Durch Router/Proxy läßt sich nicht durchpingen

[rimatheou]

Hi!

Ich habe hier ein Gerät mit zwei Schnittstellen: enp1s0 (hängt an der EasyBox) und enp2s0 (ist mit einem Laptop verbunden). Ich will vom Laptop aus durch das Gerät die EasyBox anpingen, aber es will nicht. Auf dem Gerät ist nur debian 10 installiert, keine Proxy-Software, das kommt später.

Ich kann erfolgreich vom Laptop das Gerät (proxbox) anpingen und hiervon erfolgreich auch ein ping zurücksenden. => alles klar in /etc/network/interfaces usw. Ping von diesem Gerät auf EasyBox ist auch erfolgreich.

Ich habe schon viele iptables-Konfigurationen durch, als letztes:

Code: Alles auswählen

iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -A POSTROUTING -o enp1s0 -j MASQUERADING

aber ohne Erfolg.

ip-forwarding im Kernel ist aktiviert.

Die Netzwerkkarte ist: RTL8111/8168
Treiber: r8168

Welche Informationen darf ich noch liefern?

[bluestar]

Welche Informationen darf ich noch liefern?

Für den Anfang wäre /etc/network/interfaces ganz hilfreich, die Einstellungen, die du auf deinem Laptop für die LAN Verbindung eingestellt hast und natürlich noch die IP deiner Easybox

[rimatheou]

/etc/network/interfaces auf dem Laptop:

Code: Alles auswählen

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# Interface zum Proxy

auto enp1s0
allow-hotplug enp1s0
iface enp1s0 inet static
 address 192.168.2.11

# dns-nameservers 195.50.140.114
# dns-search bitboxbible.local

 netmask 255.255.255.0
 network 192.168.2.0
 broadcast 192.168.2.255

 gateway 192.168.2.77
 # Das ist die in-Schnittstelle des zukünftigen Proxys.
 
 

IP der EasyBox: 192.168.2.1

[bluestar]

Und wie sieht /etc/network/interfaces auf deinem Router aus ?

[rimatheou]

/etc/network/interfaces auf Router:

Code: Alles auswählen

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto enp1s0
allow-hotplug enp1s0
iface enp1s0 inet static
	address 192.168.2.99/24
	netmask 255.255.255.0
	broadcast 192.168.2.255
	# dns-* options are implemented by the resolvconf package, if installed
	dns-nameservers 195.50.140.114 195.50.140.252
	dns-search bitboxbible.local

	network 192.168.2.0
	gateway 192.168.2.1

# The secondary network interface
auto enp2s0
allow-hotplug enp2s0
iface enp2s0 inet static
	address 192.168.2.77/24
		
#	dns-nameservers 195.50.140.114 195.50.140.252
#	dns-search bitboxbible.local

	network 192.168.2.0
	netmask 255.255.255.0
	broadcast 192.168.2.255

#	gateway 192.168.2.1

[WinMaik]

Du wirst Dich entscheiden müssen, ob Du die beiden Interfaces in eine Bridge packen oder ob Du Routing betreiben möchtest.
Im Falle einer Bridge ist IP Forwarding und Masquerading unnötig.
Im Falle von Routing müssen die beiden Interfaces des Routers mit unterschiedlichen Netzen versehen werden. Sie dürfen nicht beide Teil des Netzes 192.168.2.0/24 sein.

[rimatheou]

Zuvor hatte ich in diesem Netz einen Firewall-Rechner mit:

Code: Alles auswählen

enp2s0 192.168.2.148 und
enp3s0 192.168.3.111 und
wlp1s0 192.168.4.111

enp2s0 war mit der EasyBox verbunden und enp3s0 mit einem Arbeitsplatzrechner. Also ging das ping nur durch, weil enp2s0 auf ...2.148 und enp3s0 auf ...3.111 beheimatet war. Korrekt?

[WinMaik]

Falls Routing der gewünschte Weg ist wäre ein möglicher Schritt enp2s0 des Routers wieder in das 192.168.3.0/24 Netz zu packen. Dem Laptop müsste dann auch eine IP aus eben diesem Netz gegeben werden und als Gateway ist hier die IP des Routers aus diesem neuen Netz zu konfigurieren.

[rimatheou]

Ok, ich hab's kapiert. Ich wähle das Routing. Wobei es mich auch kurz interessieren würde, wie die Lösung mit einer Bridge wäre.

[WinMaik]

Im dem Fall würden beide Interfaces des Routers in die Bridge gepackt und somit würde sich der Router wie ein gewöhnlicher Switch verhalten. Er bräuchte dann nur eine IP an dem virtuellen Bridge Interface und alle Pakete vom Laptop würden den Router wie einen Switch passieren und so quasi direkt die EasyBox erreichen können.

[rimatheou]

Welche der beiden Möglichkeiten ist geschickter, wenn der Router ein Proxy werden soll, oder ist das egal? Eine Bridge habe ich noch nie gemacht. Das würde mich reizen.

[bluestar]

Welche der beiden Möglichkeiten ist geschickter, wenn der Router ein Proxy werden soll, oder ist das egal? Eine Bridge habe ich noch nie gemacht. Das würde mich reizen.

Wenn's ein Zwangsproxy werden soll, dann kommst du im Routing nicht umhin....

[rimatheou]

Ich weiß ehrlich gesagt noch nicht, was für ein Proxy es werden soll, so weit bin ich noch nicht im Skript (Fernkurs Linux Admin).

[unitra]

Wenn es ein "mandatory" Proxy werden soll, dann ist es besser es ist separater Host, schon alleine deswegen um die Fehlerdomänen zu trennen.

Für einen zwingenden HTTP Proxy würde man am besten die Default Route 0.0.0.0/0 und ::/0 im eigenen Netz NICHT verwenden. Dann ist es sichergestellt, daß alle IP Pakete im eigenen Netz bleiben, weil keine default route vorhanden. Der HTTP Proxy müsste dann explicit im Browser eingestellt werden, oder verteilt werden über z.B. WPAD (Web Proxy Automatic Distribution) nur so würde man ins Internet kommen, alles andere bleibt lokal und kommt nie ins Internet.

Welche der beiden Möglichkeiten ist geschickter, wenn der Router ein Proxy werden soll, oder ist das egal? Eine Bridge habe ich noch nie gemacht. Das würde mich reizen.