Rounting mit drei Interfaces

[Yverman]

Hallo Leute. Ich zerbreche mir gerade den Kopf darüber wie ich die Pakte richtig hinkriege.

Ich habe einen Gatewayserver, welcher ein externes Netzwerk mit unserem Firmeninternennetz verbinden. Das ganze läuft verschlüsselt mit openVPN.

Zur Ausgangslage:

Ich habe den Server mit der internen IP 172.16.0.100, im Netzwerk 172.16.0.0/16 befinden sich alle internen Clients. Der Default Gateway für den Internetverkehr im Firmennetz ist 172.16.0.1. Die externen Clients werden mittels openVPN an diesen Server verbunden und haben selber andere default Gateways, zudem haben die auch nur Interesse Daten vom Server 172.16.0.100 anzuzapfen. Nun möchte ich aber, dass alle anderen Clients im Netz das Netzwerk der Clients von openVPN 10.0.0.0/16 erreichen. Dazu habe ich auf dem Router des default Gateways die Route für dieses Netzwerk eingerichtet und leite den IP Verkehr nun auf 172.16.0.100 weiter, was ja die IP des Servers ist, welcher auch der Gateway für die openVPN Verbindungen stellt.

Die Routering tabelle auf dem Server lautet wiefolgt:

# route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
10.0.0.0 * 255.255.0.0 U 0 0 0 tap0
172.16.0.0 * 255.255.0.0 U 0 0 0 eth0
loopback * 255.0.0.0 U 0 0 0 lo
default 172.16.0.1 0.0.0.0 UG 0 0 0 eth0

Das Routing auf dem Router funktionier, denn wenn ich vom internen Client aus, auf eine 10.0.0.0/16 Adresse pinge, so habe ich im tcpdump des Servers Traffic, nciht aber auf dem Endclient:

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on tap0, link-type EN10MB (Ethernet), capture size 96 bytes
13:48:49.887741 IP 172.16.1.10 > 10.0.1.5: ICMP echo request, id 1, seq 13, leng th 40
13:48:54.639012 IP 172.16.1.10 > 10.0.1.5: ICMP echo request, id 1, seq 14, leng th 40
13:48:59.639535 IP 172.16.1.10 > 10.0.1.5: ICMP echo request, id 1, seq 15, leng th 40
13:49:04.639182 IP 172.16.1.10 > 10.0.1.5: ICMP echo request, id 1, seq 16, leng th 40

Dieser Verkehr kommt wie gesagt auf dem Endlcient 10.0.1.5 nie an. Jedoch habe ich das IPFORWARDING aktiviert. sprich:

echo '1' > /proc/sys/net/ipv4/ip_forward

ein Tracerout von einem internen Rechner ergibt:

Routenverfolgung zu 10.0.1.5 über maximal 30 Abschnitte

1 2 ms 1 ms 1 ms 172.16.0.1
2 1 ms <1 ms 1 ms 172.16.0.100
3 * * * Zeitüberschreitung der Anforderung.

Da sieht man auch, dass die Router auf dem default Gateway funktioniert.

Was muss ich nun für eine Route auf meinem Linuxrechner eintragen, damit die 10.x Pakete ans tap0 weitergeleitet werden?

 

[maxix]

Was ist den auf dem Zielsystem als Rückroute eingestellt? Also wie weit geht ein Ping aus der Gegenrichtung?

 

[JBR]

Mit iptables ist das denkbar einfach www.oreilly.de/german/freebooks/linuxfire2ger

 

[Yverman]

Genau, die Route auf dem client war nicht in der richtigen Metric, jetzt funktioniert es. danke