Проблема с маршрутизацией

openSuse 10.3

net.ipv4.ip_forward = 1 видимо :)

Может быть, форвардинг запрещён:
echo "1" >/proc/sys/net/ipv4/ip_forward

Может быть, транзитные пакеты запрещены:
iptables -I FORWARD 1 -j ACCEPT

Может быть, на получателе ICMP-пакеты запрещены...

Ну и само понятие "роутинг" - двунаправленное. То есть не только отправитель должен знать, куда пакеты слать, но и получатель должен знать, куда отвечать.

Если не полегчает после подсказок - дай ip route show со всех трёх машин (пингующий, роутер, пингуемый). iptables -L тоже желательно со всех трёх посмотреть...

Теперь 1, ничего не поменялось, после изменения запускал SuSEconfig

После iptables -I FORWARD 1 -j ACCEPT
на внешней сетевухе стали появляться запросы, но ответы на неё не приходят. Я имею доступ только к шлюзу. Насчёт пингующего компа не понимаю, зачем его конфиг, его пинги до меня доходят.

Шлюз(172.20.1.44,172.16.35.2):
dimlinux:/home/dim # iptables -L
Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
input_ext all -- anywhere anywhere
input_dmz all -- anywhere anywhere
input_ext all -- anywhere anywhere
LOG all -- anywhere anywhere limit: avg 3/min burst 5 LOG level warning tcp-options ip-options prefix `SFW2-IN-ILL-TARGET '
DROP all -- anywhere anywhere

Chain FORWARD (policy DROP)
target prot opt source destination
ACCEPT all -- anywhere anywhere
LOG all -- anywhere anywhere limit: avg 3/min burst 5 LOG level warning tcp-options ip-options prefix `SFW2-FWD-ILL-ROUTING '

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere state NEW,RELATED,ESTABLISHED
LOG all -- anywhere anywhere limit: avg 3/min burst 5 LOG level warning tcp-options ip-options prefix `SFW2-OUT-ERROR '

Chain forward_dmz (0 references) target prot opt source destination

Chain forward_ext (0 references) target prot opt source destination

Chain input_dmz (1 references) target prot opt source destination ACCEPT udp -- anywhere anywhere PKTTYPE = broadcast udp dpt:137 ACCEPT udp -- anywhere anywhere PKTTYPE = broadcast udp dpt:138 DROP all -- anywhere anywhere PKTTYPE = broadcast ACCEPT icmp -- anywhere anywhere icmp source-quench ACCEPT icmp -- anywhere anywhere icmp echo-request LOG tcp -- anywhere anywhere limit: avg 3/min burst 5 tcp dpt:3128 flags:FIN,SYN,RST,ACK/SYN LOG level warning tcp-options ip-options prefix `SFW2-INdmz-ACC-TCP ' ACCEPT tcp -- anywhere anywhere tcp dpt:3128 LOG tcp -- anywhere anywhere limit: avg 3/min burst 5 tcp dpt:445 flags:FIN,SYN,RST,ACK/SYN LOG level warning tcp-options ip-options prefix `SFW2-INdmz-ACC-TCP ' ACCEPT tcp -- anywhere anywhere tcp dpt:445 LOG tcp -- anywhere anywhere limit: avg 3/min burst 5 tcp dpt:139 flags:FIN,SYN,RST,ACK/SYN LOG level warning tcp-options ip-options prefix `SFW2-INdmz-ACC-TCP ' ACCEPT tcp -- anywhere anywhere tcp dpt:139 ACCEPT udp -- anywhere anywhere udp dpt:138 ACCEPT udp -- anywhere anywhere udp dpt:137 LOG all -- anywhere anywhere limit: avg 3/min burst 5 PKTTYPE = multicast LOG level warning tcp-options ip-options prefix `SFW2-INdmz-DROP-DEFLT ' DROP all -- anywhere anywhere PKTTYPE = multicast LOG tcp -- anywhere anywhere limit: avg 3/min burst 5 tcp flags:FIN,SYN,RST,ACK/SYN LOG level warning tcp-options ip-options prefix `SFW2-INdmz-DROP-DEFLT ' LOG icmp -- anywhere anywhere limit: avg 3/min burst 5 LOG level warning tcp-options ip-options prefix `SFW2-INdmz-DROP-DEFLT ' LOG udp -- anywhere anywhere limit: avg 3/min burst 5 LOG level warning tcp-options ip-options prefix `SFW2-INdmz-DROP-DEFLT ' LOG all -- anywhere anywhere limit: avg 3/min burst 5 state INVALID LOG level warning tcp-options ip-options prefix `SFW2-INdmz-DROP-DEFLT-INV ' DROP all -- anywhere anywhere

Chain input_ext (2 references)
target prot opt source destination
DROP all -- anywhere anywhere PKTTYPE = broadcast
ACCEPT icmp -- anywhere anywhere icmp source-quench
ACCEPT icmp -- anywhere anywhere icmp echo-request
reject_func tcp -- anywhere anywhere tcp dpt:113 state NEW
LOG all -- anywhere anywhere limit: avg 3/min burst 5 PKTTYPE = multicast LOG level warning tcp-options ip-options prefix `SFW2-INext-DROP-DEFLT '
DROP all -- anywhere anywhere PKTTYPE = multicast
LOG tcp -- anywhere anywhere limit: avg 3/min burst 5 tcp flags:FIN,SYN,RST,ACK/SYN LOG level warning tcp-options ip-options prefix `SFW2-INext-DROP-DEFLT '
LOG icmp -- anywhere anywhere limit: avg 3/min burst 5 LOG level warning tcp-options ip-options prefix `SFW2-INext-DROP-DEFLT '
LOG udp -- anywhere anywhere limit: avg 3/min burst 5 LOG level warning tcp-options ip-options prefix `SFW2-INext-DROP-DEFLT '
LOG all -- anywhere anywhere limit: avg 3/min burst 5 state INVALID LOG level warning tcp-options ip-options prefix `SFW2-INext-DROP-DEFLT-INV '
DROP all -- anywhere anywhere

Chain reject_func (1 references)
target prot opt source destination
REJECT tcp -- anywhere anywhere reject-with tcp-reset
REJECT udp -- anywhere anywhere reject-with icmp-port-unreachable
REJECT all -- anywhere anywhere reject-with icmp-proto-unreachable

-----------------------
172.16.35.0/24 dev eth2 proto kernel scope link src 172.16.35.2
172.20.1.0/24 dev eth0 proto kernel scope link src 172.20.1.44
169.254.0.0/16 dev eth0 scope link
127.0.0.0/8 dev lo scope link
default via 172.16.35.1 dev eth2

Похоже что не отвечает уже 172.16.35.1.
Если пакеты появляются на сетевой, это значит что они точно отправляются с неё?

> Похоже что не отвечает уже 172.16.35.1. > Если пакеты появляются на сетевой, это значит что они точно отправляются с неё?

По идее отправляются.

А вот 172.16.35.1 вообще что-нибудь знает о существовании сети 172.20.1.0/24 ? Если не знает и знать не должен - то нужно NAT делать.

шлюз2 что знает про сеть 172.20.1.0? Знает ли он, что все пакеты на эту сеть нужно отсылать на 172.16.35.2(шлюз1)?

Если нет рутового доступа к "шлюз2", то как вариант можно DNATить всю сеть. На шлюз1 выполни:

iptables -t nat -A POSTROUTING -i eth0 -o eth1 -j SNAT --to-source 172.16.35.2

где eth0 - это сетевуха с адресом 172.20.1.44 (адрес в локалке), а eth1 - 172.16.35.2 (адрес в сети с шлюз2).

Либо на шлюз2 пропиши роутинг на сеть 172.20.1.0 через 172.16.35.2

Завтра попробую nat, сегодня уже не получиться.