Lógica desse MASQUERADE

doidopb
(usa Outra)

Enviado em 15/04/2012 - 20:35h

Peguei um servidor onde o adm colocou a seguinte linha no script do firewal:

# COMPARTILHANDO INTERNET #

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
iptables -t nat -A POSTROUTING -d 192.168.100.0/24 -j MASQUERADE
# FIM DA LINHA #

O esquema que tá lá é REDE INTERNET (192.167.1.0/24) <-> (192.167.1.3/24) eth0 FIREWALL COM MASQUERADE eth1 (192.168.254.2/24) <-> modem velox roteado (192.168.254.254/24)

Mas seguinte... suponhamos que eu só masquare a eth1, o meu modem (192.168.254.254) vai sempre se comunicar com 192.168.254.2 (eth1 do FW), pois estão na mesma rede.

Com o FORWARD ativado , se eu pingar para o modem de um pc da minha rede (192.167.1.4) o pedido vai chegar até o FW (192.167.1.3 - eth0) vai ser encaminhado pela tabela de roteamento para a eth1 - 192.168.254.2... nela será mascarado e chegará ao modem como sendo da 192.168.254.2.

O modem irá retornar para a 192.168.254.2 que saberá encaminhar (devido ao mascaramento) a resposta para quem solicitou, no caso a 192.167.1.3. Não é isso??? Porque então mascarar também a eth0???

Abraços

renato_pacheco
(usa Debian)

Enviado em 15/04/2012 - 21:48h

Kra, vc só vai precisar mascarar a eth0 ou a rede. Particularmente, eu só mascaro a minha rede d origem, pois eu restrinjo outra rede qq a acessar a internet, além das minhas regras ficarem organizadas.
Faça o teste!

Obs.: rede 192.167.0.0 não faz parte d rede privada da IANA, ou seja, pode haver um endereço público com o msm endereço q o seu, podendo haver problemas. Em vez disso, troque para 192.168.30.0/24, q caracteriza outra rede e não t trará problemas futuros.

doidopb
(usa Outra)

Enviado em 15/04/2012 - 21:54h

Grato pela dica, concordo contigo. Mas tu sabe "porque"... qual seria a lógica que o adm quiz usar para mascarar as duas??? Pois pelo meu raciocínio deu na mesma.

renato_pacheco
(usa Debian)

Enviado em 15/04/2012 - 22:14h

Na verdade não existe lógica. Acredito q ele tenha feito isso pra garantir q o mascaramento funcione. Coisas d amador..