Есть шлюз на centos 7, с двумя физическими интерфейсами. На eth0 - два провайдера на разных vlan (eth0.50 и eth0.60), на eth1 - локалка и dmz на eth1.3
Настраивала правила маршрутизации iproute2 для двух провайдеров и в какой то момент обнаружила, что локальная сетка перестала быть доступной со шлюза. Сам шлюз из локалки доступен, пингуется и управляется, а вот с него ни один хост в локалке не виден.
В iptables в цепочке OUTPUT простые правила:
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT
-A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -m conntrack --ctstate NEW -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 53 -m conntrack --ctstate NEW -j ACCEPT
-A OUTPUT -m owner --uid-owner 0 -m conntrack --ctstate NEW -j ACCEPT
-A OUTPUT -j REJECT --reject-with icmp-port-unreachable
route:
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
default gateway 0.0.0.0 UG 0 0 0 eth0.60
x.x.x.x 0.0.0.0 255.255.255.224 U 0 0 0 eth0.60
y.y.y.y 0.0.0.0 255.255.255.248 U 0 0 0 eth0.50
link-local 0.0.0.0 255.255.0.0 U 1003 0 0 eth1
link-local 0.0.0.0 255.255.0.0 U 1004 0 0 eth0.50
link-local 0.0.0.0 255.255.0.0 U 1005 0 0 eth0.60
link-local 0.0.0.0 255.255.0.0 U 1006 0 0 eth1.3
z.z.z.z 0.0.0.0 255.255.255.0 U 0 0 0 eth1.3
192.168.252.0 0.0.0.0 255.255.252.0 U 0 0 0 eth1
Вроде нет никаких запретов на ping со шлюза в локалку - но шлюз не пингует ни один хост в локалке. Повторяюсь из локалки шлюз прекрасно пингуется и управляется...
Хост потерял доступ в локалку
в Вопросы по серверам и сетям
Опубликовано
Здравствуйте
Столкнулась со странным.
Есть шлюз на centos 7, с двумя физическими интерфейсами. На eth0 - два провайдера на разных vlan (eth0.50 и eth0.60), на eth1 - локалка и dmz на eth1.3
Настраивала правила маршрутизации iproute2 для двух провайдеров и в какой то момент обнаружила, что локальная сетка перестала быть доступной со шлюза. Сам шлюз из локалки доступен, пингуется и управляется, а вот с него ни один хост в локалке не виден.
В iptables в цепочке OUTPUT простые правила:
-A OUTPUT -o lo -j ACCEPT -A OUTPUT -p icmp -j ACCEPT -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -A OUTPUT -p udp -m udp --dport 53 -m conntrack --ctstate NEW -j ACCEPT -A OUTPUT -p tcp -m tcp --dport 53 -m conntrack --ctstate NEW -j ACCEPT -A OUTPUT -m owner --uid-owner 0 -m conntrack --ctstate NEW -j ACCEPT -A OUTPUT -j REJECT --reject-with icmp-port-unreachableroute:
Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface default gateway 0.0.0.0 UG 0 0 0 eth0.60 x.x.x.x 0.0.0.0 255.255.255.224 U 0 0 0 eth0.60 y.y.y.y 0.0.0.0 255.255.255.248 U 0 0 0 eth0.50 link-local 0.0.0.0 255.255.0.0 U 1003 0 0 eth1 link-local 0.0.0.0 255.255.0.0 U 1004 0 0 eth0.50 link-local 0.0.0.0 255.255.0.0 U 1005 0 0 eth0.60 link-local 0.0.0.0 255.255.0.0 U 1006 0 0 eth1.3 z.z.z.z 0.0.0.0 255.255.255.0 U 0 0 0 eth1.3 192.168.252.0 0.0.0.0 255.255.252.0 U 0 0 0 eth1Вроде нет никаких запретов на ping со шлюза в локалку - но шлюз не пингует ни один хост в локалке. Повторяюсь из локалки шлюз прекрасно пингуется и управляется...
Вот что не так?