Iptables Forwarding

[KumpelJ]

Hallo

ich habe auf meinen Servern (Linux 2.6.18-2-pve) OpenVZ über Proxmox 1.5 am laufen..
Wenn ich nun per iptables Zugriffe von außen (eth0) weiterleiten möchte funtkoniert dies wunderbar, solange ich auf eine VM (z.b. vm1 192.168.11.121) auf der selben Hostmaschine weiterleite..wenn ich versuche von vh1 zu einem anderen Host weiterzuleiten geht dies nicht.. (z.b. auf vh2 192.168.11.5)..natürlich kann ich vh2 erreichen..also z.b. wenn ich per ssh auf vh1 bin kann ich vh2 anpingen, und per lynx den apache auf vh2 ansprechen; gernell "finden" sich alle server untereinander also z.b. vm1 ->vh1, vm1->vh2, vh2->vm1, vh2->vh1 usw..nur weiterleiten glappt nicht..

Bin ein wenig ratlos:(

Danke
Sebi

vh1:~# cat /etc/network/interfaces
auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
address 88.63.18.45
netmask 255.255.255.192
gateway 88.63.18.129

auto vmbr0 (die bridge legt proxmox so an um dann den einzelen vms netzwerkzugriff zu ermöglichen)
iface vmbr0 inet static
address 192.168.11.1
netmask 255.255.255.0
bridge_ports eth1
bridge_stp off
bridge_fd 0


vh1:~# cat /proc/sys/net/ipv4/ip_forward
1

vh1:~# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

vh1:~# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
DNAT tcp -- anywhere static.45.18.63.88.clients.your-server.de tcp dpt:1751 to:192.168.11.121:80 <-- funktoniert; vm1 ist eine VM auf vh1
DNAT tcp -- anywhere static.45.18.63.88.clients.your-server.de tcp dpt:1752 to:192.168.11.5:80 <-- funktoniert nicht; vh2 wäre eine weitere host

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
MASQUERADE all -- anywhere anywhere


Chain OUTPUT (policy ACCEPT)
target prot opt source destination
vh1:~#

[thorben]

moin,
nachdem ein host geht und ein anderer nicht: (rück)routing passt?

gruß
thorben

[KumpelJ]

@thorben: was genau meinst du bzw wie könnte ich das testen?

Update:

Die Verbindung scheint weitergeleitet zu werden auf den vh2 aber dort bleibt sie wohl hängen (1.2.3.4 ist die internetip von der ich versuch von daheim auf den host zu connection)

vh2 netstat:
tcp 0 0 192.168.11.5:80 1.2.3.4:56900 SYN_RECV

[thorben]

moin,
indem du vom dem host der nicht geht, aber bei dem das paket ankommst schaust, ob es pakete nach extern schafft (ping, tracert, traceroute)

vermutlich hast du einen routingfehler, siehte "route -n"

beste grüße
thorben