Über Gateway ein anderes Netzwerk einbinden

[extexo]

Hi,

im Anhang findet ihr den Aufbau des Netzwerks als PNG

Mein Problem ist das ich mit dem Windows-PC auf die Server(10.1.254.XXX) hinter dem Server(10.1.254.1) zugreifen will.
Die Server MÜSSEN unter den aufgezeichneten Adressen erreichbar sein.

Als Beispiel: Ich möchte von dem Computer (10.50.1.14) über den Server(10.50.63.88) auf die dahinter liegenden Server(10.1.254.XXX) zugreifen.
Auf dem Server läuft ein Linux auf das per SSH zugegriffen werden kann. Dabei darf ich auf diesem Server allerdings nur die Routingtabelle verändern bzw darf ich nur temporäre Änderungen vornehmen. Das Dateisystem ist und bleibt schreibgeschützt gemounted.
Auf dem Computer (10.50.1.14) dürfen alle Änderungen vorgenommen werden.
Die dahinter liegenden Server (10.1.254.XXX) sind nicht konfigurierbar. Sie lauschen lediglich auf Verbindungen.

Momentan greife ich direkt, über ein Switch auf das Netzwerk mit den Servern zu. Allerdings hole ich damit die IP-Adressen (10.1.254.XXX) in das Netzwerk (10.50.XXX.XXX) mit rein und das darf nicht sein. Deshalb müsste ich über eine Art Gateway auf die Server zugreifen können. DIeses Gateway ist der Server (10.50.63.88).

Kann mir bei dem Problem evtl. jmd weiterhelfen?

Danke schonmal. Gruß

 

[zerix]

Hallo,

also entweder habe ich jetzt etwas falsch verstanden, oder ich verstehe das Problem nicht.
Du kannst doch Routen auf dem Gateway einstellen, von dem 10.50.0.0-Netz in das 10.1.254.0-Netz.

Gruß

Sascha

 

[extexo]

Also muss ich beim Windows-PC als Gateway den Server angeben (10.50.63.88) und beim Server einen Routingeintrag anlegen.

Windows-PC:
- IP: 10.50.1.14
- SUBNET: 255.0.0.0
- Gateway: 10.50.63.88

Linux-Server(Gateway):
- IP: 10.50.63.88
- Subnet: 255.0.0.0
- Und ein Routingeintrag der mir alle Packete aus dem Netz 10.1.254.0 in das 10.50.0.0 Netz routet
und umgekehrt.

Wie würde der Befehl aussehen?
route add .......

 

[extexo]

Ich bin jetzt so weit das ich jeweils von 10.1.254.201 bzw. 10.50.1.14 die anderen NICs
anpingen kann. Folgendes machen bei mir die Pings:

10.1.254.201 -> 10.1.254.1 -> OK
10.1.254.201 -> 10.50.63.88 -> OK
10.1.254.201 -> 10.50.1.14 -> Nicht erreichbar

10.50.1.15 -> 10.50.63.88 -> OK
10.50.1.15 -> 10.1.254.1 -> OK
10.50.1.15 -> 10.1.254.201 -> Nicht erreichbar

Meine Konfiguration sieht folgendermaßen aus:

IP-Forwarding ist am Kernel aktiviert
Und das sind meine Einstellungen am Router:

Am WindowsPC (10.50.1.14) ist der Router(10.50.63.88) als Gateway eingetragen.
Die Netmasks bei 10.1.254.201 und 10.50.1.14 sind jeweils 255.0.0.0
​

 

[zerix]

Hast du auch forwarding beim Gateway eingeschaltet?

echo 1 > /proc/sys/net/ipv4/ip_forward

Gruß

Sascha

 

[extexo]

Jap, ist definitiv aktiviert.

 

[erik s.]

Haben die Server 10.1.254.10 - .204 als Gateway die 10.1.254.1 eingetragen?
Sind eventuell Firewall-Einträge im Gateway oder in Servern vorhanden, die ICMP-Messages ignorieren?
Kannst du eventuell mittels tcpdump auf dem Gateway Traces an den beiden NICs machen, während du PING-Versuche laufen hast?

 

[extexo]

Also ich hab mir das Netzwerk mit ner VM nachgebildet. Das ist nicht das original Netzwerk.
Aber nein, dort sind definitiv keine Firewalleinträge vorhanden.
In der VM laufen frische ArchLinux Installationen.

Die Gateways sind korrekt eingetragen. Auf den Clients in beiden Netzwerken.
10.50.0.0 haben alle als Gateway die 10.50.63.88 und
im Netzwerk 10.1.254.0 haben alle Clients das Gateway 10.1.254.1 eingetragen.
Allerdings gehe ich später davon aus das die Clients im 10.1.254.0 Netzwerk
keine Gateways eingetragen bekommen müssen, da der Zugriff ausschließlich
vom 10.50.0.0 Netzwerk in das 10.1.254.0 Netzwerk erfolgen soll.


Das mit dem TcpDump werde ich morgen mal angehen und hier berichten.

Danke erstmal.

 

[erik s.]

...
Allerdings gehe ich später davon aus das die Clients im 10.1.254.0 Netzwerk
keine Gateways eingetragen bekommen müssen, da der Zugriff ausschließlich
vom 10.50.0.0 Netzwerk in das 10.1.254.0 Netzwerk erfolgen soll.

Du musst aber den Clients im 10.1.254.0-Netz wenigstens die Route zum 10.50.0.0-Netz geben, sonst werden sie mit den Absender-IP-Adressen nichts anfangen können, wenn sie antworten sollen.