Routing zwischen zwei Netzen /etc/network/interfaces

[joe2017]

Hallo zusammen,

ich habe zwei unterschiedliedliche Netze und eine Internetverbindung welche von beiden genutzt werden soll.
Mein Linux Server hat drei Netzwerkkarten in welchen das Routing stattfinden soll.
Der hier verwendete Gateway und DNS (10.1.0.250) ist eine FritzBox in meiner Test Umgebung.

sudo nano /etc/network/interfaces

Code: Alles auswählen

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

allow-hotplug eth0
iface eth0 inet static
        address 10.1.0.1/16
        gateway 10.1.0.250
        dns-nameservers 10.1.0.250
        up route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.1.1 dev eth1
        down route del -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.1.1 dev eth1

allow-hotplug eth1
iface eth1 inet static
        address 192.168.1.1/24
        gateway 10.1.0.1
        dns-nameservers 10.1.0.250
        up route add default gw 10.1.0.1 dev eth0
        down route del default gw 10.1.0.1 dev eth0

allow-hotplug eth2
iface eth2 inet static
        address 10.1.0.2/16
        gateway 10.1.0.1
        dns-nameservers 10.1.0.250

Mein erster Client hat folgende Netzwerkeinstellungen und bekommt eine Internetverbindung.

Code: Alles auswählen

address 10.1.0.100
gateway 10.1.0.1
dns 10.1.0.250

Mein zweiter Client hat folgende Netzwerkeinstellungen und bekommt keine Internetverbindung.

Code: Alles auswählen

address 192.168.1.100
gateway 192.168.1.1
dns 10.1.0.250

Ich dachte eigentlich das mein Routing passt. Jedoch ist hier irgend etwas falsch. Sieht jemand meinen Fehler weshalb ich keine Verbindung erhalte?
Ein Ping zu den Servern funktioniert. Ein Ping zu google.de oder der ausgelesenen IP-Adresse funktioniert nicht.

Ich wäre für einen Tipp dankbar.

[BenutzerGa4gooPh]

Lokal angeschlosse Netze kennt das System selbstverständlich, wozu die statische Route?

Mein zweiter Client hat folgende Netzwerkeinstellungen und bekommt keine Internetverbindung.

Die Fritzbox als Gateway (ohne NAT auf dem Debianrouter) benötigt Rückrouten auf alle Netze hinter dem Debian-Router. Wurde das gemacht?

Mein zweiter Client hat folgende Netzwerkeinstellungen und bekommt keine Internetverbindung.

Da ein Host funktioniert, gehe ich mal davon aus, dass IP-Forwarding aktiv ist und die Default-Route wirklich stimmt. Keine Lust zum Suchen. Und gewöhne dir an, bei derartigen Problemen die resultierende Routing-Tabelle erst selbst zu analysieren und bei Bedarf zu posten!

Ein Ping zu den Servern funktioniert. Ein Ping zu google.de oder der ausgelesenen IP-Adresse funktioniert nicht.

traceroute zeigt oft, wo's hängt.

Code: Alles auswählen

up route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.1.1 dev eth1

Nun versuchst du die Erklärung zu finden, warum diese Route schon isoliert (für sich allein) betrachtet, Quark ist.
Hilfe: https://www.administrator.de/wissen/rou ... html#toc-9
Nach Lesen und Anwenden dessen funktionieren deine derzeitigen und künftigen Netze.

Zuletzt stellt sich die Frage, warum ein DNS-Server mehrfach angegeben wird oder ob das nicht zentral und sinnvoller möglich ist. Für einen Router an sich ist gar kein DNS erforderlich. Wenn man mit der Büchse allerdings arbeiten will, Updates, DNS-Forwarder für Clients usw. braucht - dann sieht's anders aus.
dmsmasq ist DNS-Forwarder mit Cache und DHCP-Server zugleich (+tftp +DNS-Blocker). https://wiki.archlinux.org/index.php/Dnsmasq
Empfiehlt sich deshalb insbesondere für Router (auch ohne DHCP-Server).

Ansonsten einfach https://wiki.debian.org/NetworkConfigur ... ameservers
Mit systemd "geht" wohl auch was. Diese Methoden sind dann geeignet(er), wenn nur der Router selber DNS benötigt.

[joe2017]

Also ich habe einen IP Bereich noch mal angepasst um zwischen den Netzen Routen zu können. Das ganze Sieht jetzt folgendermaßen aus.

Server Config

Code: Alles auswählen

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

allow-hotplug eth0
iface eth0 inet static
        address 10.3.0.1/16
        gateway 10.3.0.250
        dns-nameservers 8.8.8.8
        up route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.1.1 dev eth1
        down route del -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.1.1 dev eth1
        up route add -net 10.1.0.0 netmask 255.255.0.0 gw 10.1.0.1 dev eth1
        down route del -net 10.1.0.0 netmask 255.255.0.0 gw 10.1.0.1 dev eth1

allow-hotplug eth1
iface eth1 inet static
        address 192.168.1.1/24
        dns-nameservers 8.8.8.8
        up route add -net 10.3.0.0 netmask 255.255.0.0 gw 10.3.0.1 dev eth1
        down route del -net 10.3.0.0 netmask 255.255.0.0 gw 10.3.0.1 dev eth1  

allow-hotplug eth2
iface eth2 inet static
        address 10.1.0.1/16
        dns-nameservers 8.8.8.8
        up route add -net 10.3.0.0 netmask 255.255.0.0 gw 10.3.0.1 dev eth1
        down route del -net 10.3.0.0 netmask 255.255.0.0 gw 10.3.0.1 dev eth1        
        

Client Config

Code: Alles auswählen

address 10.1.0.100
gateway 10.1.0.1
dns 8.8.8.8

Ich ging eigentlich davon aus, dass dies so funktionieren sollte. Oder ich hab hier etwas nicht richtig verstanden.
Mein Client erreicht den Server (10.1.0.1), mein Server sollte die Route zwischen 10.1 und 10.3 mit der eingetragenen Route auch erreichen. Die Rückroute im Server von 10.3 zu 10.1 ist ebenfalls eingetragen. Hab ich hier einen gewaltigen Denkfehler?

Ich sollte noch erwähnen, das eth1 und eth2 in einem Switch stecken und eth0 direkt mit dem Internet Router (10.3.0.250) verbunden ist.

[BenutzerGa4gooPh]

Das ganze Sieht jetzt folgendermaßen aus.

Aber nur für dich - ohne resultierende Routing-Tabelle, ohne nachvollziehbaren Netzwerk-Plan für Supporter. Faulheit oder Dummheit? Ich habe absichtlich nicht das notwendige Kommando verlinkt- jedoch Planung.

Resultierende Routing-Tabelle???
Google das selber. Ich habe mir auch Mühe gegeben - und dafür Notwendiges verlinkt. Ich wiederhole mich ungern!
(FiSi-Hausaufgaben mache ich nicht! Und Hausaufgaben eines bezahlten - angeblich professionellen - Dienstleisters für dessen unbedarfte Kunden schon gar nicht.) Soll ich alte Threads raussuchen? Besser nicht.

Am Ende könnte man dafür vorgesehene Router-/FW-Technik benutzen. Cisco, OPNSense, pfSense, Sophos. Vor allem RTFM! Oben für Anfänger verlinkt. Und du kannst offenbar nicht mal eine Routing-Tabelle nebst nachvollziehbarem Netzwerkplan posten bzw. erstellen.

Sorry, aber nach entsprechenden Tipps - einschließlich Netzwerkplanung - reicht es mir. Empfehle deinen Kunden einen anderen, insbesondere professionellen Dienstleister! Auch wegen deiner bisherigen Threads ... Eintrag in Ignorierliste zur Vermeidung von "umsonst schreiben" erfolgt.

[bluestar]

Also wenn ich deine /etc/network/interfaces sehe, dann wird mir schwindelig. Warum hast du insgesamt 4 Default-Gateways eingerichtet?
Dein Router sollte nur einen Default-Gateway haben und zwar auf dem Interface, worüber der Traffic ins Internet fliest.
Hast du auf deinem Router die Routing-Funktionalität auch eingeschaltet? Achja und die ganzen manuellen Routing-Tabellen Einträge bei up/down sind Quatsch.

[joe2017]

Nachdem ich dutzende Einträge zu dem Thema Routing gelesen habe, ging ich eigentlich davon aus, das ich mit folgendem Eintrag in die /etc/network/interfaces ein Routing zu meinem nächsten Sprung anlege:

Code: Alles auswählen

        up route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.1.1 dev eth1
        down route del -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.1.1 dev eth1

Wenn man die Routings anderweitig anlegt, so habe ich immer wieder falsche Lösungen zu diesem Thema gefunden.
Somit habe ich auch keine anderen Routing einträge angelegt welche ich euch mitteilen könnte. Ich Ging wie gesagt davon aus, dass die somit realisiert wird.

Ich kann natürlich gerne meine Routing Einträge (ip route show) posten.

@Jana66
Alte Beiträge sind nicht Sinnlos gewesen und auch noch nicht abgeschlossen. Ich habe nur zwischenzeitlich andere Themen vorziehen müssen. Wenn du in meiner Historie nach schauen möchtest, so habe ich meine Themen immer mit gelöst markiert bzw. meine Lösungen gepostet. Ich versuche immer hier etwas zurück zu geben und Lösungen zu einem Problem mitzuteilen. Zu meinen offenen Post wird das sobald ich wieder dazu komme ebenfalls geschehen.

[bluestar]

Nachdem ich dutzende Einträge zu dem Thema Routing gelesen habe, ging ich eigentlich davon aus, das ich mit folgendem Eintrag in die /etc/network/interfaces ein Routing zu meinem
nächsten Sprung anlege:

1. Fehler: Wo hast du das gelesen?
2. Fehler: Deine Quelle beschreibt es falsch oder du verstehst deine Quelle falsch ... In Ermangelung der Quelle kann ich da keine Aussage zu treffen.
Antwort: ... Diese Aussage gilt nur für Netzbereiche an die dein Router nicht "direkt" angeschlossen ist. An das Segment 192.168.1.0/24 ist dein Router durch die Konfiguration von eth1 direkt angeschlossen.

Ich kann natürlich gerne meine Routing Einträge (ip route show) posten.

Tun nicht anbieten, du wurdest von Jana schließlich darum gebeten.

[joe2017]

Ich habe jetzt glaube ich das richtige Stichwort gefunden.

Code: Alles auswählen

sudo iptables -t nat -D POSTROUTING -s 10.1.0.0/16 -o eth0 -j MASQUERADE
sudo iptables -t nat -D POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE

Anschließend habe ich meine routings aus der interfaces config entfernt.

Jetzt muss ich nur noch meine Ports einschränken. Ich bin gerade am Testen und melde mich sobald ich neue Resultate habe.

[BenutzerGa4gooPh]

Masquerading/NAT ohne Not? Intern? Wozu? Welcher (Netzwerk-)Plan?

Jetzt muss ich nur noch meine Ports einschränken.

Echt? Welche? Warum? Kommen wir nun vom Hundertsten ins Tausendste ohne Grundlagen des Routings verstanden zu haben?
https://www.administrator.de/wissen/rou ... html#toc-9

Mene mene tekel u-parsin

Damit gebe ich auf.

Auch eine Frau sollte in Würde verlieren können - wenn Mann ausführliche Erkärungen und Links nicht versteht.
(@bluestar, dich lese ich gern, du verstehst. Ich habe mir für den TE alle Mühe gegeben. Aber irgendwann kann ich nicht mehr.)

@Joe: Fange mit einem ganz einfachen Netzwerk nur für dich selbst und nur lokal/intern an! Bitte nicht für Kunden! Tut mir leid, ohne Verständnis für Routing, ohne verständige Feedbacks mache ich nicht weiter. Eigentlich (TM) hatte ich alles erklärt, "Rundumschlag" für deine Konfig. Künftig nur noch Kurzantworten und (wohl sinnlose) Links.

Edit: Schlechtschreibkorrektur - wie so oft.

Edit 2:
Eine statische Route besagt: Welches Zielnetzwerk über welchen "next hop" (konkrete IP-Adresse des Nachbar-Routers).
Die oben gemeinten/angedeuteten/gennanten Rückrouten (Fritzbox) könnte man bei entsprechender (cleverer) Netzplanung zusammenfassen, Stichwort "Route Summarization" - für Experten, ansonsten halt mehrere "konkrete" statische Routen, jedes (LAN-)Netz einzeln.
Für einen privaten Router hinter einem Providerrouter vermeidet man nach Möglichkeit 1:N-NAT ( = Masquerading). Wenn unbedingt erforderlich, dann nur am WAN-IF zum Transfernetz zum Providerrouter. Eigentlich sagt Aquis Tutorial alles ... z. B. Traffic-Initiation nur von innen (LAN) nach außen (WAN) möglich. Und deshalb: Ohne konkreten Netzwerkplan und aktueller Routing-Tabelle werde ich nicht weiter im Nebel stochern und sinnlos schreiben! Außerdem ging es bislang um reines Routing im LAN -ohne Masquerading/NAT! Was wollen wir noch vermischen? Noch dazu ohne konkreten Netzwerkplan ...

Edit3: Besorge dir per Ebay einen Cisco aus der 800er Serie und lerne damit Routing, Firewalling und NAT!
(Cisco 800er Serie ist EOL kann "nur" 100 MBit/s - aber in "Linespeed", letze Firmware genügt für internes Netz, kostet in der Bucht 50 Euro und genügt zum Lernen - wegen hervorragender Cisco-Doku. Installiere keine GUI! Einen Debian-Router kannst du danach basteln. Ohne entsprechede Hardware bleibt das eh nur Krampf. Wenn es unbedingt aktuell sein muss (GigE) dann eben Cisco 900er Serie (aber dann ab 200 Euro in der Bucht). Mit einem C891f war ich zufriden - aber der kann kein unbound (DNSSEC) und keinen Adblocker. Doch, kann er: Mit kostenpflichtigen "Supsriptions". Firmware kann man/frau googeln.
Jedenfalls ist REINES Debian nicht unbedingt zu bevozugen, man/frau könnte testen.

Keine weiteren Antworten - habe das mir Mögliche für dich getan.

[bluestar]

Ich habe jetzt glaube ich das richtige Stichwort gefunden.

Code: Alles auswählen

sudo iptables -t nat -D POSTROUTING -s 10.1.0.0/16 -o eth0 -j MASQUERADE
sudo iptables -t nat -D POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE

Bedingt richtig, du brauchst kein Maskieren, wenn du in deiner Fritzbox einfach die beiden Routen sauber einträgst.
Anleitung findest du hier: https://avm.de/service/fritzbox/fritzbo ... inrichten/

Masquerading/NAT ohne Not? Intern? Wozu? Welcher (Netzwerk-)Plan?

Da gebe ich jana66, die ich auch sehr gerne lese, absolut Recht....

Was genau der TE hier vor hat, erschließt sich mir auch immer weniger ... Vermutlich geht es gar nicht um Routing, sondern um den Aufbau einer Firewall hinter der Fritzbox, Wieso, Weshalb, Warum???

Keine Ahnung

[joe2017]

Hallo zusammen,

also wahrscheinlich hatte ich das ganze Thema wirklich etwas falsch interpretiert. Hierbei handelt es sich wirklich nicht um Routing sondern ehr um reines Firewalling. Und Ihr hattet wohl auch Recht, dass dies UP und DOWN Einträge misst sind! Ich habe meine /etc/network/interfaces auf die reinen IP Adressen minimiert und lediglich dem ersten Interface einen DNS und Gateway eingetragen.

Ich hoffe ich habe nicht allzu viel für Verwirrung gesorgt. Entschuldige nochmal und danke für die Hilfe.

Eigentlich kann dieser Post auch gelöscht werden, da er weder nützlich ist, noch eine Lösung für das eigentliche Thema bietet.

[BenutzerGa4gooPh]

Korrektur:

Der hier verwendete Gateway und DNS (10.1.0.250) ist eine FritzBox in meiner Test Umgebung.

Offenbar ist die FB auf NAT eingestellt, private IP. Dann sind die von mir genannten Rückrouten Quatsch - ebenso dein Doppel-NAT (auf Debian-Router). Eine Default-Route auf dem Debian-Router ist ausreichend. (Rückrouten benötigt man upstream bei Routerketten.)

Man kann wohl die FB trickreich in einen Modem-Betrieb versetzen oder "Exposed Host" auf der FB für den Debian-Router konfigurieren. Dann müsste dort "genattet" werden. Eine Netzwerkskizze bei solchen Problemen wäre echt hilfreich. Zumal wenn die FB in der Testumgebung noch an einer weiteren FB zum xDSL/Internet "hängen" sollte?!

Man kann auch Doppel-NAT machen - dann wird's unbequem - z. B. mit auf mehreren Kisten notwendigen Portfreigaben. Also lässt man sowas lieber.

[MSfree]

Mann kann wohl die FB trickreich in einen Modem-Betrieb versetzen

Dann funktioniert aber deine VoIP-Telefonie unter Umständen nicht mehr.

oder "Exposed Host" auf der FB für den Debian-Router konfigurieren. Dann müsste dort "genattet" werden.

Der Exposed host ist leider nur ein Portforwarding aller ingehenden TCP und UDP Pakete an den entsprechenden Host hinter der Fritte (also in diesem Fall der Debianrouter). Leider werden keine ICMP-Pakete an der exposed Host durchgeleitet.

Doppel-NAT wird dadurch aber nicht verhindert, man braucht trotzdem NAT im Linuxrouter plus NAT in der Fritte.

[BenutzerGa4gooPh]

Doppel-NAT wird dadurch aber nicht verhindert, man braucht trotzdem NAT im Linuxrouter plus NAT in der Fritte.

Stimmt, "Exposed Host" schaltet ja NAT in der Fritte nicht ab. Portfreigaben dort braucht man nicht mehr, alles durch.

Leider werden keine ICMP-Pakete an der exposed Host durchgeleitet.

Klar, Pfuscherei im Heimnetz. Wer braucht schon ping-Antworten, ICMP?

[MSfree]

Klar, Pfuscherei im Heimnetz. Wer braucht schon ping-Antworten, ICMP?

Naja, Ping von aussen beantwortet ja die Fritte. Ping nach aussen wird geNATet, ggfls. doppelt.

Es gibt aber Fälle, wo ich gerne Ping an den exposed Host durchgeleitet gehabt hätte. Ping-Knocking wäre da meine konkrete Anwendung, die leider mit einer Fritte und einem exposed Host nicht realisierbar ist, und der Fritte kann man kein Ping-Knocking beibringen, weil da keine Home-Brew Software drauf läuft.

[kuehlschrank]

Das ist meine Lösung für 4 Netze unter Debian 7 bis 10 auf RPI 2.
"hostapd" und "dnsmasq" müssen installiert, konfiguriert und abgeschaltet sein !

WiFi innen, Kabel innen und WiFi zum Nachbarn werden in /etc/network/interfaces eingetragen,
wlan0 ist das Primärinterface, wo sich alle Verbindungen treffen.

# /etc/network/interfaces
#
auto lo
iface lo inet loopback

# WiFi innen, dhcp 192.168.10.10 - 192.168.10.99
auto wlan0
allow-hotplug wlan0
iface wlan0 inet static
address 192.168.10.1
broadcast 192.168.10.255
network 192.168.10.0
netmask 255.255.0.0

# Kabel innen, dhcp 192.168.10.100 - 192.168.10.199
auto eth0
allow-hotplug eth0
iface eth0 inet static
address 192.168.10.2
network 192.168.10.0
netmask 255.255.0.0

# WiFi zum Nachbarn dhcpcd von seiner Box, meistens 192.168.0.168
auto wlan1
allow-hotplug wlan1
iface wlan1 inet manual
wpa-conf /etc/wpa_supplicant/wpa_supplicant1.conf

# Kabel eth1 zu meiner Box 192.168.8.1, via dhcpcd erhalte ich 192.168.8.100 automatisch
############################################################################

#!/bin/sh
# /usr/local/bin/extender

OUT=wlan1 # SOLLTE VARIABEL SEIN, wlan1 = Nachbar, wgiga0 = Firma

service hostapd start

iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# WiFi to $OUT
iptables -A INPUT -m state --state NEW -i $OUT -j ACCEPT
iptables -A FORWARD -i $OUT -o wlan0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i wlan0 -o $OUT -j ACCEPT
iptables -t nat -A POSTROUTING -o $OUT -j MASQUERADE
iptables -A FORWARD -i $OUT -o $OUT -j REJECT

# WiFi to Box
iptables -A INPUT -m state --state NEW -i eth1 -j ACCEPT
iptables -A FORWARD -i eth1 -o wlan0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i wlan0 -o eth1 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
iptables -A FORWARD -i eth1 -o eth1 -j REJECT

# WiFi to LAN
iptables -A FORWARD -i eth0 -o wlan0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i wlan0 -o eth0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

service dnsmasq start
############################################################################

Sieht verrückt aus und rennt wie verrückt.

:wq