Боги Linux, прошу вашей помощи! (настройка vlan)⁠⁠

Ну блин, я извиняюсь за мою неграмотность в этом вопросе, ибо данный случай на работе - единичный.

У меня больше по локальной сети, 1С, бухгалтерскому софту и офисной технике.

Каждому свое.

Так или иначе спасибо за помощь.

Из последних новостей - если это для вас актуально:

Прописал в настройках firewall LANIF = "eth1 eth0.1726" и правила обмена добавились автоматически.

192.168.0.200 теперь пингуется из шлюза без проблем. Осталось только настроить выход из сети.

А по поводу сборса iptables нашел причину:

firewall перезапускается каждую минуту судя по логам в /var/log/system

Логи забиты под завязку с 21 октября - когда еще никаких настроек не применял, только создал VLAN. Либо он так реагирует на VLAN, либо истерит в логи уже давно.

Что интересно - с сетью проблем нет. Интернет не падает, скорость на максимум.

Если не затруднит - могу скинуть логи. Если все же докучаю - нет проблем. И так большое спасибо.

Бро, да я полностью согласен. Костыли да грабли, давно бы настроил через белый ip или облако, но у нас ПГТ. Максимум скорости здесь - 6Мбит/с. Такой канал не вывезет удаленное наблюдение.
Сеть провайдера - единственный актуальный вариант, ибо руководство планирует расширяться и подключать другие объекты.

Хай. Спасибо за отзывчивость еще раз. Не туда копал.

Вырубал прокси-фильтр, да как оказалось - не полностью :) И в исключения добавлял не там. Вернее добавлял как обычно - но конкретно для веб-морды регистратора это не спасало.

Отключил полностью - и все заработало. После включил и добавил ip в ByPass исключения.

Все ок.

Из-за своей невнимательности потратил 1,5 дня.

С новым годом и всего самого наилучшего в наступившем году!!!

Благодарю за ответ. Покапаюсь завтра сам еще. Сейчас уже не на работе. Не буду отвлекать в праздники :)

После январских напишу если ничего не изменится.

Благодарю за отзывчивость.

Доброго вечера. Не знаю к кому обратиться за советом с iptables. Перекурил сегодня много форумов. Решил снова к вам. Чтобы хотя бы наводку дали, если не сложно :)

Честно скажу - я его с тех пор так и не изучал, не было таковой необходимости.

С тех пор нарастили количество объектов для видеонаблюдения и сменили провайдера. К тому же накатил Clearos 7 и настроил без особых проблем.

Но тут конкретно в тупик уперся...

Все так же. Локальная сеть 192.168.0.0/24, из нее доступ в интернет через сетевой шлюз. А так же поднят виртуальный интерфейс настройкой над тем, через который настроен выход в интернет. Смотрит он в сеть 10.18.16.0/24, где находится 17 камер. У самого IP - 10.18.16.1

Прикупили регистратор для записи, воткнул его в локальную сеть. Все замечательно.

Регистратор подключался к камерам через сетевой шлюз.

Позже провайдер со своей точки вывел отдельную, более скоростную линию под это дело.

Таким образом регистратор оказался за сетевым шлюзом и ему был назначен IP 10.18.16.2. Камеры видит, пишет - все ок.

Беда теперь с веб-мордой. Когда подключаюсь из 192.168.0.0/24 к веб-интерфейсу регистратора - все проходит нормально. Страница загружается, можно менять настройки и т.д.

Но не работает воспроизведение в реальном времени и из архива.

Как я понял видеопоток передается по другому порту, 554-му. Вероятнее всего порт закрыт. Но открыт 80й - потому работает сам веб-интерфейс.

Но как не бился с воспроизведением - бесполезно. И проблема не в провайдере - точно. Пробовал подключать регистратор просто через сетевой шлюз. Тот же эффект.

Подключаешь в сеть 192.168.0.0/24 - все работает идеально.

Прописывать правила пробовал, пол дня спустил. Сижу не знаю что делать.

Не особо важный функционал, но все же...

Заранее спасибо и с наступающим.

Спасибо за оказанную помощь. Теперь все нормально.

Пришлось потанцевать с бубном и вставить пару костылей.

Нашел lua-скрипты firewall - где он при запуске исходя из интерфейсов прописывает настройки iptable.

Прописал маскарадинг, подогнав под синтаксис lua - все взлетело.

Конечно же это не отменят проблему ребута firewall, поэтому буду организовывать переход на другую серверную ось.

Там только root

Вторая тема моя. По поводу первой - там вроде нашли решение. Проблема была в ADSL модеме.

Я так думаю - мне осталось разве что настроить маскарад, либо кинуть через NAT (как тут подсказали) трафик из локальной сети. Со шлюза пинги идут.

А firewall... Ну пусть себе долбится, реальных проблем с сетью это не вызывает. Дистрибутив буду менять.

Единственное хотел спросить - на сколько настройки ubuntu server сложен? Есть ли веб-интерфейс и content-filter?

cron чист. Смотрел cronetab. Единственное - по каталогам с daily, weekly, monthly, eyarly не прошерстил. Завтра это тоже уточно.

вот логи. Начало 21 октября и весь печеречь каждую минуту с того момента вот такие повторяющиеся блоки:

Oct 24 13:17:38 system firewall: ========== start /etc/rc.d/rc.firewall.local ==========
Oct 24 13:17:38 system firewall: # Custom firewall rules.
Oct 24 13:17:38 system firewall: # This file is executed by the firewall on stop/start/restart.
Oct 24 13:17:38 system firewall: ========== start /etc/rc.d/rc.firewall.local ==========
Oct 24 13:20:26 system cc-firewall: Starting firewall...
Oct 24 13:20:26 system cc-firewall: Loading environment
Oct 24 13:20:26 system cc-firewall: Assuming device is a LAN interface: eth2
Oct 24 13:20:26 system cc-firewall: Detected WAN role for interface: eth0
Oct 24 13:20:26 system cc-firewall: Detected LAN role for interface: eth1
Oct 24 13:20:26 system cc-firewall: Detected LAN role for interface: eth2
Oct 24 13:20:26 system cc-firewall: Warning: LAN interface is not configured: eth2
Oct 24 13:20:26 system cc-firewall: Detected WAN info - eth0 172.16.7.206 on network 172.16.7.0/24
Oct 24 13:20:26 system cc-firewall: Detected LAN info - eth1 192.168.0.5 on network 192.168.0.0/24
Oct 24 13:20:26 system cc-firewall: Setting kernel parameters
Oct 24 13:20:26 system cc-firewall: Using gateway mode
Oct 24 13:20:26 system cc-firewall: Loading kernel modules
Oct 24 13:20:27 system cc-firewall: Loading kernel modules for NAT
Oct 24 13:20:27 system cc-firewall: Setting default policy to DROP
Oct 24 13:20:27 system cc-firewall: Defining custom chains
Oct 24 13:20:27 system cc-firewall: Running blocked external rules
Oct 24 13:20:27 system cc-firewall: Running custom rules
Oct 24 13:20:27 system cc-firewall: Running common rules
Oct 24 13:20:27 system cc-firewall: Running incoming denied rules
Oct 24 13:20:27 system cc-firewall: Running user-defined incoming rules
Oct 24 13:20:27 system cc-firewall: Allowing incoming tcp port/range 1875
Oct 24 13:20:27 system cc-firewall: Running default incoming allowed rules
Oct 24 13:20:27 system cc-firewall: Running user-defined port forward rules
Oct 24 13:20:27 system cc-firewall: Initializing bandwidth manager
Oct 24 13:20:27 system cc-firewall: Bandwidth manager is enabled but no WAN interfaces configured!
Oct 24 13:20:27 system cc-firewall: Running 1-to-1 NAT rules
Oct 24 13:20:27 system cc-firewall: Running user-defined proxy rules
Oct 24 13:20:27 system cc-firewall: Enabled proxy+filter transparent mode for filter port: 8080
Oct 24 13:20:27 system cc-firewall: Blocking proxy port 3128 to force users through content filter
Oct 24 13:20:27 system cc-firewall: Enabling NAT on WAN/LAN interface eth0/eth1
Oct 24 13:20:27 system cc-firewall: Running user-defined outgoing block rules
Oct 24 13:20:27 system cc-firewall: Running default forwarding rules
Oct 24 13:20:27 system cc-firewall: Execution time: 0.323s

И потом опять по новой.

Artemat1@yandex.ru

Но про почту могу забыть. Если что - напишу сюда. Спасибо за предложение.

Я пытался среди конфигурационных файлов найти с содержанием существующих правил - бестолку. Он либо зашит, либо часть ядра. Но в открытом доступе его точно нет.

Все бы ничего если firewall не уходил в ребут каждую минуту вместе с внесенными настройками.

ClearOs тоже поддерживаемый.

Планировал переход на 7-ку, но думаю на счет Ubuntu Server.

Ну именно firewalld - это из более новых релизов как я понимаю. В 5.2 нет ни конфигурационных файлов в соответствии с мануалами, ни команд которые бы работали для этого модуля.

Через правила вариант когда firewall не будет уходить в перезагрузку каждую минуту и сливать настроенные правила вместе с собой.

firewall.d это в 7-ке. А у меня 5.2. Там голый iptable.

Я планирую переход либо на нее, либо на совершенно иной дистрибутив.

С маскарадом разобрался уже.

Прописали в LANIF eth0.1726 и правила добавились автоматически.

Проблема в другом - iptables слетает. Как выяснилось из логов системы - firewall постоянно перезагружается, или же не может загрузиться. Ну и как результат - восстанавливает стандартные настройки, которые черт пойми откуда берет. С 21-го весь лог забит ежеминутными перезагрузками. Но сеть при этом работает.

А NAT для этого случая подойдет? Просто он настраивается из веб-морды.

Это centOs 5.2 и там нет firewalld

Я определился с командами.

Но iptables вытворяет чудеса...

Например полностью открываю передачу для VLAN интерфейса eth0.1726:

iptables -A INPUT -i eth0.1726 -j ACCEPT

iptables -A OUTPUT -o eth0.1726 -j ACCEPT

Все нормально, пинг ходит.

Просматриваю правила через команды

iptables -L INPUT -n -v

iptables -L OUTPUT -n -v

- все на месте

Проходит секунд 30 - минута и пинг обрывается, вновь смотрю правила:

iptables -L INPUT -n -v

iptables -L OUTPUT -n -v

И их нет.

Как так?

Пробовал использовать команды

iptables-save

Потом

iptables-save > /etc/iptables.rules

Все равно правила исчезают

Пробую восстановить через

iptables-restore < /etc/iptables.rules

Все нормально, но опять улетают в никуда через минуту.

Как задумал провайдер 10.18.16.12 был тестовый.

Сейчас поменяли ip на 192.168.0.222 и через ip route add выделили диапазон 192.168.0.192-222/27 на eth0.1726

Камеры и регистратор со шлюза пингуются, "ура" казалось бы.

Но из локальной сети пинг не идет. Пробовал замаскарадить еще раз, той же командой (по сути же ничего не поменялось). Странно...

И еще заметил одну неприятную особенность. iptables через минуту рубится на стандартные, отбрасывая изменения. Вот это вещь неприятная.

Vlan тот же = 1726.

ip/маска: 192.168.1.200/24

Как я понял при открытии веб-интерфейса в браузере 192.168.1.200:80 шлюз не будет знать куда его отправить.

Или есть смысл вообще настроить регистратор в ту же подсеть, что и локальная на предприятии? 192.168.0.200-255 свободные у меня. Может так меньше заморочек будет...

Да, я так и хочу сделать. Спасибо за советы.

Провайдер до конца на антенне не настроил vlan как выяснилось. Пинг идет, а растегирование пакетов нет.

Да и веб-интерфейс антенны может быть защищен.

Правила сначала нужно сочинить чтобы без полного доступа в input и output трафик ходил по vlan.

А не подскажете как прокинуть ip до регистратора?

То есть на самом регистраторе (доступ к которому через vlan) ip = 192.168.1.200

При открытии через браузер 192.168.1.200 разумеется не доступен.

Не. По правилам я нашел решение, буду пробовать.

Смысл в том - чтобы сохранить файл настроек и ресторить его автозагрузкой при включении. Это сделаю, как только напишу корректные правила.

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0.1726 -j MASQUERADE

Почет вам и уважение! Все пошло.

Поизучаю как следует iptables на досуге, много нужного и полезного. Просто ранее не было необходимости.

Правда web-интерфейс антенны не открывается в браузере, но наверняка это ограничения провайдера.

находил другие конфиги - они не помогали.

Но проблему решил, спасибо совету выше. Пинги пошли, а это уже очень хорошо.

Нашел куда копать. Прописал временно

iptables -P INPUT ACCEPT

iptables -P OUTPUT ACCEPT

И пинги пошли. Теперь нужно думать над написанием конкретных правил и добавлением их в автозагрузку.

Только вот из локальной сети пинга на 10.18.16.14 так и нет, хотя VLAN интерфейс 10.18.16.12 пингуется.

Что нужно настроить не подскажете?

iptables -I 0 INPUT -i eth0.1726 -s 10.18.16.12 -j ACCEPT
iptables -I 0 OUTPUT -o eth0.1726 -d 10.18.16.12 -j ACCEPT

А вот эти строки не помогают. Пробовал подобное - после внесения в OUTPUT с INPUT правило удаляется автоматически. Так же наоборот.

Однако заметил что

iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT

Даже без изменения FORWARD дают нормальный пинг на удаленную антенну.

Да, это сработало.

Благодарю! Взлетело!

Буду ковырять правила.

Только вот пингуется со шлюза, из lan не пингуется. Не подскажешь мне, чайнику, что нужно настроить для прокидывания трафика?

С ключом -d не сработало, без него:

9: eth0.1726@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue

link/ether 00:11:95:f4:ad:db brd ff:ff:ff:ff:ff:ff

Виртуалка

Со шлюза. Все через ssh.
Точка в том же vlan. Провайдер перепроверял все не раз, если ему верить - трафик по цепочке ходит, но с clearos состыковаться не может.

Мой 12. На 14м висит wi-fi антенна до которой нужно добраться.

Сейчас уже не на работе, службы удаленки потушил. Завтра обязательно отпишусь.