Autor Téma: Apache s dvěma veřejnými IP adresami (Přečteno 7881 krát)

locus · « **kdy:** 12 Června 2012, 21:31:29 »

Zdravím,

chtěl bych zkusit zprovoznit apache, který bude přístupný a funkční pod více síťovými rozhraními.
Jde mi o to že mám dva ISP a to internet přes WiFi a dále mám ADSL k dispozici. Chtěl bych oba ISP využít k dostupnosti a funkčnosti Apache.

Mohli by jste mě prosím nasměrovat. Moc děkuji za reakce.

Šuohob · « **Odpověď #1 kdy:** 12 Června 2012, 22:03:15 »

imho klauzule listen v /etc/apache2/ports.conf, kdyztak zagugli

locus · « **Odpověď #2 kdy:** 12 Června 2012, 22:10:17 »

JJ no ports.conf jsem již nastavil. Na eth0 mám jednu WAN adresu a to funguje ale na kartě eth3 mi to již nejde. Mám tam ADSL modem nastaveno tam je port forwarding na 10.0.0.2 ale kdy zadám přes můj mobilní telefon tu veřejnou IP od toho ADSLka tak se mi nic nenačat.

Šuohob · « **Odpověď #3 kdy:** 12 Června 2012, 22:44:43 »

jsi si jisty, ze ty pakety po ceste neco neblokuje? overil sis, ze na tvoji sitovku skutecne dojdou? viz wireshark, tcpdump

locus · « **Odpověď #4 kdy:** 13 Června 2012, 00:08:34 »

Na to rozhraní eth3 dorazí něco ale už to rozhraní jakoby nezareaguje neodpoví. Dále jsem si ten ADSL modem zkusil na notebooku a tam vše funguje bez problému. Tedy chyba bude něco s nastavením eth3 aby jakoby odpovídalo.

Martin Kiklhorn · « **Odpověď #5 kdy:** 13 Června 2012, 00:26:17 »

Kód: [Vybrat]

netstat -putnl | grep ":80" nebo jaký port máte nastavený se podívám jestli apač poslouchá, pokud ano - zkusím přístup z lokálních rozsahů těch adaptérů, pokud jede i to tak si zkontroluji routing a NATy (a že se mi nepřekrývají rozsahy sítí) aby se náhodou apač nesnažil odpovídat přes druhé rozhraní než na kterém dostal požadavek.

locus · « **Odpověď #6 kdy:** 13 Června 2012, 00:52:32 »

Kód: [Vybrat]

root@locus2:~# netstat -putnl | grep ":80"
tcp        0      0 10.0.0.2:80             0.0.0.0:*               LISTEN      18456/apache2   eth3 LAN IP od ADSL (ISP2) modemu > DMZ na ADSL modemu na 10.0.0.2
tcp        0      0 192.168.1.220:80        0.0.0.0:*               LISTEN      18456/apache2  eth2 LAN - myšleno pouze pro místní sít pro zálohy
tcp        0      0 verejnaIPodISP1:80        0.0.0.0:*               LISTEN      18456/apache2 - eth0 Veřejná IP od ISP1 eth0

eth0 funguje. eth3 když jsem připojen k ADSL modemu a mám ip 10.0.0.6 tak server odpovídá. Když se ale zkusím přes veřejnou IP od ISP2 (ADSL) tak se nic nenačte. Zkusil jsem i zkontrolovat zda DMZ funguje a to tak že když sem byl do ADSL modemu připojen a měl IP 10.0.0.6 tak jsem DMZ zkusil přenastavit na 10.0.0.6 a vše fungovalo i přes veřejnou IP. Tedy DMZ funguje. Ale když je to DMZ nastaveno na eth3 tak to nefunguje.

Martin Kiklhorn · « **Odpověď #7 kdy:** 13 Června 2012, 01:05:41 »

Fajn, takže zkuste ještě tlf.linka → dsl →→ 10.0.0.2 server | →→ 10.0.0.6 notebook
a připojit se z notebooku na 10.0.0.2

Jede?

DMZ - u Zyxel 660 (nepíšete co máte) zlobilo pokud bylo default DMZ a zároveň přesměrování portu na stejný stroj. Jestli váš případ tak jedno z toho vypněte.

ntz_reloaded · « **Odpověď #8 kdy:** 13 Června 2012, 01:15:35 »

ukaz v plne konfiguraci prosim:

Kód: [Vybrat]

ip a; ip r
iptables -t nat -L; iptables -L
perl -ne 'next if /^\s*(#.*)?$/; print' $cesta_k_httpd_conf

locus · « **Odpověď #9 kdy:** 13 Června 2012, 01:17:14 »

Když jsem se připojil na ADSL modem můj notebook měl IP 10.0.0.6 v prohlížeči jsem zadal 10.0.0.2 a načetla se mi bez problému default ní obsah.

Typ ADSL: Zyxel p-870hn-53b

Mám nastaveno pouze DMZ

locus · « **Odpověď #10 kdy:** 13 Června 2012, 01:22:20 »

Kód: [Vybrat]

root@locus2:~# ip a; ip r
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether f4:ec:38:80:bb:03 brd ff:ff:ff:ff:ff:ff
    inet verejnaIPodISP1/8 brd 80.255.255.255 scope global eth0
    inet6 fe80::f6ec:38ff:fe80:bb03/64 scope link 
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:27:19:b0:0f:5d brd ff:ff:ff:ff:ff:ff
    inet 10.0.1.2/24 brd 10.0.1.255 scope global eth1
    inet6 fe80::227:19ff:feb0:f5d/64 scope link 
       valid_lft forever preferred_lft forever
4: eth2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether f8:d1:11:02:de:0c brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.220/24 brd 192.168.1.255 scope global eth2
    inet6 fe80::fad1:11ff:fe02:de0c/64 scope link 
       valid_lft forever preferred_lft forever
5: eth3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
    link/ether 2c:41:38:87:96:b6 brd ff:ff:ff:ff:ff:ff
    inet 10.0.0.2/24 brd 10.0.0.255 scope global eth3
    inet6 fe80::2e41:38ff:fe87:96b6/64 scope link 
       valid_lft forever preferred_lft forever
default via verejnaIPodISP1 dev eth0  proto static 
10.0.0.0/24 dev eth3  proto kernel  scope link  src 10.0.0.2  metric 1 
10.0.1.0/24 dev eth1  proto kernel  scope link  src 10.0.1.2  metric 1 
80.0.0.0/8 dev eth0  proto kernel  scope link  src verejnaIPodISP1  metric 1 
169.254.0.0/16 dev eth1  scope link  metric 1000 
192.168.1.0/24 dev eth2  proto kernel  scope link  src 192.168.1.220  metric 1

Kód: [Vybrat]

root@locus2:~# iptables -t nat -L; iptables -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Martin Kiklhorn · « **Odpověď #11 kdy:** 13 Června 2012, 01:45:02 »

Napadá mne u modemu ještě jedna ptákovina. Vypněte DMZ, nastavte PortForward z veřejného TCP 8080 na serverový 80 a testněte to zvenku na veřejná:8080 - jestli to pojede tak zkuste PF z veřejné 80, pokud nepojede tak na portu pravděpodobně poslouchá web rozhraní routeru a zvenku má zakázaný přístup. To by se mělo nechat přenastavit.

Další zrada může být v kombinaci "desítkové" sítě a T-mobile routingu (pokud jej máte) - sice se to nechá krásně zneužít na provozování serveru za 3G modemem, ale to je na jiné povídání. Změnil bych LAN stranu na nějaký rozsah 172.20.x.x

Petr Merlin Vaněček · « **Odpověď #12 kdy:** 13 Června 2012, 08:06:41 »

Martine předpokládám jsi myslel 172.16.0.0/16 (private subnet)

ntz_reloaded · « **Odpověď #13 kdy:** 13 Června 2012, 09:19:29 »

Citace: Petr Merlin Vaněček 13 Června 2012, 08:06:41

Martine předpokládám jsi myslel 172.16.0.0/16 (private subnet)

ten rozsah class B (nebo jak se tomu nadava) je pokud se nemylim

172.16.0.0 - 172.31.255.255

predpokladam, ze M. myslel pouzit neco s maskou >= 24

locus · « **Odpověď #14 kdy:** 13 Června 2012, 10:21:54 »

Tak zkusil jsem předělat a vypnout DMZ na ADSLku. IP sem nastavil dle třídy B. Ano ADSL mám od T-Mobilu. Zkusil jsem to samé aplikovat na můj notebook a veřejnáip:8080 se obsah načetl. Tedy jsem jen změnil IP adresu na server eth3 kartu a tam už to nejelo. Zde výpis z tdpdump.

Výpis je připojení z 3G (T-mobile) na veřejnou IP od ADSL

Kód: [Vybrat]

root@locus2:~# tcpdump -ni eth3 'port 80'
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth3, link-type EN10MB (Ethernet), capture size 65535 bytes
10:17:14.004694 IP 10.76.94.1.44582 > 172.16.0.171.80: Flags [S], seq 2361285219, win 64240, options [mss 1452,sackOK,TS val 11592828 ecr 0,nop,wscale 1], length 0
10:17:17.087060 IP 10.76.94.1.44582 > 172.16.0.171.80: Flags [S], seq 2361285219, win 64240, options [mss 1452,sackOK,TS val 11593128 ecr 0,nop,wscale 1], length 0
10:17:23.114247 IP 10.76.94.1.44582 > 172.16.0.171.80: Flags [S], seq 2361285219, win 64240, options [mss 1452,sackOK,TS val 11593728 ecr 0,nop,wscale 1], length 0
10:17:34.970359 IP 10.76.94.1.58709 > 172.16.0.171.80: Flags [S], seq 2689337518, win 64240, options [mss 1452,sackOK,TS val 11594928 ecr 0,nop,wscale 1], length 0
10:17:37.538539 IP 10.76.94.1.58709 > 172.16.0.171.80: Flags [S], seq 2689337518, win 64240, options [mss 1452,sackOK,TS val 11595228 ecr 0,nop,wscale 1], length 0
10:17:44.798403 IP 10.76.94.1.58709 > 172.16.0.171.80: Flags [S], seq 2689337518, win 64240, options [mss 1452,sackOK,TS val 11595828 ecr 0,nop,wscale 1], length 0
10:17:56.139000 IP 10.76.94.1.50933 > 172.16.0.171.80: Flags [S], seq 3017943725, win 64240, options [mss 1452,sackOK,TS val 11597028 ecr 0,nop,wscale 1], length 0
10:17:59.113639 IP 10.76.94.1.50933 > 172.16.0.171.80: Flags [S], seq 3017943725, win 64240, options [mss 1452,sackOK,TS val 11597328 ecr 0,nop,wscale 1], length 0
10:18:04.552054 IP 10.76.94.1.50933 > 172.16.0.171.80: Flags [S], seq 3017943725, win 64240, options [mss 1452,sackOK,TS val 11597928 ecr 0,nop,wscale 1], length 0
^C
9 packets captured
9 packets received by filter
0 packets dropped by kernel
root@loucs2:~#

Petr Merlin Vaněček · « **Odpověď #15 kdy:** 13 Června 2012, 10:39:16 »

A heleho

Fakt jsem si myslel, že je to /16 a on /12

K tématu: iptables?

PS: To nic znamená, že se nic nezobrazí (bílo), nebo že se zobrazí, že server není dostupný?

locus · « **Odpověď #16 kdy:** 13 Června 2012, 10:50:49 »

No na mobilu to napíše že webová stránka není dostupná. Nic jiného a když dám verjnaIPodADSL:80 tak se načte ten modem. A s IPTABLES sem nic nedělal.

locus · « **Odpověď #17 kdy:** 13 Června 2012, 11:10:18 »

Ted me napadlo není problém v tom že eth3 jakoby neodpoví zpět tomu požadavku?

locus · « **Odpověď #18 kdy:** 13 Června 2012, 11:18:25 »

Nebude problém v tom že se využívá ta defaultní gateway?

Kód: [Vybrat]

Směrovací tabulka v jádru pro IP
Adresát         Brána           Maska           Přízn   MSS Okno    irtt Rozhraní
default         verejnaIPdoISP1   0.0.0.0         UG        0 0          0 eth0 zde je WiFi ISP 1
10.0.1.0        *               255.255.255.0   U         0 0          0 eth1
80.0.0.0        *               255.0.0.0       U         0 0          0 eth0
link-local      *               255.255.0.0     U         0 0          0 eth1
172.16.0.0      *               255.255.0.0     U         0 0          0 eth3  - zde je modem ADSL - ISP2
192.168.1.0     *               255.255.255.0   U         0 0          0 eth2

locus · « **Odpověď #19 kdy:** 13 Června 2012, 13:15:11 »

Asi bude potřeba něják oštřit aby eth3 odpovídalo nebo mělo gateway zpět na ADSL modem. A ne jak ted to posílá přes eth0 že?

Martin Kiklhorn · « **Odpověď #20 kdy:** 13 Června 2012, 18:45:43 »

Citace: locus 13 Června 2012, 10:21:54

Tak zkusil jsem předělat a vypnout DMZ na ADSLku. IP sem nastavil dle třídy B. Ano ADSL mám od T-Mobilu. Zkusil jsem to samé aplikovat na můj notebook a veřejnáip:8080 se obsah načetl. Tedy jsem jen změnil IP adresu na server eth3 kartu a tam už to nejelo. Zde výpis z tdpdump.

Výpis je připojení z 3G (T-mobile) na veřejnou IP od ADSL

Kód: [Vybrat]
root@locus2:~# tcpdump -ni eth3 'port 80' tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth3, link-type EN10MB (Ethernet), capture size 65535 bytes 10:17:14.004694 IP 10.76.94.1.44582 > 172.16.0.171.80: Flags [S], seq 2361285219, win 64240, options [mss 1452,sackOK,TS val 11592828 ecr 0,nop,wscale 1], length 0 10:17:17.087060 IP 10.76.94.1.44582 > 172.16.0.171.80: Flags [S], seq 2361285219, win 64240, options [mss 1452,sackOK,TS val 11593128 ecr 0,nop,wscale 1], length 0 10:17:23.114247 IP 10.76.94.1.44582 > 172.16.0.171.80: Flags [S], seq 2361285219, win 64240, options [mss 1452,sackOK,TS val 11593728 ecr 0,nop,wscale 1], length 0 10:17:34.970359 IP 10.76.94.1.58709 > 172.16.0.171.80: Flags [S], seq 2689337518, win 64240, options [mss 1452,sackOK,TS val 11594928 ecr 0,nop,wscale 1], length 0 10:17:37.538539 IP 10.76.94.1.58709 > 172.16.0.171.80: Flags [S], seq 2689337518, win 64240, options [mss 1452,sackOK,TS val 11595228 ecr 0,nop,wscale 1], length 0 10:17:44.798403 IP 10.76.94.1.58709 > 172.16.0.171.80: Flags [S], seq 2689337518, win 64240, options [mss 1452,sackOK,TS val 11595828 ecr 0,nop,wscale 1], length 0 10:17:56.139000 IP 10.76.94.1.50933 > 172.16.0.171.80: Flags [S], seq 3017943725, win 64240, options [mss 1452,sackOK,TS val 11597028 ecr 0,nop,wscale 1], length 0 10:17:59.113639 IP 10.76.94.1.50933 > 172.16.0.171.80: Flags [S], seq 3017943725, win 64240, options [mss 1452,sackOK,TS val 11597328 ecr 0,nop,wscale 1], length 0 10:18:04.552054 IP 10.76.94.1.50933 > 172.16.0.171.80: Flags [S], seq 3017943725, win 64240, options [mss 1452,sackOK,TS val 11597928 ecr 0,nop,wscale 1], length 0 ^C 9 packets captured 9 packets received by filter 0 packets dropped by kernel root@loucs2:~#

Ježíš. Dyť von ten modem nenatuje.
Mělo by být vidět na serveru

Kód: [Vybrat]

root@locus2:~# tcpdump -ni eth3 'port 80'
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth3, link-type EN10MB (Ethernet), capture size 65535 bytes
10:17:14.004694 IP adresamodemu.44582 > 172.16.0.171.80: Flags [S], seq 2361285219, win 64240, options [mss 1452,sackOK,TS val 11592828 ecr 0,nop,wscale 1], length 0

Zkuste se podívat jestli je na tom modemu něco jako dst-nat.
Tedy odchytávat "cokoliv je posláno na veřejnou IP modemu na port 80 si zapiš do překladové tabulky, nahraď zdrojovou adresu za svoji 172.16... a ten paket pošli na adresu přiřazenou eth3 serveru. V odpovědi zase nahraď adresy zpět a pošli to kam patří.

V tomhle stavu to opravdu bude posílat server ven přes default GW. Sice by se dala udělat nějaká vopičárna s iptables a routováním na serveru (GW pro cílovou adresu/32 se bude přidávat dynamicky na základě toho přes jakou kartu z té adresy přišel požadavek) ale to z hlavy nedám.

//edit2: V posledních XX letech jsem nenarazil na modem který by neměl nějaký větší či menší problém. Ať už to byly malé překladové tabulky, nepodpora protokolu 41, zoufalé chyby v FW, něco se nedalo nastavit. Což nejsou chyby modemu ale spíše toho vestavěného "routeru".

Takže pro 100% funkcionalitu (požaduji toho většinou daleko více než možnost prohlížet si web z počítačů za krabičkou) jsem milý modem vzal, přenastavil ho aby dělal pouhý bridge (tím se obejde ta routovací část) a připojil za něj linuxovou mašinu nebo nějaký Mikrotik, na kterém tedy skončila veřejná IP. Těch pár drobností co se nedaly udělat v RouterOS tak šlo přes virtualizované WRT.

Zpět k problému - najít jestli vaše krabička umí natovat zvenku dovnitř. Pokud ne tak vřadit mezi něj a server další krabičku která to umí. Ale to by nebyla ta správná zábava. Tu bych zkusil hledat třeba v tom co z hlavy nedám: http://developingrapids.blogspot.cz/2006/05/conning-mark-multiwan-connections.html

locus · « **Odpověď #21 kdy:** 14 Června 2012, 00:24:41 »

No mě přijde že je chyba právě v tom že ta odpověd jde přes tu default gateway tedy chápu správně že je potřeba udělat to aby vše co přijde na eth3 aby i odpoveď šla přes eth3?

Ohledně toho NATu tady jsem koukal na oficiální datasheet moc z toho moudrej nejsu:
ftp://ftp.zyxel.com/P-870HN-53b/user_guide/P-870HN-53b_1.12.pdf

Martin Kiklhorn · « **Odpověď #22 kdy:** 14 Června 2012, 08:28:59 »

OK, zkuste to tedy SW na serveru, ať odpovídá přes to rozhraní ze kterého požadavek přišel.
odkaz na konci minulého postu.

Martin Kiklhorn · « **Odpověď #23 kdy:** 15 Června 2012, 00:11:03 »

hoďte sem aktuální

Kód: [Vybrat]

ip a
ip r

Zkusíme upáchat nějaké copy&paste řešení přes iproute ( http://lartc.org/howto/lartc.rpdb.multiple-links.html + http://linux-ip.net/html/adv-multi-internet.html )

locus · « **Odpověď #24 kdy:** 15 Června 2012, 11:13:02 »

Omlouvám se opožděnou reakci.

Kód: [Vybrat]

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether f4:ec:38:80:bb:03 brd ff:ff:ff:ff:ff:ff
    inet AA.AAA.AA.AAA/8 brd 80.255.255.255 scope global eth0
    inet6 fe80::f6ec:38ff:fe80:bb03/64 scope link 
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:27:19:b0:0f:5d brd ff:ff:ff:ff:ff:ff
    inet 10.0.1.2/24 brd 10.0.1.255 scope global eth1
    inet6 fe80::227:19ff:feb0:f5d/64 scope link 
       valid_lft forever preferred_lft forever
4: eth2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether f8:d1:11:02:de:0c brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.220/24 brd 192.168.1.255 scope global eth2
    inet6 fe80::fad1:11ff:fe02:de0c/64 scope link 
       valid_lft forever preferred_lft forever
5: eth3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
    link/ether 2c:41:38:87:96:b6 brd ff:ff:ff:ff:ff:ff
    inet 172.16.0.171/16 brd 172.16.255.255 scope global eth3
    inet6 fe80::2e41:38ff:fe87:96b6/64 scope link 
       valid_lft forever preferred_lft forever

Kód: [Vybrat]

default via AA.AAA.AA.AAA dev eth0  proto static 
10.0.1.0/24 dev eth1  proto kernel  scope link  src 10.0.1.2  metric 1 
80.0.0.0/8 dev eth0  proto kernel  scope link  src AA.AAA.AA.AAA  metric 1 
169.254.0.0/16 dev eth1  scope link  metric 1000 
172.16.0.0/16 dev eth3  proto kernel  scope link  src 172.16.0.171  metric 1 
192.168.1.0/24 dev eth2  proto kernel  scope link  src 192.168.1.220  metric 1

A ten ADSL modem je na eth3.