[SNAT] Раздача инета

Если SNAT, то никак не чей-то интерфейс. Должен быть реальный локальный, то есть "-j SNAT --to-source 212.ххх.ххх.ххх". "-p tcp" - а что, udp натить не надо ?

default gw 212.xxx.xxx.xxx

только так, а не иначе. Ещё, правда, можно просто в ppp0, без указания IP (но роутить в интерфейс можно только для интерфейсов точка-точка).

iptables -A POSTROUTING -o ppp0 -j MASQUERADE , но ведь это не Ъ.

Кто сказал, что не «Ъ» ? :-)

Как я понял MASQUERADE нагружет систему ведь на сетевуху на которую надо натить имеет статику и поэтому лучiе SNAT

> default gw 212.xxx.xxx.xxx

только так, а не иначе. Ещё, правда, можно просто в ppp0, без указания IP (но роутить в интерфейс можно только для интерфейсов точка-точка).

Я ято то плохо понимаю, а если бы у меня была динамика с IP который меняется раз в сутки. Мне бы пришлось кажые 24 часа менять дефолтный гетвей? Это ЩИТ полный же.

>Я ято то плохо понимаю, а если бы у меня была динамика с IP который меняется раз в сутки. Мне бы пришлось кажые 24 часа менять дефолтный гетвей?

ip route add default dev ppp0

Прописываю правило # iptables -t nat -A POSTROUTING -o ppp0 -p tcp -j SNAT --to-source 192.168.1.3

fail. Может стоит man iptables?

ppp0 итак обычно гетвеем по дефолту стоит

gateway=«default gw 212.ххх.ххх.ххх» ROUTES=(gateway)

ip route add default dev ppp0

Прописываю правило # iptables -t nat -A POSTROUTING -o ppp0 -p tcp -j SNAT --to-source 192.168.1.3

Как я понял из мана --to-source это тот чьи пакеты надо транслировать (изменять с локального адреса на ip 212.xxx.xxx.xxx)

Какой дистрибутив? Как поднимается pppoe-соединение? Все маршруты должны прописываться автоматом. Если debian, то http://wiki.debian.org/PPPoE

Если статика, желательно, конечно, SNAT:

sysctl -w net.ipv4.ip_forward=1

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j SNAT --to 212.ххх.ххх.ххх

SNAT — Source Address Translation

--to-source на что меняем локальный адреса.

Нет, dedian base давно не использую. Дистр - Arch. Поднимается /etc/rc.d/adsl start (pppoe-start)

Маршруты прописываются, но инет на Windows машине только через MASQUERADE работает почему то

> Как я понял MASQUERADE нагружет систему

Дальше фразу не понял. :-)

Что касается нагрузки, говорят, что да, нагружает сильнее. На практике я это просто не вижу, видимо сильно маленькое различие. А IP динамический ? Если да, с SNAT придётся правило переопределять каждый раз.

Спасибо добр человек. после

-A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j SNAT --to-source 212.ххх.ххх.ххх все завелось.

Теперь дело за меньшим.

Почему я такой тупой и понял то что написано в мане совсем по другому.

Кстати ключ -s что означает?

Теперь пойду раскуривать с рабочим вариантом как оно работает а то до меня еще не совсем дошо почему именнно так а не иначе.

Еще раз все откликнувшимся большое спасибо, ну не сисадмин я, чтож поделать.

на всех интерфейсах включая ppp0 статика прописана

> а если бы у меня была динамика с IP который меняется раз в сутки. Мне бы пришлось кажые 24 часа менять дефолтный гетвей ?

Да, конечно. Но стоит помнить, что pppd обучен менять default gw при задании соответствующих параметров. А модем, если он бридж, что он с L3 пакетом делать-то будет ? Ну, получит. И что ?

> на всех интерфейсах включая ppp0 статика прописана

То есть, на ppp0 IP всегда один ? Ну, тогда можно и SNAT...

С каждым днем начинаешь любить ЛОР все больше, куча троллей конечно, но в реальной ситуации по решению конкретной задачи всегда смогут помочь.

> Кстати ключ -s что означает?

Соответствие SRC IP. Одно из условий, которому должен удовлетворять пакет. То есть, пакеты с хостов этой (192.168.1.0/24) сети.

Поэтому и спрашивал про SNAT,так как где то читал что MASQERADE лишнняя нагрузка для системы при использовании статики.

> так как где то читал что MASQERADE лишнняя нагрузка для системы при использовании статики.

Акцент, видимо, не так поставлен. MASQERADE работает в любом случае, SNAT - в частном. В случае наступления этого частного случая в виде статики, в общем-то, можно использовать более простой в обработке SNAT. Но, как я уже написал ранее, что-то я сильного выигрыша не видел никогда, на фоне всего остального просто не видно.

Кстати,

# ls ip_nat_*
ip_nat_amanda.ko ip_nat_h323.ko ip_nat_pptp.ko ip_nat_snmp_basic.ko
ip_nat_ftp.ko ip_nat_irc.ko ip_nat_sip.ko ip_nat_tftp.ko

# ls ip_conntrack*
ip_conntrack_amanda.ko ip_conntrack_irc.ko ip_conntrack_netlink.ko ip_conntrack_sip.ko
ip_conntrack_ftp.ko ip_conntrack.ko ip_conntrack_pptp.ko ip_conntrack_tftp.ko
ip_conntrack_h323.ko ip_conntrack_netbios_ns.ko ip_conntrack_proto_sctp.ko

В общем-то, это в зависимости от того, как ядро собрано, в конкретных случаях может и различаться (что-то может отсутствовать, что-то может быть в основной бинарник ядра вкомпилировано), но иметь представление о наличии этого надо. И зачем оно - тоже знать стоит.

[kernel@arch ~]$ sudo ls -a /lib/modules/2.6.30.10-PPPoE-NAT/kernel/net/ipv4/netfilter

. iptable_filter.ko ip_tables.ko    ipt_NETMAP.ko

ipt_REJECT.ko    nf_defrag_ipv4.ko

.. iptable_nat.ko ipt_MASQUERADE.ko ipt_REDIRECT.ko

nf_conntrack_ipv4.ko nf_nat.ko

[kernel@arch ~]$ sudo ls -a /lib/modules/2.6.30.10-PPPoE-NAT/kernel/net/netfilter . .. nf_conntrack.ko   x_tables.ko xt_tcpudp.ko

Там оно, по большей части, само подгружается. А вот ip_nat_* надо руками подгружать, какие надо. Некоторые ip_conntrack* сами подгрузятся, некоторые надо тоже подгружать, если они нужны.