Ubuntu Server jako router

[Sviccc]

Zdravím.Řeším jeden malý problém a chtěl bych si nechat poradit od zkušenějších.Mám server s veřejnou IP adresou zapojený přes switch do netu.Přes ten samý switch mám připojené i ostatní klientské počítače a já bych chtěl využít server jako router, aby se klientské počítače mohli přes něj připojovat na net a měli jeho veřejnou IP adresu.Přes proxy mi to jaksi nesežralo.Zajímá mě, jestli to v tomhle síťovém provedení je možné, nebo jestli budu muset do serveru píchnout další síťové rozhraní a tahat další kabely.Snad jsem to vysvětlil správně.Děkuji za vaše odpovědi.

[ntz_reloaded]

to zavisi jak to mas .. router je z definice pocitac majici dve a vice sitovych rozhrani, pricemz routuje provoz mezi nima .. jedno je typicky rozhrani do netu a druhe je typicky rozhrani do LAN

[Sviccc]

Switch je zapojený do netu a do toho samého switche 5 PC.Jeden je server s interní IP "10.50.50.50" na kterou je přidělena veřejná IP.Já bych to chtěl udělat tak, aby se server choval jako výchozí brána, na kterou by se připojovaly ostatní PC a v podstatě by fungoval i jako firewall.Jednoduše by veškerý síťový provoz šel přes server jako přes proxy.

[beer]

Zdravím.Řeším jeden malý problém a chtěl bych si nechat poradit od zkušenějších.Mám server s veřejnou IP adresou zapojený přes switch do netu.Přes ten samý switch mám připojené i ostatní klientské počítače a já bych chtěl využít server jako router, aby se klientské počítače mohli přes něj připojovat na net a měli jeho veřejnou IP adresu.Přes proxy mi to jaksi nesežralo.Zajímá mě, jestli to v tomhle síťovém provedení je možné, nebo jestli budu muset do serveru píchnout další síťové rozhraní a tahat další kabely.Snad jsem to vysvětlil správně.Děkuji za vaše odpovědi.

K čemu to? Na těch dalších strojích nemáš přidělené dynamické adresy?

http://wiki.ubuntu.cz/Sd%C3%ADlen%C3%AD%20internetov%C3%A9ho%20p%C5%99ipojen%C3%AD
http://wiki.ubuntu.cz/Firewall%2C%20router%2C%20gateway

Klasicky se to dělá s použitím více karet v pc, ale snad by to šlo, pomocí iptables. To, co chceš, je ale neefektivní - budeš muset mít pc zapnuté vždy, když budeš chtít mít internet na ostatních.

edit: je ti jasné, že tím nejen že omezíš internet, ale i rychlost přes lan a výkon serveru. Pokud je to výkoný stroj a máš gigabitovou síťovou kartu, tak by to nemusela být zas taková tragédie.

[RRRadek Neužil]

V práci jsem měl v hlavním počítači dvě síťové karty a na druhé kartě nastavené DHCP a fungovalo to bez problémů ale stejně jsem se nakonec po pár měsících vrátil zpět k normálnímu routeru jelikož je to nepraktické a router je se vším uživatelským komfortem za pár kaček

[Sviccc]

Server je samozřejmě 24h/den zapnutý s gigabitovou kartou, jinak by to nebyl server.Veřejnou bych nepoužíval neustále, ale jen pro některé úkony.Čili bych měl v desktopovém ubuntu nastavené 2 různé připojení (napřímo a přes server), mezi kteréma bych si přepínal.

[ntz_reloaded]

Server je samozřejmě 24h/den zapnutý s gigabitovou kartou, jinak by to nebyl server.Veřejnou bych nepoužíval neustále, ale jen pro některé úkony.Čili bych měl v desktopovém ubuntu nastavené 2 různé připojení (napřímo a přes server), mezi kteréma bych si přepínal.

pozoruhodne

[Sviccc]

pozoruhodne

To nezní jako řešení ;-)

[RRRadek Neužil]

To by mě zajímalo jestli si takhle hraješ doma nebo v nějaké firmě nebo nedej bóže v serverovně?

Defakto jsi chtěl poradit a porazeno ti bylo...
1:Musíš mít v počítači minimálně dvě síťové karty...
2:K té druhé síťové kartě kterou budeš používat jako "router" připojíš "jiný" switch ke kterým budou připojené stanice které potřebuješ...
3:A ohledně toho přepínání si krapet odporuješ, pokud by jsi to ale přepnul tak věz že počítače které jsou skrz tvůj "router" připojené se nepřepnou a nebudou fungovat...

[Sviccc]

Přepínal bych vždy na jednom desktopu tak, že bych měl na jednom připojení nastavenou výchozí bránu a dns IP serveru a v druhém připojení přímo IP Wifi klienta, tedy napřímo.Ale pokud je nutné k tomu další síťové rozhraní, nebudu to dál řešit.Přece jenom se mi nechce tahat další kabel přes celý "byt", už tak je tu překabelováno.Myslel jsem, že by to šlo vyřešit podobně jako proxyna, proto jsem se optal.I tak mnohokrát děkuji za rady ;-)

[beer]

To, že jsou připojeny pc přes wifi jsem někde zřejmě přehlédl. V tom případě mi to není jasné vůbec, protože si psal, že jsou pc připojeny přes switch.

[RRRadek Neužil]

To, že jsou připojeny pc přes wifi jsem někde zřejmě přehlédl. V tom případě mi to není jasné vůbec, protože si psal, že jsou pc připojeny přes switch.

Ale může mít wifi switch, ale to nic nemění na tom že se v tom začínám ztrácet taky

[ntz_reloaded]

pozoruhodne

To nezní jako řešení ;-)

dobre tedy, sam sis o to rekl ..

rozumej tomu tak, ze to je strasna blbost co jsi napsal

[beer]

To, že jsou připojeny pc přes wifi jsem někde zřejmě přehlédl. V tom případě mi to není jasné vůbec, protože si psal, že jsou pc připojeny přes switch.

Ale může mít wifi switch, ale to nic nemění na tom že se v tom začínám ztrácet taky

Zřejmě má tedy wifi router, který má nastavený jako switch i jako router, routuje dynamickou adresu od poskytovatele do 5 klientů, kterým vytváří NAT, každý má od něj místní adresu, a přes jeden port předává pevnou ip adresu k serveru.

Nechápu účel pro předávání veřejné pevné adresy ze serveru na jiné stroje - to v ničem nepomůže. Jedna adresa může být aktivní ve stejné době jen na jednom stroji, jinak bude docházet ke kolizi, to je jako by stejné telefonní číslo poskytovatel přidělil různým lidem. Nehledě na to, ten server by tu ip adresu využívat nemohl a byl by z něho switch., nikoliv router. Nebo by mohl routovat, ale v takovém případě by vytvářel další síť místního rozsahu, jedna už tam je, takže to vypadá na úplný nesmysl.

[Sviccc]

Co na tomhle zapojení není jasné?Asi jsem to špatně vysvětlil... :-)

[beer]

Jak jsem psal, pevnou ip můžeš použít jen jednou, buď jí budeš switchovat dál, nebo jí můžeš routovat do místní sítě. Nemůže jí použít žádný jiný stroj, než pouze jen jeden v daný okamžik, jinak síť nebude fungovat správně, protože bude docházet ke kolizi ip adres.

TPřepínal bych vždy na jednom desktopu tak, že bych měl na jednom připojení nastavenou výchozí bránu a dns IP serveru a v druhém připojení přímo IP Wifi klienta,

Myslíš tím ip wifi klienta myslíš pevnou ip od poskytovatele, kterou switchuješ. Kam pevnou ip adresu pošleš můžeš nastavit na switchi, ale ne na serveru.

[Petr Merlin Vaněček]

Docela by mne zajímalo, zda v tuto chvíli Internet funguje na všech PC ...
Pokud je ten WiFi klient v režimu bridge, asi musí mít ISP radost, cože se mu to děje na síti a kde se berou ty neznámé MAC adresy

Pokud se mají ostatní PC "schovat" pod veřejnou IP Serveru, je ideálně potřeba, aby server měl dvě síťové karty, jedna bude napřímo zapojená do WiFi klienta, druhá do switche, do kterého budou zapojené ostatní PC.

Pokud ten WiFi klient NATuje do vnitřní sítě (na switch), pak nevidím důvodu, proč by se měli osatní klienti "schovávat". Řešitelné by to bylo i s jednou síťovkou, prostě by byla NATující rozhraní a nesla by dvě IP. Ostatní PC by měla IP nastavené napevno (to aby se nám nepraly DHCP servery) s bránou IP serveru. Nicméně je to zběsilé a je to blbost. Takhle ne.

PS: S routováním jedné IP nesouhlasím. To nelze. Routovat se dá jedině adresovatelný subnet (tj. minimálně čtyři po sobě jdoucí IP - první adresa subnetu, druhá použitelná IP - pravděpodobně brána, třetí použitelná IP klienta s bránou = druhá IP, čtvrtá broadcast toho subnetu), nejmenší je mám léta za to /30.

[Sviccc]

Takže odzačátku...Mám internetové připojení řešené pomocí bezdrátové technologie.Tudíž poskytovatel přijel, hodil mi na střechu Nano5 (klient), který napojil na AP a v klientu nastavil rozsah IP adres, který můžu používat.Vyžadoval jsem veřejnou IP, a tak mi na vnitřní 10.50.50.50 pootevíral všechny porty.Takže lze zvenku přistupovat pouze na toto jedno PC.Chtěl jsem vědět, zda-li by bylo možné, aby tento server přebral komunikaci a já ostatni PC v síti napojoval na něj, aby bylo možné zvenčí na ně také přistupovat, aniž bych musel do serveru páchat další síťovou kartu a musel tahat 20m kabel navíc.

[beer]

Pokud ten WiFi klient NATuje do vnitřní sítě (na switch), pak nevidím důvodu, proč by se měli osatní klienti "schovávat". Řešitelné by to bylo i s jednou síťovkou, prostě by byla NATující rozhraní a nesla by dvě IP. Ostatní PC by měla IP nastavené napevno (to aby se nám nepraly DHCP servery) s bránou IP serveru. Nicméně je to zběsilé a je to blbost. Takhle ne.

PS: S routováním jedné IP nesouhlasím. To nelze. Routovat se dá jedině adresovatelný subnet (tj. minimálně čtyři po sobě jdoucí IP - první adresa subnetu, druhá použitelná IP - pravděpodobně brána, třetí použitelná IP klienta s bránou = druhá IP, čtvrtá broadcast toho subnetu), nejmenší je mám léta za to /30.

Tím routováním do místní sítě jsem myslel to, že by server vytvořil místní síť pro ostatní pc (nat), ale všechna by byla schována za stejnou pevnou ip, to znamená, že ať by vlezl z kteréhokoliv pc na mojeip.cz, viděl by vždy ip adresu pevnou (i když s povoleným javascriptem by to stejně ukazovalo i adresu v místní síti). Pokud by chtěl ale se připojovat například z venčí na některý konkrétní pc, musel by si nastavit přesměrování portů.

[Petr Merlin Vaněček]

V takovém případě asi fakt to, co jsem psal, tj. na jedné síťovce dvě IP a na to rozhraní zároveň nahodit NAT. Pak udělat v PREROUTING daného portu DNAT na pevnou IP. Ostatní PC nastavit IP staticky, GW IP toho "serveru".

Mohlo by to fungovat, pokud ne, bylo by zapotřebí vytvořit nějaké virtuální rozhraní (napadá mne IMQ?), přes to poslat traffic a to využít to jako NAT.

Nicméně ani jedno "čisté" řešení (už ten NAT je proti tomu, co by Internet měl být)

PS: Routování do místní sítě evokuje něco úplně jiného, než NATování do místní sítě (resp. port forward). NAT je překlad adres - celá LAN "schovaná" za jedinou veřejnou IP, routování je technika používaná pro přístup mezi sítěmi LAN či WAN se zachováním zdrojových adres tj. každý klient je pro server identifikován jedinečnou IP adresou (žádné PC se neschovává za jiné). Právě tyto zběsilosti se snaží řešit ipv6, tj. to, aby se už žádné PC nemuselo za jiné schovávat.

PPS: Ještě mne napadlo jiné řešení - vytvořit SSH tunel z každého jednoho PC na ten server, ale to by znamenalo, pokud má být PC dostupné, aby byl vždy vytvořený SSH tunel.

[beer]

Takže odzačátku...Mám internetové připojení řešené pomocí bezdrátové technologie.Tudíž poskytovatel přijel, hodil mi na střechu Nano5 (klient), který napojil na AP a v klientu nastavil rozsah IP adres, který můžu používat.Vyžadoval jsem veřejnou IP, a tak mi na vnitřní 10.50.50.50 pootevíral všechny porty.Takže lze zvenku přistupovat pouze na toto jedno PC.Chtěl jsem vědět, zda-li by bylo možné, aby tento server přebral komunikaci a já ostatni PC v síti napojoval na něj, aby bylo možné zvenčí na ně také přistupovat, aniž bych musel do serveru páchat další síťovou kartu a musel tahat 20m kabel navíc.

Viz můj dnešní příspěvek zde:

http://forum.ubuntu.cz/index.php?topic=64121.msg456910#msg456910

n2n + ssh je ideální řešení pro tyto případy, bez kupování síťovek a pevných ip. Pevnou ip ani nepotřebuješ, ani jednu.

[ntz_reloaded]

V takovém případě asi fakt to, co jsem psal, tj. na jedné síťovce dvě IP a na to rozhraní zároveň nahodit NAT. Pak udělat v PREROUTING daného portu DNAT na pevnou IP. Ostatní PC nastavit IP staticky, GW IP toho "serveru".

Mohlo by to fungovat, pokud ne, bylo by zapotřebí vytvořit nějaké virtuální rozhraní (napadá mne IMQ?), přes to poslat traffic a to využít to jako NAT.

Nicméně ani jedno "čisté" řešení (už ten NAT je proti tomu, co by Internet měl být)

uz i ty brute ? (vymejslis blbosti)

https://en.wikipedia.org/wiki/DMZ_%28computing%29#Single_firewall

^^ pokud chce kluk svemu serveru rikat server a za kazdou cenu delat nejake *reseni, tak at to ma alespon hlavu a patu

[Sviccc]

pokud chce kluk svemu serveru rikat server a za kazdou cenu delat nejake *reseni, tak at to ma alespon hlavu a patu

Je to jen na chvilkové používání, nic natrvalo.Pouze pokud bude potřeba, bylo by dobré mít tu možnost přepnout bránu a dns na server a komunikovat přes něj.Jinak než prasácky to stejně nepůjde udělat, jelikož tak i tak se data budou muset prohrabávat skrz serverový disk.

[beer]

V tom případě nasaď n2n+ssh, případně + nfs, máš to za pár minut vyřešené a funkční.

[Petr Merlin Vaněček]

@ntz_reloaded šak říkám, že se mi to nelíbí A ano, není řeči o tom, že bez druhé síťovky je to prostě čuňárna. A vůbec si nejsem jist, zda by to fungovalo. SSH tunel by bylo čisté řešení. Ať tak či tak je to NAT za NATem.

Možná nejhezčí by bylo spustit na "serveru" pro tu síť ipv6 tunel od brokera + radvd a připojovat se přímo na jednotlivá PC ...