[Linuxtrent] Re: Shorewall, interfaces e opzione routeback
- From: Flavio Visentin <THe_ZiPMaN@xxxxxxxxx>
- To: linuxtrent@xxxxxxxxxxxxx
- Date: Mon, 31 Mar 2014 11:21:51 +0200
Guido Brugnara wrote:
> A me interessa che una eventuale chiamata proveniente dal tunnel ritorni
> indietro dalla stessa interfaccia e non in direzione dell'interfaccia
> indicata dal default-gateway.
>
> Non dovrebbe essere l'effetto nell'utilizzare il parametro "routeback" ?
No. Il parametro routeback serve per consentire che il traffico entrante
da un'interfaccia possa uscire dalla medesima interfaccia, ma non
c'entra nulla con le rotte. E' un parametro di firewalling non di
routing a discapito del nome.
In estrema sintesi il parametro routeback inserisce una regola iptables
di questo tipo:
# iptables -A FORWARD -i ethN -o ethN -j ACCEPT
In genere si usa sui router che operano da default gateway per
permettere al primo pacchetto che dovrebbe essere rediretto su un altro
router posto sulla lan interna di essere ruotato dal gateway prima
dell'effetto del ICMP redirect.
Un'altro utilizzo è quando si specificano più interfacce tramite
wildcard e si vuole che il traffico tra queste interfacce passi liberamente.
P.es. se la zona vpn è fatta da tutti i device tunN e si vuole che il
traffico tra le diverse tunN sia libero e consentito si usa questa
definizione in interfaces:
# Interfaces
vpn tun+ - optional,routeback
> E' forse necessario specificare l'interfaccia con l'opzione "routeback"
> anche tra i providers?
Le rotte non devono essere impostate in shorewall a meno che non siano
associate a politiche di marking (p.es. providers o simili). In tale
caso comunque devono essere indicate in /etc/shorewall/routes che è
l'unico posto, unitamente a providers, che va ad agire sulle routing
tables. In tutti gli altri casi si utilizza il sistema di specificazione
del routing proprio della distribuzione.
In Debian si aggiungono in /etc/network/interfaces.
--
Flavio Visentin
A computer is like an air conditioner,
it stops working when you open Windows
--
Per iscriversi (o disiscriversi), basta spedire un messaggio con OGGETTO
"subscribe" (o "unsubscribe") a mailto:linuxtrent-request@xxxxxxxxxxxxx
Other related posts: