Re: [gentoo-user-ru] Не ходят пинги в локалке. Кто виноват и что делать???

[Denis Rybakov]

А с простого начинать пробовали?

Например временно сказать

iptables -I FORWARD --src 172.17.18.0/24 --dst 172.16.0.0/24 -j ACCEPT
iptables -I FORWARD --src 172.16.0.0/24 --dst 172.17.18.0/24 -j ACCEPT

чтобы исключить потенциальные ошибки в правилах iptables и всяких там
ip4_black_list, ip4_white_list_2_inet, формирование которых тут неочевидно.

Обычно самое необъяснимое поведение в итоге связано с самыми простыми и
тупыми ошибками.

Что касается действительно необъяснимых подземных стуков в iptables, я
имел несчастье наблюдать такие случаи, но все они проявлялись при
использовании policy routing.
В обычных конфигурациях все ведет себя стабильно и предсказуемо.

Для адекватного анализа нужен вывод:

arp -a
ip addr list
ip rule list
ip route list
ip route list table local
iptables-save
ipset list

При тестировании пингом и логировании tcpdump лучше использовать фильтр
типа "tcpdump -ni eth1 icmp" чтобы увидеть трансформации пакетов, если
таковые произошли (я надеюсь у вас нет машин, которые постоянно друг
друга пингуют).



04.06.2015 10:39, Andrew A. Sabitov пишет:

> Hi!
> Коллеги, кто может раскрыть секрет: что, хотя бы в теории, может
> убивать пакеты _до_ iptables???
>
> Симптомы:
>
> Есть раутер локальной сети, стоящий между юзерами и DMZ.
> eth1 смотрит в DMZ, на eth0 взведена куча vlan'он, каждый из которых
> смотрит
> в нужный кусочек пользовательской сети. На раутере накручены
> iptables+ipset.
> Шейпер и ebtables не используются
>
> В первом приближении (и с ОЧЕНЬ хорошей точностью) все работает. Но!!!
> Совершенно случайно обнаружил проблему, возникновение которой объяснить
> не могу уже неделю :(
>
> В DMZ есть машина 172.16.0.11 (этот момент не принципиален, т.к.
> пробовал с
> разных машин и даже из разных IP-сетей, как из DMZ, так и
> пользовательских). С
> этой машины пускается пинг на 2 адреса в одной из пользовательских сетей.
> Для определенности, пусть это будут 172.17.18.19 и 172.17.18.40.
>
> Получаем такой результат:
> ===============================================================
> sabitov@fig ~ $ ping 172.17.18.19
> PING 172.17.18.19 (172.17.18.19) 56(84) bytes of data.
> ^C
> --- 172.17.18.19 ping statistics ---
> 6 packets transmitted, 0 received, 100% packet loss, time 5002ms
>
> sabitov@fig ~ $ ping 172.17.18.40
> PING 172.17.18.40 (172.17.18.40) 56(84) bytes of data.
> 64 bytes from 172.17.18.40: icmp_seq=1 ttl=63 time=5.59 ms
> 64 bytes from 172.17.18.40: icmp_seq=2 ttl=63 time=4.90 ms
> ^C
> --- 172.17.18.40 ping statistics ---
> 2 packets transmitted, 2 received, 0% packet loss, time 1001ms
> rtt min/avg/max/mdev = 4.900/5.247/5.594/0.347 ms
> ===============================================================
>
> Перед пинганьем на раутере запускаем:
> tcpdump -n -i eth0.0018 net 172.17.18.0/24 and host 172.16.0.11
> tcpdump -n -i eth1          net 172.17.18.0/24 and host 172.16.0.11
>
> На eth0.0018 имеем:
> ===============================================================
> 12:38:00.277614 IP 172.16.0.11 > 172.17.18.19: ICMP echo request, id
> 26647, seq 1, length 64
> 12:38:00.283405 IP 172.17.18.19 > 172.16.0.11: ICMP echo reply, id
> 26647, seq 1, length 64
> 12:38:01.280200 IP 172.16.0.11 > 172.17.18.19: ICMP echo request, id
> 26647, seq 2, length 64
> 12:38:01.285974 IP 172.17.18.19 > 172.16.0.11: ICMP echo reply, id
> 26647, seq 2, length 64
> 12:38:02.280152 IP 172.16.0.11 > 172.17.18.19: ICMP echo request, id
> 26647, seq 3, length 64
> 12:38:02.285944 IP 172.17.18.19 > 172.16.0.11: ICMP echo reply, id
> 26647, seq 3, length 64
> 12:38:03.280164 IP 172.16.0.11 > 172.17.18.19: ICMP echo request, id
> 26647, seq 4, length 64
> 12:38:03.285961 IP 172.17.18.19 > 172.16.0.11: ICMP echo reply, id
> 26647, seq 4, length 64
> 12:38:04.280186 IP 172.16.0.11 > 172.17.18.19: ICMP echo request, id
> 26647, seq 5, length 64
> 12:38:04.286543 IP 172.17.18.19 > 172.16.0.11: ICMP echo reply, id
> 26647, seq 5, length 64
> 12:38:05.280201 IP 172.16.0.11 > 172.17.18.19: ICMP echo request, id
> 26647, seq 6, length 64
> 12:38:05.286016 IP 172.17.18.19 > 172.16.0.11: ICMP echo reply, id
> 26647, seq 6, length 64
> 12:38:13.170502 IP 172.16.0.11 > 172.17.18.40: ICMP echo request, id
> 26648, seq 1, length 64
> 12:38:13.175813 IP 172.17.18.40 > 172.16.0.11: ICMP echo reply, id
> 26648, seq 1, length 64
> 12:38:14.172288 IP 172.16.0.11 > 172.17.18.40: ICMP echo request, id
> 26648, seq 2, length 64
> 12:38:14.176868 IP 172.17.18.40 > 172.16.0.11: ICMP echo reply, id
> 26648, seq 2, length 64
> ===============================================================
>
> На eth1:
> ===============================================================
> 12:38:00.277575 IP 172.16.0.11 > 172.17.18.19: ICMP echo request, id
> 26647, seq 1, length 64
> 12:38:01.280166 IP 172.16.0.11 > 172.17.18.19: ICMP echo request, id
> 26647, seq 2, length 64
> 12:38:02.280124 IP 172.16.0.11 > 172.17.18.19: ICMP echo request, id
> 26647, seq 3, length 64
> 12:38:03.280132 IP 172.16.0.11 > 172.17.18.19: ICMP echo request, id
> 26647, seq 4, length 64
> 12:38:04.280154 IP 172.16.0.11 > 172.17.18.19: ICMP echo request, id
> 26647, seq 5, length 64
> 12:38:05.280164 IP 172.16.0.11 > 172.17.18.19: ICMP echo request, id
> 26647, seq 6, length 64
> 12:38:13.170466 IP 172.16.0.11 > 172.17.18.40: ICMP echo request, id
> 26648, seq 1, length 64
> 12:38:13.175902 IP 172.17.18.40 > 172.16.0.11: ICMP echo reply, id
> 26648, seq 1, length 64
> 12:38:14.172256 IP 172.16.0.11 > 172.17.18.40: ICMP echo request, id
> 26648, seq 2, length 64
> 12:38:14.176978 IP 172.17.18.40 > 172.16.0.11: ICMP echo reply, id
> 26648, seq 2, length 64
> ===============================================================
>
> Видно, что с .40 все хорошо, а ответы от .19 не проходят через раутер.
> Возникло подозрение,
> что где-то в iptables я это блокирую, как результат напихал кучу
> правил для логирования
> прохождения пакета по цепочкам.
>
> Это реальный кусок без купюр:
> ===============================================================
> iptables -t raw    -A PREROUTING -s 172.17.18.0/24 -j LOG --log-prefix
> "172.17.18.0 (raw): "
> iptables -t mangle -A PREROUTING -s 172.17.18.0/24 -j LOG --log-prefix
> "172.17.18.0 (mangle): "
> #маркируем прямые обращения к squid-у для блокировки в цепочке INPUT
> iptables -t mangle -A PREROUTING -p TCP -s 172.16.0.0/15 --dport 3128
> -j MARK --set-mark 3128
>
> iptables -t nat -A PREROUTING -s 172.17.18.0/24 -j LOG --log-prefix
> "172.17.18.0 (nat): "
> iptables -t nat -A PREROUTING -p TCP \
>         -s 172.16.0.0/15 \
>         -m set ! --match-set "ip4_direct_http_clients" src \
>         -m set ! --match-set "ip4_all_vlans"  dst \
>         -m set   --match-set "ip4_proxying_port_list" dst \
>                 -j REDIRECT --to-ports 3128
>
>
> iptables -A FORWARD -s 172.17.18.0/24 -j LOG --log-prefix "172.17.18.0
> (1): "
> iptables -A FORWARD -p ALL -m set --match-set "ip4_black_list"
> src      -j DROP
> iptables -A FORWARD -s 172.17.18.0/24 -j LOG --log-prefix "172.17.18.0
> (2): "
>
> iptables -A FORWARD -p ALL ! -s 172.17.32.0/24   -m set --match-set
> "ip4_all_vlans" src    -m set ! --match-set "mac" src,src -m limit
> --limit 3/minute --limit-burst 3 -j LOG   --log-prefix "Wrong MAC-IP
> pair (FORWARD): "
> iptables -A FORWARD -p ALL ! -s 172.17.32.0/24   -m set --match-set
> "ip4_all_vlans" src    -m set ! --match-set "mac" src,src -j DROP
>
> iptables -A FORWARD -s 172.17.18.0/24 -j LOG --log-prefix "172.17.18.0
> (3): "
>
> iptables -A FORWARD -p ALL -m set --match-set "ip4_white_list_2_inet"
> src -j ACCEPT
> iptables -A FORWARD -p ALL -m set --match-set "ip4_white_list_2_inet"
> dst -j ACCEPT
>
> iptables -A FORWARD -p ALL -m addrtype --dst-type
> BROADCAST               -j DROP
>
> iptables -A FORWARD -s 172.17.18.0/24 -j LOG --log-prefix "172.17.18.0
> (4): "
>
> iptables -A FORWARD -p ALL  -m conntrack --ctstate
> ESTABLISHED,RELATED    -j ACCEPT
>
> iptables -A FORWARD -s 172.17.18.0/24 -j LOG --log-prefix "172.17.18.0
> (5): "
>
> iptables -A FORWARD -p TCP  -j forward_tcp_packets
> iptables -A FORWARD -p UDP  -j forward_udp_packets
> iptables -A FORWARD -p ICMP -j forward_icmp_packets
>
> iptables -A FORWARD -s 172.17.18.0/24 -j LOG --log-prefix "172.17.18.0
> (6): "
>
> iptables -A forward_icmp_packets -s 172.17.18.0/24 -j LOG --log-prefix
> "172.17.18.0: "
> iptables -A forward_icmp_packets -p ICMP -j ACCEPT
> ===============================================================
>
> Если верить диаграмме http://inai.de/images/nf-packet-flow.png , то у
> меня должно в первую
> очередь отработать логирование входящего пакета в цепочке PREROUTING
> таблицы raw.
> Дык вот, для ответов от .40 это так и есть, а для .19 -- тишина!
> ===============================================================
> router ~ # grep 172.17.18. /var/log/messages | grep 172.16.0.11
> Jun  4 12:38:13 router kernel: 172.17.18.0 (raw): IN=eth0.0018 OUT=
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=100 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=1
> Jun  4 12:38:13 router kernel: 172.17.18.0 (raw): IN=eth0.0018 OUT=
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=100 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=1
> Jun  4 12:38:13 router kernel: 172.17.18.0 (mangle): IN=eth0.0018 OUT=
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=100 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=1
> Jun  4 12:38:13 router kernel: 172.17.18.0 (1): IN=eth0.0018 OUT=eth1
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=100 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=1
> Jun  4 12:38:13 router kernel: 172.17.18.0 (2): IN=eth0.0018 OUT=eth1
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=100 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=1
> Jun  4 12:38:13 router kernel: 172.17.18.0 (3): IN=eth0.0018 OUT=eth1
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=100 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=1
> Jun  4 12:38:13 router kernel: 172.17.18.0 (4): IN=eth0.0018 OUT=eth1
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=100 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=1
> Jun  4 12:38:14 router kernel: 172.17.18.0 (raw): IN=eth0.0018 OUT=
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=101 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=2
> Jun  4 12:38:14 router kernel: 172.17.18.0 (raw): IN=eth0.0018 OUT=
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=101 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=2
> Jun  4 12:38:14 router kernel: 172.17.18.0 (mangle): IN=eth0.0018 OUT=
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=101 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=2
> Jun  4 12:38:14 router kernel: 172.17.18.0 (1): IN=eth0.0018 OUT=eth1
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=101 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=2
> Jun  4 12:38:14 router kernel: 172.17.18.0 (2): IN=eth0.0018 OUT=eth1
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=101 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=2
> Jun  4 12:38:14 router kernel: 172.17.18.0 (3): IN=eth0.0018 OUT=eth1
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=101 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=2
> Jun  4 12:38:14 router kernel: 172.17.18.0 (4): IN=eth0.0018 OUT=eth1
> MAC=00:13:21:ae:e7:4b:00:1d:b3:91:29:a0:08:00 SRC=172.17.18.40
> DST=172.16.0.11 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=101 PROTO=ICMP
> TYPE=0 CODE=0 ID=26648 SEQ=2
> ===============================================================
>
> Эта проблема касается не только пингов, а трафика "вообще". Например,
> через раз срабатывает обход устройств по SNMP.
>
>
>