Регистрация Войти
Рейтинг:0
James Anderson avatar Ubuntu

Настройки брандмауэра для удаленной (VPN) подсети?

флаг gd
James Anderson

У меня есть два сервера с рабочим столом 18.04.6. Я не могу получить к ним доступ из другой подсети (от сайта IPsec к VPN). Мне кажется, что встроенный брандмауэр не разрешает подключения с адреса, не входящего в его подсеть. Я могу получить доступ к ПК с Windows и QNAP NAS, поэтому я думаю, что проблема в настройках брандмауэра по умолчанию на серверах Ubuntu. Примечание. Оба сервера имеют несколько интерфейсов VLAN, а подсеть, к которой я пытаюсь подключиться, — это VLAN.

правила УФВ

root@ns04:~# статус ufw пронумерован
Статус: активен

     К действию от
     -- ------ ----
[ 1] Где угодно РАЗРЕШИТЬ ВХОД 192.168.3.0/24
[ 2] Где угодно РАЗРЕШИТЬ ВХОД 192.168.1.0/24
[ 3] Где угодно РАЗРЕШИТЬ ВХОД 172.30.13.0/24
[ 4] Samba РАЗРЕШАЕТ ВХОД ВСЕГДА
[ 5] Bind9 РАЗРЕШИТЬ ВХОД ВСЕГДА
[ 6] 22/tcp РАЗРЕШИТЬ ВХОД В любом месте
[ 7] 67 РАЗРЕШИТЬ ВХОД ВСЕГДА
[ 8] 68 РАЗРЕШИТЬ ВХОД ВСЕГДА
[ 9] Anywhere РАЗРЕШИТЬ OUT Anywhere (out)
[10] Samba (v6) РАЗРЕШИТЬ ВХОД ВСЕГДА (v6)
[11] Bind9 (v6) РАЗРЕШИТЬ ВСЕ ВСЕГДА (v6)
[12] 22/tcp (v6) РАЗРЕШИТЬ ВХОД В любом месте (v6)
[13] 67 (v6) РАЗРЕШИТЬ ВХОД ВСЕГДА (v6)
[14] 68 (v6) РАЗРЕШИТЬ ВХОД ВСЕГДА (v6)
[15] Anywhere (v6) РАЗРЕШИТЬ Anywhere (v6) (out)

root@ns04:~#

IP-объявление

IP-объявление
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    ссылка/петля 00:00:00:00:00:00 брд 00:00:00:00:00:00
    инет 127.0.0.1/8 область хоста lo
       valid_lft навсегда
    inet6 :: 1/128 узел области видимости
       valid_lft навсегда
2: enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel состояние UP группа по умолчанию qlen 1000
    ссылка/эфир 00:01:2e:6b:2f:e7 brd ff:ff:ff:ff:ff:ff
    inet 172.30.3.254/24 brd 172.30.3.255 область глобальная динамическая enp2s0
       valid_lft 137844sec предпочитаемый_lft 137844sec
    inet6 wwww:xxxx:yyyy:zzzz:403a:fcea:711c:8530/64 область глобальная временная динамическая
       valid_lft 86231sec предпочитаемый_lft 14231sec
    inet6 wwww:xxxx:yyyy:zzzz:e135:7f9c:b29f:5abf/64 глобальная временная устаревшая динамическая область
       valid_lft 86231sec предпочитаемый_lft 0sec
    inet6 wwww:xxxx:yyyy:zzzz:9c9d:ad17:ea63:bfdb/64 область глобальная динамическая mngtmpaddr noprefixroute
       valid_lft 86231sec предпочитаемый_lft 14231sec
    inet6 fe80::4504:f36d:fb1b:907a/64 ссылка на область действия noprefixroute
       valid_lft навсегда
3: enp2s0.4@enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    ссылка/эфир 00:01:2e:6b:2f:e7 brd ff:ff:ff:ff:ff:ff
    инет 172.30.4.254/24 brd 172.30.4.255 глобальный охват enp2s0.4
       valid_lft навсегда
    inet6 wwww:xxxx:yyyy:zzz4:7584:e7fc:17b4:ea5e/64 область глобальная временная динамическая
       valid_lft 86339 сек. selected_lft 14 339 сек.
    inet6 www:xxxx:yyyy:zzz4:c0f0:42d3:9869:5852/64 глобальная область действия временно устарела динамическая
       valid_lft 86339 сек. preferred_lft 0 сек.
    inet6 wwww:xxxx:yyyy:zzz4:201:2eff:fe6b:2fe7/64 глобальный динамический охват mngtmpaddr
       valid_lft 86339 сек. selected_lft 14 339 сек.
    inet6 fe80::201:2eff:fe6b:2fe7/64 ссылка на область действия
       valid_lft навсегда
4: enp2s0.5@enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    ссылка/эфир 00:01:2e:6b:2f:e7 brd ff:ff:ff:ff:ff:ff
    инет 172.30.5.254/24 brd 172.30.5.255 глобальный охват enp2s0.5
       valid_lft навсегда
    inet6 wwww:xxxx:yyyy:zzz5:b89d:2a36:bdd4:65ff/64 область глобальная временная динамическая
       valid_lft 86080 сек. selected_lft 14 080 сек.
    inet6 wwww:xxxx:yyyy:zzz5:1991:2647:2778:79b/64 глобальная временная устаревшая динамическая область
       valid_lft 86080 сек. предпочитаемый_lft 0 сек.
    inet6 wwww:xxxx:yyyy:zzz5:201:2eff:fe6b:2fe7/64 область глобального динамического mngtmpaddr
       valid_lft 86080 сек. selected_lft 14 080 сек.
    inet6 fe80::201:2eff:fe6b:2fe7/64 ссылка на область действия
       valid_lft навсегда
5: enp2s0.7@enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    ссылка/эфир 00:01:2e:6b:2f:e7 brd ff:ff:ff:ff:ff:ff
    инет 172.30.7.254/24 brd 172.30.7.255 глобальный охват enp2s0.7
       valid_lft навсегда
    inet6 wwww:xxxx:yyyy:zzz7:502:cf3d:1526:2907/64 область глобальная временная динамическая
       valid_lft 86 111 сек. selected_lft 14 111 сек.
    inet6 wwww:xxxx:yyyy:zzz7:2475:a5f6:3698:3f44/64 глобальная область действия временно устарела динамическая
       valid_lft 86111sec предпочитаемый_lft 0sec
    inet6 wwww:xxxx:yyyy:zzz7:201:2eff:fe6b:2fe7/64 глобальный динамический охват mngtmpaddr
       valid_lft 86 111 сек. selected_lft 14 111 сек.
    inet6 fe80::201:2eff:fe6b:2fe7/64 ссылка на область действия
       valid_lft навсегда
6: enp2s0.8@enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    ссылка/эфир 00:01:2e:6b:2f:e7 brd ff:ff:ff:ff:ff:ff
    инет 172.30.8.254/24 brd 172.30.8.255 глобальный охват enp2s0.8
       valid_lft навсегда
    inet6 fdea:0:0:8::254/64 глобальная область видимости
       valid_lft навсегда
    inet6 fe80::201:2eff:fe6b:2fe7/64 ссылка на область действия
       valid_lft навсегда
7: enp2s0.9@enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    ссылка/эфир 00:01:2e:6b:2f:e7 brd ff:ff:ff:ff:ff:ff
    инет 172.30.9.254/24 brd 172.30.9.255 глобальная область охвата enp2s0.9
       valid_lft навсегда
    inet6 wwww:xxxx:yyyy:zzz9:896e:cbd5:e835:a490/64 область глобальная временная динамическая
       valid_lft 86099 сек. selected_lft 14 099 сек.
    inet6 wwww:xxxx:yyyy:zzz9:edae:d6e7:6503:e08a/64 глобальная область временно устарела динамическая
       valid_lft 86099 сек. предпочитаемый_lft 0 сек.
    inet6 wwww:xxxx:yyyy:zzz9:201:2eff:fe6b:2fe7/64 область глобального динамического mngtmpaddr
       valid_lft 86099 сек. selected_lft 14 099 сек.
    inet6 fe80::201:2eff:fe6b:2fe7/64 ссылка на область действия
       valid_lft навсегда
8: enp2s0.10@enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    ссылка/эфир 00:01:2e:6b:2f:e7 brd ff:ff:ff:ff:ff:ff
    инет 172.30.10.254/24 brd 172.30.10.255 глобальная область охвата enp2s0.10
       valid_lft навсегда
    inet6 fe80::201:2eff:fe6b:2fe7/64 ссылка на область действия
       valid_lft навсегда
9: enp2s0.11@enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    ссылка/эфир 00:01:2e:6b:2f:e7 brd ff:ff:ff:ff:ff:ff
    инет 172.30.11.254/24 brd 172.30.11.255 глобальная область охвата enp2s0.11
       valid_lft навсегда
    inet6 fe80::201:2eff:fe6b:2fe7/64 ссылка на область действия
       valid_lft навсегда
10: enp2s0.12@enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    ссылка/эфир 00:01:2e:6b:2f:e7 brd ff:ff:ff:ff:ff:ff
    инет 172.30.12.254/24 brd 172.30.12.255 глобальная область охвата enp2s0.12
       valid_lft навсегда
    inet6 fe80::201:2eff:fe6b:2fe7/64 ссылка на область действия
       valid_lft навсегда
root@ns04:/etc/ufw#

IP-маршрут

root@ns04:/etc/ufw#
root@ns04:/etc/ufw# IP-маршрут
по умолчанию через 172.30.3.1 dev enp2s0
по умолчанию через 172.30.3.1 dev enp2s0 proto dhcp metric 20100
169.254.0.0/16 dev enp2s0.4 метрика ссылки области 1000
172.30.3.0/24 dev enp2s0 прото-область ядра ссылка src 172.30.3.254
172.30.3.0/24 dev enp2s0 ссылка на протоядро области src 172.30.3.254 метрика 100
172.30.4.0/24 dev enp2s0.4 прото-ссылка на область ядра src 172.30.4.254
172.30.5.0/24 dev enp2s0.5 прото-область ядра ссылка src 172.30.5.254
172.30.7.0/24 dev enp2s0.7 прото-область ядра ссылка src 172.30.7.254
172.30.8.0/24 dev enp2s0.8 прото-область ядра ссылка src 172.30.8.254
172.30.9.0/24 dev enp2s0.9 прото-ссылка на область ядра src 172.30.9.254
172.30.10.0/24 dev enp2s0.10 прото-ссылка на область ядра src 172.30.10.254
172.30.11.0/24 dev enp2s0.11 прото-ссылка на область ядра src 172.30.11.254
172.30.12.0/24 dev enp2s0.12 прото-ссылка на область ядра src 172.30.12.254
root@ns04:/etc/ufw#

Примечания: 192.168.1.0/24 — удаленный сайт

172.30.5.0/24 — это локальная подсеть vlan, к которой удаленно подключается.

Два других /24 предназначены для локального тестирования.

Похоже, мне нужны изменения в файле ufw before либо на ufw-not-local, либо на ufw-before-input.

# все остальные нелокальные пакеты отбрасываются
-A ufw-not-local -m limit --limit 3/мин --limit-burst 10 -j ufw-logging-deny
-A ufw-не-местный -j DROP

Мне нужно, чтобы самба работала с 192.168.1.0/24.

SSH и ping тоже не помешали бы

сканирование подсети

Сгенерировано Angry IP Scanner 3.7.6
https://angryip.org

Просканировано 172.30.5.0 - 172.30.5.255
10 января 2022 г., 14:39:16

IP Ping Имя хоста Порты Информация NetBIOS MAC-адрес MAC Поставщик                    
172.30.5.1 4 мс router.home.test 80 443 [н/д] [н/д] [н/д]                         
172.30.5.8 4 мс 3n008.home.test 80 443 8080 [н/д] [н/д] [н/д]                         
172.30.5.27 6 мс tp-share 80 443 WORKGROUP\TP-SHARE@TP-SHARE [00-00-00-00-00-00][n/a] [n/a]                         
172.30.5.28 3 мс 3n028.home.test 80 [н/д] [н/д] [н/д]                         
172.30.5.128 3 мс 3n128.home.test 80 [н/д] [н/д] [н/д]                         
172.30.5.135 3 мс 3n135.home.test 80 [н/д] [н/д] [н/д]                         
172.30.5.139 7 мс 3n139.home.test [н/д] [н/д] [н/д] [н/д]                         
172.30.5.165 6 мс 3n165.home.test 80 443 [н/д] [н/д] [н/д]                         
172.30.5.166 4 мс 3n166.home.test 80 443 [н/д] [н/д] [н/д]                         
172.30.5.170 6 мс 3n170.home.test [н/д] [н/д] [н/д] [н/д]                         
172.30.5.177 3 мс 3n177.home.test 80 [н/д] [н/д] [н/д]                         
172.30.5.196 3 мс sq05.home.test 80,443,8080 WORKGROUP\SQ05@SQ05 [00-00-00-00-00-00][н/д] [н/д]                         
172.30.5.197 3 мс sq04.home.test 80,443,8080 WORKGROUP\SQ04@SQ04 [00-00-00-00-00-00][н/д] [н/д]                         
172.30.5.202 6 мс pc02.home.test [н/д] [н/д] [н/д] [н/д]

172.30.5.1 это роутер (edgerouter x)

172.30.5.8 — это принтер HP.

172.30.5.27 — роутер TP-link в качестве точки доступа

172.30.5.28 — роутер openwrt в качестве точки доступа

172.30.5.202 — это компьютер с Windows 8.

172.30.5.253 и .254 — серверы Ubuntu (отсутствуют)

нет ответа на пинг

C:\Windows\system32>трассировка 172.30.5.254

Отслеживание маршрута к 2ns4.home.test [172.30.5.254]
не более 30 переходов:

  1 4 мс 4 мс 4 мс 172.30.13.1
  2 * * * Время запроса истекло.
  3 * * * Время запроса истекло.
  4 * * * Время запроса истекло.
  5 * ^ С
C:\Windows\system32>трассировка 172.30.5.27

Трассировка маршрута к tp-share [172.30.5.27]
не более 30 переходов:

  1 4 мс 4 мс 4 мс 172.30.13.1
  2 7 мс 7 мс 8 мс tp-share [172.30.5.27]

Трассировка завершена.

C:\Windows\system32>

отслеживание с 172.30.13.41

C:\Windows\system32>трассировка 172.30.5.254

Отслеживание маршрута к 2ns4.home.test [172.30.5.254]
не более 30 переходов:

  1 3 мс 3 мс 3 мс 172.30.13.1
  2 * * * Время запроса истекло.
  3 * * * Время запроса истекло.
  4 ^ С
C:\Windows\system32>трассировка 172.30.5.253

Отслеживание маршрута к 2ns3.home.test [172.30.5.253]
не более 30 переходов:

  1 4 мс 4 мс 4 мс 172.30.13.1
  2 * * * Время запроса истекло.
  3 * * * Время запроса истекло.
  4 * * * Время запроса истекло.
  5 * ^ С
C:\Windows\system32>
C:\Windows\system32>трассировка 172.30.5.27

Трассировка маршрута к tp-share [172.30.5.27]
не более 30 переходов:

  1 4 мс 4 мс 4 мс 172.30.13.1
  2 8 мс 7 мс 7 мс tp-share [172.30.5.27]

Трассировка завершена.

C:\Windows\system32>

проблема в том, что клиент находится в другой подсети, чем сервер

клиенты в одной подсети работают

65
0 + 0
Thomas Aichinger avatar
флаг cn
Thomas Aichinger
Пожалуйста, опубликуйте вывод вашей конфигурации. «ip a», «ip route» и «ufw status».
0
Ответить
James Anderson avatar
флаг gd
James Anderson
добавлено правило, IP-объявление и IP-маршрут
0
Ответить
James Anderson avatar
флаг gd
James Anderson
примечание: Samba на маршрутизаторах TP-link и Asus, а также Qnap NAS не имеют этого «локального» ограничения.
0
Ответить
Thomas Aichinger avatar
флаг cn
Thomas Aichinger
Если отключить брандмауэр, то он работает?
0
Ответить
James Anderson avatar
флаг gd
James Anderson
Я только что попытался отключить брандмауэр ufw, и это не помогло. Это не удалось, прежде чем я впервые включил ufw Это не удалось, прежде чем я добавил свои правила UFW. Он не работает на другом сервере, на котором никогда не был включен ufw. Мне кажется, что существует ограничение по умолчанию отвечать только на адреса в пределах подсети интерфейса «LOCAL».
0
Ответить
Thomas Aichinger avatar
флаг cn
Thomas Aichinger
Хорошо, тогда вы можете привести пример с какого ip к какому другому ip вы не можете подключиться. Попробуйте пропинговать другой узел. Далее попробуйте проследить путь к другому узлу и опубликуйте результат, пожалуйста.
0
Ответить
James Anderson avatar
флаг gd
James Anderson
добавлена ​​трассировка и т. д.
0
Ответить
James Anderson avatar
флаг gd
James Anderson
Я могу получить доступ к общему ресурсу на tp-share через Net use \tp-share\g
0
Ответить
Thomas Aichinger avatar
флаг cn
Thomas Aichinger
Я немного смущен. Каков IP-адрес клиента и IP-адрес сервера, к которому вы хотите подключиться?
0
Ответить
James Anderson avatar
флаг gd
James Anderson
Для локального тестирования клиентский ПК с Windows — 172.30.13.51 (в VLAN13). Удаленный клиент Windows — 192.168.1.101. Сервер Ubuntu с включенным UFW — 172.30.5.254. Другой сервер (без UFW) — 172.30.5.253. Маршрутизатор TP-link работает по адресу 172.30.5.27.
0
Ответить
James Anderson avatar
флаг gd
James Anderson
все подсети /24
0
Ответить
Thomas Aichinger avatar
флаг cn
Thomas Aichinger
Сейчас речь идет о 172.30.13.51 (клиент) и 172.30.5.253 (сервер), остальное забудьте. Какие маршруты есть у этого клиента? И какой вывод tracert выдает этот клиент?
0
Ответить
James Anderson avatar
флаг gd
James Anderson
добавлены трассировки с 172.30.13.41 - проблема возникает, только если клиент находится в другой подсети, чем сервер
0
Ответить
Thomas Aichinger avatar
флаг cn
Thomas Aichinger
у клиента 172.30.13.41 нет маршрута к 172.30.5.253. Опубликовать вывод «ip a» и «ip route» от 172.30.13.41. Должен быть либо ip от 172.30.5. или шлюз, способный направить пакет на 172.30.5.
0
Ответить
James Anderson avatar
флаг gd
James Anderson
похоже, проблема в том, что я установил маршрут по умолчанию на неправильный интерфейс, а не на брандмауэр
0
Ответить
Thomas Aichinger avatar
флаг cn
Thomas Aichinger
Это решило вашу проблему?
0
Ответить
Рейтинг:0
James Anderson avatar Ubuntu
флаг gd
James Anderson

Спасибо Томасу за предложение маршрутизации. Моя проблема заключалась в моих настройках маршрутизации на серверах Ubuntu. Когда запрос поступает из нелокальной подсети, маршрутизация для подсети должна осуществляться на тот же интерфейс (реальный или виртуальный). В моем случае я изменил маршрут по умолчанию, чтобы указать на подсеть (VLAN5), используемую туннелем VPN (на обоих серверах). С этим изменением samba и ping работают для сервера, использующего ufw, и для сервера, не использующего ufw.

Измененный маршрут по умолчанию. ip route добавить по умолчанию через 172.30.5.1

Если вы не можете изменить маршрут по умолчанию, статический маршрут также должен работать.

Вот мой исправленный скрипт для настройки VLAN.

root@ns04:~# cd /usr/local/bin
root@ns04:/usr/local/bin# cat st-vlans
#!/бин/ш
спать 1
dot_ip=$1
# эхо $dot_ip
# установить адрес dev0_name
dev0_name=$(ls /sys/class/net/ | sort | grep -m 1 en)
если [ "$dev0_name" = "" ]
тогда
        dev0_name=$(ls /sys/class/net/ | sort | grep -m 1 eth)
фи
если [ "$dev0_name" = "" ]
тогда
        выход 1
фи
#
# включить WOL - требуется установка ethtool
#
ethtool -s $dev0_name wol g
#
# установить dot_ip (последний октет)
#
читать host_name < /etc/hostname
#
если [ "$dot_ip" = "" ]
тогда
        случай $host_name в
                "ns01") dot_ip=251;;
                "ns02") dot_ip=252;;
                "ns03") dot_ip=253;;
                "ns04") dot_ip=254;;
# *) dot_ip=250;;
        эсак
фи
# выйти если нет ip адреса
если [ "$dot_ip" = "" ]
тогда
        выход 2
фи
# ls /sys/класс/сеть/ | сортировать | grep enp -m 1 > /tmp/eth-name.txt
# прочитать dev0_name < /tmp/eth-name.txt
#
# добавить VLAN
ip ссылка добавить ссылку $dev0_name имя $dev0_name.4 тип vlan id 4
если [ "$host_name" != "ns01" ]
тогда
        ip ссылка добавить ссылку $dev0_name имя $dev0_name.5 тип vlan id 5
фи
ip ссылка добавить ссылку $dev0_name имя $dev0_name.4 тип vlan id 4
ip ссылка добавить ссылку $dev0_name имя $dev0_name.7 тип vlan id 7
ip ссылка добавить ссылку $dev0_name имя $dev0_name.8 тип vlan id 8
ip ссылка добавить ссылку $dev0_name имя $dev0_name.9 тип vlan id 9
ip ссылка добавить ссылку $dev0_name имя $dev0_name.10 тип vlan id 10
ip link добавить ссылку $dev0_name name $dev0_name.11 type vlan id 11
ip ссылка добавить ссылку $dev0_name имя $dev0_name.12 тип vlan id 12
#
# установить адреса
если [ "$dot_ip" != "" ]
тогда
        спать 5
        IP-адрес add 172.30.3.$dot_ip/24 широковещательный 172.30.3.255 dev $dev0_name
#
        IP-адрес add 172.30.4.$dot_ip/24 brd 172.30.4.255 dev $dev0_name.4
        ip link set dev $dev0_name.4 up
#
        если [ "$host_name" != "ns01" ]
        тогда
                IP-адрес add 172.30.5.$dot_ip/24 brd 172.30.5.255 dev $dev0_name.5
                ip link set dev $dev0_name.5 up
                ip route добавить по умолчанию через 172.30.5.1
        фи
#
        IP-адрес add 172.30.4.$dot_ip/24 brd 172.30.4.255 dev $dev0_name.4
        ip link set dev $dev0_name.4 up
#
        IP-адрес add 172.30.7.$dot_ip/24 brd 172.30.7.255 dev $dev0_name.7
        ip link set dev $dev0_name.7 up
#
        IP-адрес add 172.30.8.$dot_ip/24 brd 172.30.8.255 dev $dev0_name.8
        IP-адрес добавить fdea:0:0:8::$dot_ip/64 dev $dev0_name.8
        ip link set dev $dev0_name.8 up
#
        IP-адрес add 172.30.9.$dot_ip/24 brd 172.30.9.255 dev $dev0_name.9
        ip link set dev $dev0_name.9 up
#
        IP-адрес add 172.30.10.$dot_ip/24 brd 172.30.10.255 dev $dev0_name.10
        ip link set dev $dev0_name.10 up
#
        IP-адрес добавить 172.30.11.$dot_ip/24 brd 172.30.11.255 dev $dev0_name.11
        ip link set dev $dev0_name.11 up
#
        IP-адрес добавить 172.30.12.$dot_ip/24 brd 172.30.12.255 dev $dev0_name.12
        ip link set dev $dev0_name.12 up
фи
#
# установить адрес eth1
если ["$host_name" = "ns01" ]
тогда
        IP-адрес добавить 172.30.5.$dot_ip/24 широковещательный 172.30.5.255 dev eth1
фи
выход 0
# ip addr add 2001:470:xxxx:1::$dot_ip/64 dev $dev0_name
# ip route добавить по умолчанию через 2001:470:bccf:1::1
#
root@ns04:/usr/local/bin#


Спасибо Томасу за предложение маршрутизации.
Моя проблема заключалась в моих настройках маршрутизации на серверах Ubuntu.
Когда запрос поступает из нелокальной подсети, маршрутизация для подсети должна осуществляться на тот же интерфейс (реальный или виртуальный).
В моем случае я изменил маршрут по умолчанию, чтобы указать на подсеть (VLAN5), используемую туннелем VPN (на обоих серверах).
С этим изменением samba и ping работают для сервера, использующего ufw, и для сервера, не использующего ufw.

Измененный маршрут по умолчанию.
ip route добавить по умолчанию через 172.30.5.1

Если вы не можете изменить маршрут по умолчанию, статический маршрут также должен работать.

Вот мой исправленный скрипт для настройки VLAN.


root@ns04:~# cd /usr/local/bin
root@ns04:/usr/local/bin# cat st-vlans
#!/бин/ш
спать 1
dot_ip=$1
# эхо $dot_ip
# установить адрес dev0_name
dev0_name=$(ls /sys/class/net/ | sort | grep -m 1 en)
если [ "$dev0_name" = "" ]
тогда
        dev0_name=$(ls /sys/class/net/ | sort | grep -m 1 eth)
фи
если [ "$dev0_name" = "" ]
тогда
        выход 1
фи
#
# включить WOL - требуется установка ethtool
#
ethtool -s $dev0_name wol g
#
# установить dot_ip (последний октет)
#
читать host_name < /etc/hostname
#
если [ "$dot_ip" = "" ]
тогда
        случай $host_name в
                "ns01") dot_ip=251;;
                "ns02") dot_ip=252;;
                "ns03") dot_ip=253;;
                "ns04") dot_ip=254;;
# *) dot_ip=250;;
        эсак
фи
# выйти если нет ip адреса
если [ "$dot_ip" = "" ]
тогда
        выход 2
фи
# ls /sys/класс/сеть/ | сортировать | grep enp -m 1 > /tmp/eth-name.txt
# прочитать dev0_name < /tmp/eth-name.txt
#
# добавить VLAN
ip ссылка добавить ссылку $dev0_name имя $dev0_name.4 тип vlan id 4
если [ "$host_name" != "ns01" ]
тогда
        ip ссылка добавить ссылку $dev0_name имя $dev0_name.5 тип vlan id 5
фи
ip ссылка добавить ссылку $dev0_name имя $dev0_name.4 тип vlan id 4
ip ссылка добавить ссылку $dev0_name имя $dev0_name.7 тип vlan id 7
ip ссылка добавить ссылку $dev0_name имя $dev0_name.8 тип vlan id 8
ip ссылка добавить ссылку $dev0_name имя $dev0_name.9 тип vlan id 9
ip ссылка добавить ссылку $dev0_name имя $dev0_name.10 тип vlan id 10
ip link добавить ссылку $dev0_name name $dev0_name.11 type vlan id 11
ip ссылка добавить ссылку $dev0_name имя $dev0_name.12 тип vlan id 12
#
# установить адреса
если [ "$dot_ip" != "" ]
тогда
        спать 5
        IP-адрес add 172.30.3.$dot_ip/24 широковещательный 172.30.3.255 dev $dev0_name
#
        IP-адрес add 172.30.4.$dot_ip/24 brd 172.30.4.255 dev $dev0_name.4
        ip link set dev $dev0_name.4 up
#
        если [ "$host_name" != "ns01" ]
        тогда
                IP-адрес add 172.30.5.$dot_ip/24 brd 172.30.5.255 dev $dev0_name.5
                ip link set dev $dev0_name.5 up
                ip route добавить по умолчанию через 172.30.5.1
        фи
#
        IP-адрес add 172.30.4.$dot_ip/24 brd 172.30.4.255 dev $dev0_name.4
        ip link set dev $dev0_name.4 up
#
        IP-адрес add 172.30.7.$dot_ip/24 brd 172.30.7.255 dev $dev0_name.7
        ip link set dev $dev0_name.7 up
#
        IP-адрес add 172.30.8.$dot_ip/24 brd 172.30.8.255 dev $dev0_name.8
        IP-адрес добавить fdea:0:0:8::$dot_ip/64 dev $dev0_name.8
        ip link set dev $dev0_name.8 up
#
        IP-адрес add 172.30.9.$dot_ip/24 brd 172.30.9.255 dev $dev0_name.9
        ip link set dev $dev0_name.9 up
#
        IP-адрес add 172.30.10.$dot_ip/24 brd 172.30.10.255 dev $dev0_name.10
        ip link set dev $dev0_name.10 up
#
        IP-адрес добавить 172.30.11.$dot_ip/24 brd 172.30.11.255 dev $dev0_name.11
        ip link set dev $dev0_name.11 up
#
        IP-адрес добавить 172.30.12.$dot_ip/24 brd 172.30.12.255 dev $dev0_name.12
        ip link set dev $dev0_name.12 up
фи
#
# установить адрес eth1
если ["$host_name" = "ns01" ]
тогда
        IP-адрес добавить 172.30.5.$dot_ip/24 широковещательный 172.30.5.255 dev eth1
фи
выход 0
# ip addr add 2001:470:xxxx:1::$dot_ip/64 dev $dev0_name
# ip route добавить по умолчанию через 2001:470:bccf:1::1
#
root@ns04:/usr/local/bin#
0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.