Корпоративная сеть и внешка

[WhiteGhost]

ребят в общем тема такая. есть корпаративная сеть, в офисе АДСЛ модем подключен к ЦИСКЕ, адреса у компов типа 10.и т.д. основным шлюзом в офисе стоит ЦИСКА с адресом 10......65. как мне сделать чтобы только определённые компы выходили во внешку через ещё один модем? ну тоесть я скажем воткнул в хаб ещё один АДСЛ модем D-Link 500T с адресом 10....72 когда я основным шлюзом прописываю 72 то соответственно комп ходит во внешку но не ходит в корпаративную сеть. как и что мне сделать чтоб комп одновременно ходил и во внешку и в корпоративку? подрубить модем могу и в хаб и к серверу через ещё одну сетевуху, как угодно кароч лиш бы раздать нет на определённые компы.

[desperate]

наглядно изобразите сеть пожалуйста?
из того что понял, то адсл к серверу и man iptables

[WhiteGhost]

блин и не знаю как изобразить то...
в общем. есть циска, в неё воткнут АДСЛ модем. и хаб на 24 порта. вся локалка в хабе.
в сеть корпаративную все выходят через ЦИСКУ она стоит основным шлюзом. с адресом 10......65
ну и все адреса в корпаративной сети на 10 начинаются. тоесть АДСЛ модем он в режиме бриджа.
я хочу врубить ещё 1 модем, хоть куданить, и чтоб через него выходили те компы кот. я на это настрою. желательно чтоб они выходили через него как через прокси, ну тоесть на сервер скажем поставить ещё 1 сетевуху и юзверьгейт или чтонить наподобе под CentOS и как нить так. или может ещё как. посоветуйте плиз. если что неясно излагаю скажите постараюсь точнее выразится

[NeO]

а
route -p add адрес_внутренней_сети mask маска_внутренней_сети адрес_циски
route -p add default адрес_мопеда
на клиентах не айс? (если клиенты на никсах, то синтаксис ессно другой, но смысл думаю ясен)

Можно конечно все на циске разрулить, но там такая портянка конфига получится, что почти страшно

[paul]

Можно конечно все на циске разрулить, но там такая портянка конфига получится, что почти страшно

Ну не надо пугать человека Кошки вещь хорошая.
WhiteGhost модель кошака в студию. В какой Fa включен хаб, как включен модем (если это shdsl то один вариант), если внешний, то в какой Fa?

В принципе, можно по разному это дело разрулить. Недостаточно данных.

[WhiteGhost]

не вот как раз желательно ЦИСКУ не трогать. можем для корп. сети стоит внешний зюхель P660RT2 EE. выходить во внешку хочу с D-Link 500T. просче для меня было б наверно в сервер ткнуть сетевушку ещё одну и как нибудь так настроить чтоб сервер был типа прокси сервером. но эт ток я так думаю я собстно и не знаю как это настроить

так это вбить на сервере?
а
route -p add адрес_внутренней_сети mask маска_внутренней_сети адрес_циски
route -p add default адрес_мопеда
а на клиентских тогда что прописать? пока клиентские ток на винде

[NeO]

так это вбить на сервере?
а
route -p add адрес_внутренней_сети mask маска_внутренней_сети адрес_циски
route -p add default адрес_мопеда
а на клиентских тогда что прописать? пока клиентские ток на винде

проще говоря, на тех компах, которые должны ходить через 72, пропиши основным шлюзом 72 и добавь
route -p add адрес_внутренней_сети mask маска_внутренней_сети адрес_циски

сервер вообще не трогай, он тебе нафиг не сдался.

[WhiteGhost]

блин мне стыдно  но куда добавить
route -p add адрес_внутренней_сети mask маска_внутренней_сети адрес_циски
C:\WINDOWS\system32\drivers\etc\hosts сюда? или просто в командной строке
и прописать типа - route -p add 10......75(адрес этого компа или адрес сетки 10.1.1.1 или как? чтоб всю сеть десятошную видеть) mask 255.255.255.192(моя маска) 10........65(моя циска, основной шлюз для корпаративки)
так?
ещё момент, при попытке пингануть какой либо адрес не из моей подсетки выдаёт - 192,168,219,49 заданная сеть недоступна. причём тут 192.... если у мя всё на 10... (липецкие и моей подсетки пингуются без проблем) ну тоесть моя подсеть например 10.100.11.65(циска) основным шлюзом у мя щас прописан модем 10.100.11.72 локалку свою я вижу, копирую и т.д. а вот на сайт внутренний зайти не могу скажем на 10.1.12.11 вот, а в липецкую сеть и инет хожу, мне надо чтоб и в липецкую и в корпаративную и без лишних действий

[paul]

sh ip route с кошки в студию.
Почему такая боязнь кошек то я не понимаю? От того что это громкое название, или приказ начальства, извратиться как угодно, но не трогать кошака?

[An-73]

Ну насколько я понял, челу надо прописать таблицу соответствия адресов гейтам. Т.е. если с компа ххх идет обращение к адресу 10,*.*.* то ломиться через гейт 10.1.1.1 (например), а если идет обращение к адресу www.yandex.ru то ломиться через гейт 192.168.1.1.... (Ну это для примера).

Т.е. чел имеет в виду, что в локалке есть 2 alsl модема - официальный, в режиме бриджа, подрубленный к циске официально (по договору для юр.лиц, без бесплатного липецкого траффика), и левый (подпольный), подрубленный в обычный порт циски (по карте СТК, напрмер на безлимитку), работающий в режиме роутера. Для официальных запростов гейтом работает сама циска, а для левых, админских целей хочется иметь безконтрольный траффик мимомо систем контроля циски (мимо Московкого прокси сервера VPN) через роутерный модем.(кста - это огромная дыра в системе безопасности, но думаю это чел сам понимает)

Циску настраивал не он, и все его полномочия заканчиваются конктерно взятым компом.

Кста - Леха - ftp и самбу для файлопомойки мы настроили. Тебе на понедельник осталось OpenLDAP и PDC на SUSE 10.3 завести (все репы подключены, а том числе надеюсь будет пакмановская к понедельнику), ну и обучить новую админшу (Лену), как это поддерживать 

[WhiteGhost]

ну Андрей ты как никто другой можеш мя коментировать
в общем всё в точности так и есть только 2й модем не в циску вообще а просто в хаб. ну в общем пхну я его куда угодно лиш бы попросче и работало. ребят подскажите плиз кто знает как а то оч уж надо.
P.S. админ Лена ыыыыы ЖЕСТЬ!!!

[paul]

Самое простое - прописать на требуемых компах default route на 2й модем, а маршруты в локалку добавить руками. Так должно работать все как часы.

[WhiteGhost]

paul спасибо конечно за ответ, я то в общем понял что это самое простое, но если тебе не сложно распиши плиз поподробнее как это сделать. просто понять как это одно а потом оказывается что чтото недопонял а когда вот написано, сделай так, тогда уж легче обсуждать что не получилось

[An-73]

http://lists.unixcenter.ru/archives/mlug/2003-February/009011.html
На этом адресе финал диалога:

>    Не работает, потому что у меня уже есть default, а pppd его не заменяет.

странно... я правда не проверял, но в мане ничего насчет "выставить
default, если у вас default нет, иначе ..." не нашел, там сказано просто
и ясно: "Add a default route to the system routing tables, using the
peer as the gateway, ... This  entry  is removed when the PPP connection
is broken. ..."

>> Дело в том, что старый default route не надо убирать, в таблице
>> маршрутизации их может быть сколько угодно, а работать будет всегда
>> наиболее специфичный маршрут или последний добавленный, если они
>> одинаково специфичны (как например и default маршрут ;o) ).
>
>    Никогда в жизни у меня это не работало. То есть если у меня стоит 2
> defult'а, то маршрутизация вовне просто не работает вообще. Я этого никогда
> не мог понять, сейчас самое время выяснить.
>    Что значит "наиболее специфичный"?

с самой длинной (в битах) маской: /24 (255.255.255.0) специфичнее, чем
/8 (255.0.0.0), ну и, естественно, самый "неспецифичный" default -
0.0.0.0.

> Если у меня стоит маршрутизация (netstat -rn:)
>
> 0.0.0.0         10.110.21.1     0.0.0.0         UG       40 0          0 eth0
> 0.0.0.0         192.168.12.21   0.0.0.0         UG       40 0          0 ppp0
>
>    то как будет маршрутизироваться пакет на адрес 194.67.88.10?

по последнему добавленному  - через ppp0, или по маршруту с наибольшим
приоритетом, если используется linux 2.4 и iproute.

у меня, например, после добавления:
shell# route add default lo
shell# netstat -rn
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
10.240.28.0     0.0.0.0         255.255.254.0   U        40 0          0 eth0
0.0.0.0         0.0.0.0         0.0.0.0         U        40 0          0 lo
0.0.0.0         10.240.29.254   0.0.0.0         UG       40 0          0 eth0

все пакеты не в локальную сеть начинают честно ходить на интерфейс lo.
(ну нет у меня под рукой модема )
так что, воспользуйся tcpdump'ом и ищи в чем проблема...

Если непонятно - можно поглядеть предидущие сообщения, но проблема аналогичная.

[WhiteGhost]

так то оно канечно так, и оно работает НО при использовании внешки корпаративная аська например отваливается, и есстно  остальнве проги корпаративные тоже, что нежелательно. способ рабочий но в моём случае хотелось бы выходить во внешку именно вписав прокси. подскажите плиз если кто знает.