[Techinfo] Joomla 1.5 költöztetése újabb rendszerre

[ka at mayten.sch.bme.hu]

On 09/27/2016 21:25, Fehér Sándor wrote:
> Ellenőriztem a sort a szerveren és nem "s" hanem "d" ezt elnéztem.
> Ha úgy lenne ahogy írtam, akkor a net sem működne :)
> Így van helyesen:
> $IPT -A PREOUTING -t nat -i $lan -d 192.168.4.251/32 -p tcp --dport 80
> -j DNAT --to-destination 192.168.4.251:80
>

igazan nem kotekedes, de nem ertem ennek a lenyeget.  en vagyok a 
router.  egy csomo labam van.  az egyiken bejon egy csomag.  nezem: 
forras a lan, cel a 192.168.4.251, tcp/80-ra megy.  hopp, ezt meg kell 
natolnom, ujrairnom a cel cimet... ugyanarra...?  ennek mi ertelme?

Ez semmi hasznosat nem tesz hozza a forgalomhoz, gyakorlatilag atirod a 
192.168.4.251 -et 192.168.4.251 -re.

> Amúgy maga a megoldás az otthoni tűzfalamnak a másolása és konvertálása
> mert otthon van egy freepbx szerverem (asterix).

Asterix a rajzfilm figura, Asterisk a telefonkozpont.


> Annyi a különbség a két rendszer között, hogy otthon mikrotik
> routerboard van.

Mint irtam az elozo levelemben, a routerek egyedi modon valositjak meg a 
forgalom tovabbitasat es szamtalan tenyezotol fugg.  Routerrol routerre 
mas es mas.

> Röviden mikrotikkel megtudtam csinálni és iptables-en nem akar menni.
>

Eddig mindket iptables, amit bemasoltal, nem azt csinalja, mint amit 
szerettel volna :)

> Futok vele még egy kört, értelmezem a leírtakat. :)

En is tovabb gondoltam azota a dolgot.  Azota azon toprengek, hogy vajon 
miert allitottad, hogya szerver a router fele kuldi el a valaszt, 
mikozben ezt semmilyen teny nem tamasztotta ala.  Vegig azt 
felteteleztem, hogy tuti nem arra kuldi, csak ugy gondolod, mert a 
router a default gw.

Aztan rajottem egy ujabb buktatora.  Mi van, ha az iptablesed jo, csak 
nem birtad hiba nelkul bemasolni az emailbe?  Mi van, ha valojaban ezt 
akartad volna irni:

iptables -t nat -A PREROUTING -s $lan -s <lan range> -p tcp -d <publikus 
cim> --dport 80 -j DNAT --to-destination <privat ip>:80

Mert a fentinek ertelme is lenne es jogosan hihetne az ember, hogy ettol 
mukodni fog: a bentrol erkezo csomagokat, amik a publikus cimre mennek 
atiranyitod a privatra.

Itt megint attol fugg minden, hogy milyen router, milyen szoftver.  De 
ahogy annak idejen tanitottak: plan for the worst, hope for the best.

Szerintem a fenti eseten a kovetkezo tortenik.  A kliensed, 
192.168.4.akarmi kuld egy csomagot a routernek, hiszen az internet arra 
van.  A router a fenti iptables miatt eszreveszi, hogy ezt nem kifele, 
hanem befele kell kuldenie a szerver privat IP cimere.  Atirja a cimzett 
IP cimet, erintetlenul hagyja a forras IP cimet es kikuldi.

A szerver pedig azt latja.  Juhe, bejott egy csomag.  Felado IP cime: 
192.168.4.akarmi (az eredeti).  Felado MAC cime: ez bizony a routered 
MAC cime lesz, mert o kuldte ki a csomagot.  A szerver ezt a MAC/IP 
parositast boldogan feljegyzi az ARP cache-be.  Megfogalmazza a valaszt 
es nekilat kikuldeni.  Hova is?

A cel IP cim ugye az eredeti forras cim - ez rendben van, 
192.168.4.akarmi.  Ez egy halozaton van vele, orommel veszi eszre, igy 
aztan fogja es a cache-bol kiveszi a MAC cimet es elkuldi a valaszt. 
Igen, csak hogy a MAC cim a routere lesz, nem a PC-e aki eredetileg az 
oldalt le akarta volna tolteni.

Igy aztan a router csodalkozva latja, hogy az o MAC cimere kuldtek 
valamit, amiben egy idegen IP cim van ami nem tartozik semmihez.  Butan 
nez, majd eldobja - ez nem nekem jott.

Felteve, hogy az eredeti levelben es a masodikban is csak annyi a hiba, 
hogy az iptables-t rosszul masoltad be es valojaban azt akartad beirni, 
mint amit en fent - ez az emlelet pontosan megfelel annak, amit 
tapasztalsz (ha valoban azt tapasztalod).

Osszessegeben tehat azt gondolom, hogy az eredeti koncepciod nem csak 
alapjaiban hibas, de tobb implementacios hiba is van benne.

Koncepcionalisan hibas, miert egy lokalis, lan-lan forgalomnak semmi de 
semmi keresnivaloja nincs a routereden.  Feleslegesen noveli rajta a 
terhelest, a forgalmat, raadasul hibaja eseten a webszerver is 
elerhetetlen lesz, pedig semmi koze hozza.

Implementacios hibak pedig azert vannak benne, mert vagy az iptables 
probalkozasaid hibasak, vagy ha az jo is, akkor sem megy jo helyre a 
valasz forgalom - de mint irtam ez router implementacio kerdese.  Ha 
most epp megy is, a jovoben egy masik routerrel esetleg majd nem fog.

A problemadra van egy koncepcionalisan es egyebkent is helyes megoldas, 
en a helyeedben annal maradnek - ez a foldrajzilag jellemzo DNS valaszok 
alkalmazasa (azaz kintre a publikusat, bentre a privatot valaszolja a 
DNS).  Hogy ezt ket DNS szerverrel, ket zonaval vagy DNS doctoringgal 
oldod-e meg, az mar reszletkerdes.

udv
adam