Re: dual wan tűzfal szabály

["Veres Sándor"]

2014.április 17.(Cs) 6:58 pm időpontban Molnár Péter ezt írta:
>
> Szoval ha a lenti konfigban valaki lat hibat, akkor ne kimeljen...
>
> /etc/network/iptables tartalma:
> *nat
> :PREROUTING ACCEPT
> :INPUT ACCEPT
> -A INPUT -s 10.0.0.0/8 -i eth1 -j ACCEPT
> -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
> -A INPUT -i lo -j ACCEPT
> :OUTPUT ACCEPT
> :POSTROUTING ACCEPT
> :POSTROUTING ACCEPT
> -A PREROUTING -j CONNMARK --restore-mark
> -A PREROUTING --match mark --mark 1 -j ACCEPT
> -A PREROUTING -i eth1 -j MARK --set-mark 1
> -A PREROUTING --match mark --mark 2 -j ACCEPT
> -A PREROUTING -i eth2 -j MARK --set-mark 2
> -A PREROUTING -j CONNMARK --save-mark
> -A POSTROUTING -o eth1 -j MASQUERADE
> -A POSTROUTING -o eth2 -j MASQUERADE
> COMMIT
> *filter
> :OUTPUT ACCEPT
> -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
> -A FORWARD -s 10.0.0.0/8 -i eth0 -o eth1 -j ACCEPT
> -A FORWARD -s 10.0.0.0/8 -i eth0 -o eth2 -j ACCEPT
> -A OUTPUT -o lo -j ACCEPT
> -A OUTPUT -o eth0 -j ACCEPT
> COMMIT


Első ránézésre szerintem kell két sor:
"
COMMIT
*mangle
"

a következő rész elé:
> :OUTPUT ACCEPT
> :POSTROUTING ACCEPT
> :POSTROUTING ACCEPT

Mivel a "... --match mark --mark 2 -j ACCEPT" szabályokat a mangle
táblában kell létrehozni

Továbbá itt kétszer szerepel a POSTROUTING az egyik helyett PREROUTING kell.


Eddig én Zentyal-lal fogtam össze a két internet vonalunkat, de sajnos a
Zentyal egy ideje rosszul kezeli, ha az egyik net kapcsolat PPPoE. Ezt
nagyon sokáig egy sor módosításával megoldottam, de most további hibát is
csináltak a Zentyalos fiúk, most már a DNS-el is probléma van, ha két net
kapcsolat van beállítva.
Ezért én nyáron fogok saját megoldásra áttérni.

Veres Sándor