Forum Debian Users Gang

Myślę że nat załatwi sprawę

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j MASQUERADE

sieci to bardzo szerokie zagadnienie więc szukaj materiałów odnośnie danej technologii

Próbuję zadziałać, żeby ta komenda iptables była permanentna. Polecenie iptables-save wypluwa:

 # Generated by xtables-save v1.8.2 on Sun Mar 28 21:42:25 2021
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 192.168.122.0/24 -d 224.0.0.0/24 -j RETURN
-A POSTROUTING -s 192.168.122.0/24 -d 255.255.255.255/32 -j RETURN
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p tcp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p udp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -j MASQUERADE
-A POSTROUTING -s 10.8.0.0/24 -o enp1s0 -j MASQUERADE
-A POSTROUTING -s 10.8.0.0/24 -j MASQUERADE
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A DOCKER -i docker0 -j RETURN
COMMIT
# Completed on Sun Mar 28 21:42:25 2021
# Generated by xtables-save v1.8.2 on Sun Mar 28 21:42:25 2021
*filter
...

mamy tu 2 linijki:

-A POSTROUTING -s 10.8.0.0/24 -o enp1s0 -j MASQUERADE
-A POSTROUTING -s 10.8.0.0/24 -j MASQUERADE

Czyi prawdopodobnie w jakiejś formie ta reguła już była, tylko że dotyczyła wyłącznie interfejsu ethernet enp1s0, a jak dołożyłem ten most br0, to on jakoś "zakrył" interfejs enp1s0, przez co przestało to działać. Dobrze kombinuję, czy błądzę we mgle? :]

BiExi napisał(-a):

dowiedz się co oznacza parametr -o i będziesz wiedział dlaczego Ci nie działało
A jak zrobić aby to działało permanentnie to Ci nie powiem bo to akurat dobre ćwiczenie byś sam to "odkrył"

[!] -o, --out-interface name
              Name of an interface via which a packet is going to be sent (foren
              packets  entering  the  FORWARD, OUTPUT and POSTROUTING chains).
              When the "!" argument is used before  the  interface  name,  the
              sense  is  inverted.   If the interface name ends in a "+", then
              any interface which begins with this name will match.   If  this
              option is omitted, any interface name will match.

Czyli wyłączny kierunek w jakim mają iść te pakiety w danej regule. route -n pokazuje interfejs domyślnej bramy jako br0. Więc dlatego pakiety kierowane na enp1s0 nie trafiały na bramę domyślną? Ale przecież na ten interfejs bridge br0 składa się właśnie enp1s0. Chyba brakuje mi wciąż wiadomości na temat jak to dokładnie funkcjonuje.

Na razie po prostu dodałem Twoje polecenie iptables do rc.local. Niby internety piszą, że do permanentnego zapisania reguł powinno stosować się właśnie powyższe iptables-save albo iptables-persistent, ale nie wiem, czy powinienem zapisywać całą aktualną tabelę filtrów pakietów, bo chociażby mam tam mnóstwo wpisów REJECT z fail2ban, które się przecież zmieniają w czasie. Podejrzewam, że niektóre inne wpisy też mogły powstać automatycznie na skutek działań różnych programów (jak Docker), więc unieśmiertelnianie ich wszystkich przy pomocy powyższych sposobów niekoniecznie musi być dobrym pomysłem.
Ale to tak na marginesie. Jeszcze raz dzięki za pomoc!

Ostatnio edytowany przez seler (2021-03-29 12:06:55)