для преодоления ограничений, накладываемых некоторыми провайдерами (Internet Service Providers), которые блокируют ICMP Fragmentation Needed пакеты. В результате таких ограничений серверы провайдеров могут не передавать web-страницы, ssh может работать, в то время как scp обрывается после установления соединения и пр. Для преодоления подобного рода ограничений мы можем использовать действие TCPMSS ограничивая значение MSS (Maximum Segment Size) (обычно MSS ограничивается размером MTU исходящего интерфейса минус 40 байт прим. перев.). Таким образом мы получаем возможность преодолеть то, что авторы netfilter называют "преступной безмозглостью провайдеров или серверов" ("criminally braindead ISPs or servers") в справке по конфигурации ядра.///

но как при этом исправить запись то есть описание синтаксиса и аргументов для TCPMSS нге нашел.

может подскажете, как это бутет выглядеть в правильном виде?

anonymous
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← шлюз для сайтов
Admin
Разные дистрибутивы на PDC и BDC? →