HeliosNet и NAT

[Alexey Ponomarev]

Hi All!


Проблема у меня с HeliosNet и NAT-ом от WinRoute следующая:

У нас выделенка. И когда не было космоса то мы просто включали NAT на внешнем
интерфейсе (Iext1) и все. Преобразование шло по адресу IPextI1. При этом все
нормально работало. И все в интернет ходили и Mail и ftp сервер работали на
этом внешнем IPextI1.

Теперь подключаемся к Helios-у. Технология такая: появляется еще один итерфейс
(Isat2) который представляет из себя карточку на которую валит все со спутника.
Адрес на ней абсолютно фейковый и нас не интересует (IPsat2 - 192.168.238.238)
Кроме этого необходимо установить с helios-net-ом VPN соединение - появляется
еще один интерфейс (Ivpn3) c IP (статическим) IPvpn3.
Если установить VPN соединение c выставленым шлюзом по умолчанию, то не касаясь
NAT-а, все пакеты которые "не местные" рулят на интерфейс Ivpn3, а результат
(ответные пакеты) валят с интерфейса Isat2.

Все хорошо работает до тех пор пока кто нибудь не пытается отправить нам почту.
Т.е. например mail.ru пытается соединится с нашим smtp-сервером (IPextI1).
Запрос приходит по Iext1, а уходит по Ivpn3.
Т.е.
1. приходит пакет IPMailRu>IPextI1 по интерфейсу Iext1.
2. сервер отсылает ответ IPextI1>IPMailRu но уже по интерфейсу Ivpn3.
уходит пакет благополучно до Helios-а, а там убивается по той простой причине,
что признается чужим (Что это за пакет? Что он тут делает? IPextI1 наш адрес?
Hенаш! IPMailRu наш адрес? Hенаш! В dev/null его!)
:-(
Т.е. наш сервер не работает на интерфейсе Iext1.

Hу ладно. Пусть тогда работает на интерфейсе Ivpn3. Hас это устроит.
Hо тогда не получается воспользоваться NAT-ом. Потому что, когда включаю NAT на
3-х интерфейсах (что бы работало изнутри), то не работает доступ снаружи.

Кто нибудь развел данную ситуацию в рамках NT+WinRoute+NAT?


WBR Алексей Пономарев АКА Миелофон e-mail:***@mail.ru ICQ:560286
http:\\RealMielofon.narod.ru
np: Зимовье Зверей - Идущий рядом [paused]

[Alexey Ponomarev]

Hi Alexey!

08 сен 04 09:20, Alexey Ponomarev wrote to All:

AP> Проблема у меня с HeliosNet и NAT-ом от WinRoute следующая:

AP> У нас выделенка. И когда не было космоса то мы просто включали NAT на
AP> внешнем интерфейсе (Iext1) и все. Преобразование шло по адресу
AP> IPextI1. При этом все нормально работало. И все в интернет ходили и
AP> Mail и ftp сервер работали на этом внешнем IPextI1.

AP> Теперь подключаемся к Helios-у. Технология такая: появляется еще один
AP> итерфейс (Isat2) который представляет из себя карточку на которую
AP> валит все со спутника. Адрес на ней абсолютно фейковый и нас не
AP> интересует (IPsat2 - 192.168.238.238) Кроме этого необходимо
AP> установить с helios-net-ом VPN соединение - появляется еще один
AP> интерфейс (Ivpn3) c IP (статическим) IPvpn3. Если установить VPN
AP> соединение c выставленым шлюзом по умолчанию, то не касаясь NAT-а, все
AP> пакеты которые "не местные" рулят на интерфейс Ivpn3, а результат
AP> (ответные пакеты) валят с интерфейса Isat2.

AP> Все хорошо работает до тех пор пока кто нибудь не пытается отправить
AP> нам почту. Т.е. например mail.ru пытается соединится с нашим
AP> smtp-сервером (IPextI1). Запрос приходит по Iext1, а уходит по Ivpn3.
AP> Т.е. 1. приходит пакет IPMailRu>IPextI1 по интерфейсу Iext1. 2. сервер
AP> отсылает ответ IPextI1>IPMailRu но уже по интерфейсу Ivpn3. уходит
AP> пакет благополучно до Helios-а, а там убивается по той простой
AP> причине, что признается чужим (Что это за пакет? Что он тут делает?
AP> IPextI1 наш адрес? Hенаш! IPMailRu наш адрес? Hенаш! В dev/null его!)
AP> :-(
AP> Т.е. наш сервер не работает на интерфейсе Iext1.

AP> Hу ладно. Пусть тогда работает на интерфейсе Ivpn3. Hас это устроит.
AP> Hо тогда не получается воспользоваться NAT-ом. Потому что, когда
AP> включаю NAT на 3-х интерфейсах (что бы работало изнутри), то не
AP> работает доступ снаружи.

AP> Кто нибудь развел данную ситуацию в рамках NT+WinRoute+NAT?

В дополнении к написаному:

Hиже 80.92.194.72.25 это IPvpn3

Стучимся снаружи на 25-й порт.

Когда включен WinRoute и работает NAT, то получается следующая картинка:

IPsat2

08:36:39.866902 81.192.171.205.4259 > 80.92.194.72.25: tcp 0 (DF)
08:36:39.867574 80.92.194.72.25 > 81.192.171.205.4259: tcp 0
08:36:58.586621 81.192.171.205.4284 > 80.92.194.72.25: tcp 0 (DF)
08:36:58.587273 80.92.194.72.25 > 81.192.171.205.4284: tcp 0
08:37:01.455794 81.192.171.205.4284 > 80.92.194.72.25: tcp 0 (DF)
08:37:01.456427 80.92.194.72.25 > 81.192.171.205.4284: tcp 0
08:37:07.655573 81.192.171.205.4284 > 80.92.194.72.25: tcp 0 (DF)
08:37:07.656140 80.92.194.72.25 > 81.192.171.205.4284: tcp 0

связи нет. Оно и понятно. IPsat2 - с него только валится, обратно отправлятся
должно по роутингу на Ivpn3, но аочему то неполучается :-(


Когда выключаем WinRoute, то как раз имеем нужную картину и связь
устанавливается.
Т.е. запрос приходит по IPsat2, ответ уходит по Ivpn3 и все довольны, только
вот NAT-а нету :-(

IPsat2

08:45:05.429474 217.198.4.248.1332 > 80.92.194.72.25: tcp 0
08:45:05.790622 217.198.4.248.1332 > 80.92.194.72.25: tcp 0
08:45:06.302273 217.198.4.248.1332 > 80.92.194.72.25: tcp 0

Ivpn3

08:45:05.445356 80.92.194.72.25 > 217.198.4.248.1332: tcp 0 (DF)
08:45:05.826564 80.92.194.72.25 > 217.198.4.248.1332: tcp 69 (DF)


WBR Алексей Пономарев АКА Миелофон e-mail:***@mail.ru ICQ:560286
http:\\RealMielofon.narod.ru
np: ZZ - Molochnii porosionok [paused]

[Valentin Davydov]

Date: Wed, 08 Sep 2004 08:20:14 +0400
У нас выделенка. И когда не было космоса то мы просто включали NAT на внешнем
интерфейсе (Iext1) и все. Преобразование шло по адресу IPextI1. При этом все
нормально работало. И все в интернет ходили и Mail и ftp сервер работали на
этом внешнем IPextI1.
Теперь подключаемся к Helios-у. Технология такая: появляется еще один итерфейс
(Isat2) который представляет из себя карточку на которую валит все со спутника.
Адрес на ней абсолютно фейковый и нас не интересует (IPsat2 - 192.168.238.238)
Кроме этого необходимо установить с helios-net-ом VPN соединение - появляется
еще один интерфейс (Ivpn3) c IP (статическим) IPvpn3.
Если установить VPN соединение c выставленым шлюзом по умолчанию, то не касаясь
NAT-а, все пакеты которые "не местные" рулят на интерфейс Ivpn3, а результат
(ответные пакеты) валят с интерфейса Isat2.
Все хорошо работает до тех пор пока кто нибудь не пытается отправить нам почту.
Т.е. например mail.ru пытается соединится с нашим smtp-сервером (IPextI1).
Запрос приходит по Iext1, а уходит по Ivpn3.
Т.е.
1. приходит пакет IPMailRu>IPextI1 по интерфейсу Iext1.
2. сервер отсылает ответ IPextI1>IPMailRu но уже по интерфейсу Ivpn3.
уходит пакет благополучно до Helios-а, а там убивается по той простой причине,
что признается чужим (Что это за пакет? Что он тут делает? IPextI1 наш адрес?
Hенаш! IPMailRu наш адрес? Hенаш! В dev/null его!)
:-(
Т.е. наш сервер не работает на интерфейсе Iext1.
Hу ладно. Пусть тогда работает на интерфейсе Ivpn3. Hас это устроит.
Hо тогда не получается воспользоваться NAT-ом. Потому что, когда включаю NAT на
3-х интерфейсах (что бы работало изнутри), то не работает доступ снаружи.
Кто нибудь развел данную ситуацию в рамках NT+WinRoute+NAT?

А нельзя ли сменить софт на что-нибудь нормальное? Ну, которое бы отвечало
с того же адреса, на который запрос пришёл, позволяло бы пускать часть
трафика (например, входящие tcp-соединения на 25 порт) мимо natа и т.д.
Или использование винды обязательно по причине драйвера карточки?

Вал. Дав.

[Alexey Ponomarev]

Hi Valentin!

11 сен 04 09:48, Valentin Davydov wrote to Alexey Ponomarev:

[skip]

Post by Alexey Ponomarev
Кто нибудь развел данную ситуацию в рамках NT+WinRoute+NAT?

VD> А нельзя ли сменить софт на что-нибудь нормальное? Hу, которое бы
VD> отвечало с того же адреса, на который запрос пришёл, позволяло бы
VD> пускать часть трафика (например, входящие tcp-соединения на 25 порт)
VD> мимо natа и т.д. Или использование винды обязательно по причине
VD> драйвера карточки?
Есть какие нибудь предложения?

WBR Алексей Пономарев АКА Миелофон e-mail:***@mail.ru ICQ:560286
http:\\RealMielofon.narod.ru
np: ZZ - Molochnii porosionok [paused]

[Valentin Davydov]

Date: Mon, 13 Sep 2004 07:36:06 +0400

Post by Alexey Ponomarev
Кто нибудь развел данную ситуацию в рамках NT+WinRoute+NAT?

VD> А нельзя ли сменить софт на что-нибудь нормальное? Hу, которое бы
VD> отвечало с того же адреса, на который запрос пришёл, позволяло бы
VD> пускать часть трафика (например, входящие tcp-соединения на 25 порт)
VD> мимо natа и т.д. Или использование винды обязательно по причине
VD> драйвера карточки?
Есть какие нибудь предложения?

Так карточка заведётся под линухом или там BSD какой-нибудь или нет?

Вал. Дав.

[Alexey Ponomarev]

Hi Valentin!

Post by Alexey Ponomarev

Post by Alexey Ponomarev
Кто нибудь развел данную ситуацию в рамках NT+WinRoute+NAT?

___________________________________________________________

Post by Alexey Ponomarev
VD> А нельзя ли сменить софт на что-нибудь нормальное? Hу, которое
VD> бы отвечало с того же адреса, на который запрос пришёл,
VD> позволяло бы пускать часть трафика (например, входящие
VD> tcp-соединения на 25 порт) мимо natа и т.д. Или использование
VD> винды обязательно по причине драйвера карточки?
Есть какие нибудь предложения?

VD> Так карточка заведётся под линухом или там BSD какой-нибудь или нет?
Я вопрос подчеркнул. Я даже согласен на не WinRoute. Hо переходить на Linux,
BSD это надо изучать, а это время :-(

WBR Алексей Пономарев АКА Миелофон e-mail:***@mail.ru ICQ:560286
http:\\RealMielofon.narod.ru
np: ZZ - Molochnii porosionok [paused]

[Alex Tsaregorodtsev]

Hello, Alexey!

14 Сен 04,09:20,Alexey Ponomarev соизволил писать к Valentin Davydov:

AP> Hо переходить на Linux, BSD это надо изучать, а это время :-(
Потраченное в *исключительной* пользой (особенно касается второго варианта).

Alex

... "ВАЗ 21083 белая..."