14
Bridge unter CentOS funktioniert nicht
Hallo Forum,
meine Bridge unter CentOS funktioniert nicht wie gewünscht, leider weiß nicht, ob es sich um ein allgemeines Bridge-Verständnis-Problem oder um ein CentOS-Konfigurations-Problem handelt.
Ich habe in einer VM 3 Rechner mit CentOS 6.3 installiert:
PC_A: CentOS Minimal, 1 Nic
PC_B: CentOS Minimal, 1 Nic
Bridge: CentOS Basic Server, 2 Nics.
Die IP´s habe ich als "manuell" bei der Installation eingetragen, in den ifcfg-eth* habe ich ONBOOT=yes gesetzt.
Mit zwei virtuellen Switchen ergibt sich der folgende Aufbau:
Der Ping von den Rechner zur Bridge und zurück funktioniert einwandfrei.
Dann habe ich die Bridge eingerichtet, dazu habe ich in den Configs von eth0 und eth1 auf der Bridge
den Zusatz BRIDGE=bridge0 hinzugefügt.
Die erzeugte Datei ifcfg-bridge0 hat folgenden Inhalt:
DEVICE=“bridge0“
TYPE=“Bridge“
BOOTPROTO=”none”
IPADDT=192.168.0.99
NETMASK=255.255.255.0
ONBOOT=”yes”
DELAY=”0”
Nach dem Neustart zeigt ifconfig bei den Nics eth0 und eth1 keine IP-Adressen mehr an, die Bridge hat die IP 192.168.0.99 bekommen. Das ist doch auch so korrekt, oder?
Für mich würde sich jetzt der folgende Aufbau ergeben:
Wobei die 192.168.0.99 für die eigentliche Bridge-Funktion doch auch unerheblich ist, oder?
Weiterhin habe ich dem PC_B eine neue IP 192.168.0.3 zugewiesen.
Mein Ziel ist es nun, über die Bridge vom PC_A den PC_B zu erreichen und umgekehrt.
Die Rechner müssen dabei in einem Subnetz sein damit mein späterer Aufbau klappen kann.
Vom PC_A kann ich die Bridge unter 192.168.0.99 erreichen und umgekehrt. Vom PC_B erreiche ich keine IP.
Wo ist mein Denk-/Verständnis- oder Konfigfehler?
Vielen Dank für eure Hilfe!
Grüße, Vogster
meine Bridge unter CentOS funktioniert nicht wie gewünscht, leider weiß nicht, ob es sich um ein allgemeines Bridge-Verständnis-Problem oder um ein CentOS-Konfigurations-Problem handelt.
Ich habe in einer VM 3 Rechner mit CentOS 6.3 installiert:
PC_A: CentOS Minimal, 1 Nic
PC_B: CentOS Minimal, 1 Nic
Bridge: CentOS Basic Server, 2 Nics.
Die IP´s habe ich als "manuell" bei der Installation eingetragen, in den ifcfg-eth* habe ich ONBOOT=yes gesetzt.
Mit zwei virtuellen Switchen ergibt sich der folgende Aufbau:
Der Ping von den Rechner zur Bridge und zurück funktioniert einwandfrei.
Dann habe ich die Bridge eingerichtet, dazu habe ich in den Configs von eth0 und eth1 auf der Bridge
den Zusatz BRIDGE=bridge0 hinzugefügt.
Die erzeugte Datei ifcfg-bridge0 hat folgenden Inhalt:
DEVICE=“bridge0“
TYPE=“Bridge“
BOOTPROTO=”none”
IPADDT=192.168.0.99
NETMASK=255.255.255.0
ONBOOT=”yes”
DELAY=”0”
Nach dem Neustart zeigt ifconfig bei den Nics eth0 und eth1 keine IP-Adressen mehr an, die Bridge hat die IP 192.168.0.99 bekommen. Das ist doch auch so korrekt, oder?
Für mich würde sich jetzt der folgende Aufbau ergeben:
Wobei die 192.168.0.99 für die eigentliche Bridge-Funktion doch auch unerheblich ist, oder?
Weiterhin habe ich dem PC_B eine neue IP 192.168.0.3 zugewiesen.
Mein Ziel ist es nun, über die Bridge vom PC_A den PC_B zu erreichen und umgekehrt.
Die Rechner müssen dabei in einem Subnetz sein damit mein späterer Aufbau klappen kann.
Vom PC_A kann ich die Bridge unter 192.168.0.99 erreichen und umgekehrt. Vom PC_B erreiche ich keine IP.
Wo ist mein Denk-/Verständnis- oder Konfigfehler?
Vielen Dank für eure Hilfe!
Grüße, Vogster
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 203834
Url: https://administrator.de/contentid/203834
Printed on: April 16, 2024 at 19:04 o'clock
14 Comments
Latest comment
Du hast ein Bridge Verständnis Problem !! Bridge = Layer 2 (Mac Adressen), Routing = Layer 3 (IP Adressen)
Jedenfalls was die obige Zeichnung zeigt ist KEIN Bridging sondern Routing !!
Alle Fragen dazu beantwortet umfassend dieses Tutorial:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
Bridging ist immer kontraproduktiv in einem 2 NIC Szenario !
Es gilt im der goldene Netzwerker Grundsatz: "Route where you can, bridge where you must !"
Jedenfalls was die obige Zeichnung zeigt ist KEIN Bridging sondern Routing !!
Alle Fragen dazu beantwortet umfassend dieses Tutorial:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
Bridging ist immer kontraproduktiv in einem 2 NIC Szenario !
Es gilt im der goldene Netzwerker Grundsatz: "Route where you can, bridge where you must !"
Hallo aqui,
die obere Zeichnung beschreibt nicht mein Problem, sondern meine Ausgangsstellung in CentOS und auf der VM. Hiermit wollte ich zeigen, wie ich zunächst die 3 Rechner und 2 Switche auf der VM installiert habe.
Die Verbindung der Rechner PC_A und PC_B ist mein Ziel, diese müssen im selben Netz liegen (das sind in der Realität Machinen, an denen ich die IP nicht ändern kann/darf).
Nun habe ich es so verstanden, dass eine Bridge dann das richtige Bauteil sei. Weil eben Layer 2 und nicht Layer drei. Die zweite Darstellung ist vielleicht etwas unpassend, sie soll meine Config in CentOS beschreiben.
Ich habe es so verstanden, dass bei einer Aktivierung der Bridge die IP-Adressen am Rechner Bridge keine Rolle mehr spielen, daher tauchen sie beim aufrufen des ifconfig-Befehls auch nicht mehr auf. Nur die 0.99 zur Service-Zwecken.
Das Dokument (vielen Dank für den Link) habe ich gelesen, aber dort geht es doch um Routing, oder? Aber ich brauche ja das selbe Subnetz.
Viele Grüße und Danke, Vogster
die obere Zeichnung beschreibt nicht mein Problem, sondern meine Ausgangsstellung in CentOS und auf der VM. Hiermit wollte ich zeigen, wie ich zunächst die 3 Rechner und 2 Switche auf der VM installiert habe.
Die Verbindung der Rechner PC_A und PC_B ist mein Ziel, diese müssen im selben Netz liegen (das sind in der Realität Machinen, an denen ich die IP nicht ändern kann/darf).
Nun habe ich es so verstanden, dass eine Bridge dann das richtige Bauteil sei. Weil eben Layer 2 und nicht Layer drei. Die zweite Darstellung ist vielleicht etwas unpassend, sie soll meine Config in CentOS beschreiben.
Ich habe es so verstanden, dass bei einer Aktivierung der Bridge die IP-Adressen am Rechner Bridge keine Rolle mehr spielen, daher tauchen sie beim aufrufen des ifconfig-Befehls auch nicht mehr auf. Nur die 0.99 zur Service-Zwecken.
Das Dokument (vielen Dank für den Link) habe ich gelesen, aber dort geht es doch um Routing, oder? Aber ich brauche ja das selbe Subnetz.
Viele Grüße und Danke, Vogster
Hallo Vogster,
so wie ich das sehe hast Du nur ein Verständnisproblem, nur meine Meinung!
Bild 1:
Zeigt klassisches Routing zwischen zwei Netzwerken oder Broadcast Domains.
Macht man oft mit einem Router oder einem Server mit zwei Netzwerkkarten.
Somit ist CentOS dafür ja bestens geeignet und der aqui hat dafür auch eine Anleitung, die Du ja schon kennst.
Bild 2:
Da hab ich so mein Problem mit, also wenn ich mir das so ansehe wie Du es aufgezeichnet hast,
sind da 2 Rechner (PC_A und PC_B) und beide sind in dem selben Subnetz (CIDR)....
PC_A: 192.168.0.1/24 (255.255.255.0)
PC_B: 192.168.0.3/24 (255.255.255.0)
und die müssten sich doch alle sehen können, ich meine wozu denn noch die 192.168.0.99/24 (255.255.255.0)?
Du müsstest eigentlich nur zwischen den beiden Switchen einen Uplink anlegen und gut ist es, es sei denn die
beiden PCs sind in einem VLAN, dann müsstest Du eben einen Uplink mit VLAN anlegen und der heißt dann Trunk!
Also ich denke in dem Bild zwei brauchst Du gar kein CentOS und in dem Bild 1 irgend etwas was routet, z.B.
einen Router.
Und wenn Du die IP Adressen eh nicht ändern darfst ist so ein kleiner MikroTik Router für 30 € oder eben
so wie Du es machst ein Linux System (CentOS) genau das richtige.
Bild 2:Wie schon erwähnt, ein Kabel zwischen den beiden Switchen macht es in dem Fall auch.
Und den guten Ratschalg von aqui...
kann ich nur ergänzen mit:
Friends never let friends bridge their network!
(Freunde lassen Freunde niemals Ihr Netzwerk bridgen)
Also war das doch schon ein freundschaftlicher Rat von Ihm, zumindest so wie ich das sehe.
Ich kenne ja nun die örtlichen Gegebenheiten nicht so bei Dir/Euch, aber so ein Kabel kostet nicht unbedingt viel Geld, also 3 Meter CAT.6a um die 7 €, das sollte doch reichen, wenn die Switche nah bei einander stehen
oder?
Also wie gesagt und kurz geschrieben, wenn Du zu Bild zwei ein Kabel nimmst und die Switche verbindest ist
das Ding gelaufen!
Und zu Bild eins hat aqui Dir ja schon den Link geschrieben.
Schönes WE und Gruß
Dobby
so wie ich das sehe hast Du nur ein Verständnisproblem, nur meine Meinung!
Bild 1:
Zeigt klassisches Routing zwischen zwei Netzwerken oder Broadcast Domains.
Macht man oft mit einem Router oder einem Server mit zwei Netzwerkkarten.
Somit ist CentOS dafür ja bestens geeignet und der aqui hat dafür auch eine Anleitung, die Du ja schon kennst.
Bild 2:
Da hab ich so mein Problem mit, also wenn ich mir das so ansehe wie Du es aufgezeichnet hast,
sind da 2 Rechner (PC_A und PC_B) und beide sind in dem selben Subnetz (CIDR)....
PC_A: 192.168.0.1/24 (255.255.255.0)
PC_B: 192.168.0.3/24 (255.255.255.0)
und die müssten sich doch alle sehen können, ich meine wozu denn noch die 192.168.0.99/24 (255.255.255.0)?
Du müsstest eigentlich nur zwischen den beiden Switchen einen Uplink anlegen und gut ist es, es sei denn die
beiden PCs sind in einem VLAN, dann müsstest Du eben einen Uplink mit VLAN anlegen und der heißt dann Trunk!
Also ich denke in dem Bild zwei brauchst Du gar kein CentOS und in dem Bild 1 irgend etwas was routet, z.B.
einen Router.
diese müssen im selben Netz liegen (das sind in der Realität Machinen, an denen ich die IP nicht ändern kann/darf).
Bild 1: Sie müssen eben nicht in einem Netz liegen, es muss eben nur etwas her was zwischen den beiden Netzen routet.Und wenn Du die IP Adressen eh nicht ändern darfst ist so ein kleiner MikroTik Router für 30 € oder eben
so wie Du es machst ein Linux System (CentOS) genau das richtige.
Bild 2:Wie schon erwähnt, ein Kabel zwischen den beiden Switchen macht es in dem Fall auch.
Nun habe ich es so verstanden, dass eine Bridge dann das richtige Bauteil sei.
Daher habe ich auch ganz am Anfang oben gemeint Du hast ein Verständnisproblem!!Und den guten Ratschalg von aqui...
"Route where you can, bridge where you must !"
kann ich nur ergänzen mit:
Friends never let friends bridge their network!
(Freunde lassen Freunde niemals Ihr Netzwerk bridgen)
Also war das doch schon ein freundschaftlicher Rat von Ihm, zumindest so wie ich das sehe.
Ich kenne ja nun die örtlichen Gegebenheiten nicht so bei Dir/Euch, aber so ein Kabel kostet nicht unbedingt viel Geld, also 3 Meter CAT.6a um die 7 €, das sollte doch reichen, wenn die Switche nah bei einander stehen
oder?
Also wie gesagt und kurz geschrieben, wenn Du zu Bild zwei ein Kabel nimmst und die Switche verbindest ist
das Ding gelaufen!
Und zu Bild eins hat aqui Dir ja schon den Link geschrieben.
Schönes WE und Gruß
Dobby
Hallo zusammen,
danke für Deine Antwort, Du hast mich auf eine Idee gebracht.
Vielleicht sollte ich mein Frage umformulieren:
Wie muss ein Rechner mit CentOS und zwei Netzwerkkarte konfiguriert sein, damit er (zunächst) wie ein einfaches Kabel fungiert und die Daten einfach weiterschiebt?
Der aktuelle Aufbau ist nämlich ein einfaches Kabel zur Verbindung der Rechner (in Wirklichkeit ein Server PC_A und viele Clients als PC_B). An deren Konfig kann und darf ich aus vielerlei Gründen nichts ändern. Ich muss nun den Datenverkehr überwachen, evtl. noch eine FW auf dem CentOS-Bridge installieren und die Verbindung manuell und automatisch freigeben / sperren. Dafür darf ich auch nur CentOS und einen PC verwenden.
Geht das (ohne Konfig-Änderungen, wie gesagt, darf ich nicht) auch anders als mit einer Bridge?
Wo ist das Konfig-Problem mit meiner Bridge, dass die Einstellung in Bild 2 nicht funktioniert?
Die 192.168.0.99 ist nicht zwingend erforderlich, man KANN einer Bridge eine Adresse zuweisen.
Vielleicht ja dafür, wenn ich später der FW die Konfig senden möchte, die beiden NIC´s haben in der Bridge dann ja keine IP-Adressen mehr.
Vielen Dank für die Hilfe, Vogster
danke für Deine Antwort, Du hast mich auf eine Idee gebracht.
Vielleicht sollte ich mein Frage umformulieren:
Wie muss ein Rechner mit CentOS und zwei Netzwerkkarte konfiguriert sein, damit er (zunächst) wie ein einfaches Kabel fungiert und die Daten einfach weiterschiebt?
Der aktuelle Aufbau ist nämlich ein einfaches Kabel zur Verbindung der Rechner (in Wirklichkeit ein Server PC_A und viele Clients als PC_B). An deren Konfig kann und darf ich aus vielerlei Gründen nichts ändern. Ich muss nun den Datenverkehr überwachen, evtl. noch eine FW auf dem CentOS-Bridge installieren und die Verbindung manuell und automatisch freigeben / sperren. Dafür darf ich auch nur CentOS und einen PC verwenden.
Geht das (ohne Konfig-Änderungen, wie gesagt, darf ich nicht) auch anders als mit einer Bridge?
Wo ist das Konfig-Problem mit meiner Bridge, dass die Einstellung in Bild 2 nicht funktioniert?
Die 192.168.0.99 ist nicht zwingend erforderlich, man KANN einer Bridge eine Adresse zuweisen.
Vielleicht ja dafür, wenn ich später der FW die Konfig senden möchte, die beiden NIC´s haben in der Bridge dann ja keine IP-Adressen mehr.
Vielen Dank für die Hilfe, Vogster
Hallo zusammen,
Hallöledanke für Deine Antwort, Du hast mich auf eine Idee gebracht.
Aber noch nicht auf die richtige, denke ich zumindest.Vielleicht sollte ich mein Frage umformulieren:
Am besten ist es immer alles zu erzählen und auch eine oder mehrere Skizzen anzufertigen.Denn wenn man Dir alles aus der Nase ziehen muss ist das doch auch alles nicht halbes oder ganzes.
Wie muss ein Rechner mit CentOS und zwei Netzwerkkarte konfiguriert sein, damit er (zunächst) wie ein einfaches Kabel fungiert und die Daten einfach weiterschiebt?
So einfach kann man Deine Frage, aufgrund der restlichen fehlenden Informationen nicht beantworten!!!!!!!- Wer routet denn jetzt alles im Netzwerk?
- Ist da ein Router oder auch eine Firewall die das Routing macht?
- Sind dort Layer 3 Switche die routen?
- Wer routet was von wo nach wo und vor allem anderen für wen?
- Wie sieht die restliche Topologie aus? Core Layer, Distributed Layer, Access Layer
- Was sind das für Geräte und von wem? Als Beispiel: Router = Cisco RV200W & Switch = Cisco SG300-28
- Sind VALANs mit im Spiel?
- Redundant oder nicht?
- Welches WAN Setup hast Du da? und oder Anschlüsse.
Der aktuelle Aufbau ist nämlich ein einfaches Kabel zur Verbindung der Rechner (in Wirklichkeit ein Server PC_A und viele Clients als PC_B).
Na das ist ja früh dran hier, man man man, ich meinte nicht das einfache Kabel vom Endgerät zum Switchsondern vom Switch zum Switch, betreffend des Uplinks.
An deren Konfig kann und darf ich aus vielerlei Gründen nichts ändern.
Muss ja auch nicht, nur wop soll der Routing Punkt sein oder besser von wo nach wo? WAN - LAN oder LAN - LAN?Ich muss nun den Datenverkehr überwachen,....
Na dann eben mal einen Server mit Wireshark oder TCPDUMP installiert und alles aufgezeichnet.Alternativ ginge auch ein Netzwerkmonitor wie PRTG, Nagios,......
evtl. noch eine FW auf dem CentOS-Bridge installieren
Tu Dir mal einen Gefallen, ich bin jetzt auch nicht der super Netzwerk Guru so wie der aqui, aber das mit derBridge lassen wir jetzt einfach mal weg, ohne Dir zu nahe treten zu wollen.
und die Verbindung manuell und automatisch freigeben / sperren.
Dafür darf ich auch nur CentOS und einen PC verwenden.
Darf ich mal fragen wer das so vorschreibt oder sagt? Und....Ich habe in einer VM 3 Rechner mit CentOS 6.3 installiert:
Stimmt dann ja auch so nicht, oder?1. Das OS:
Ich meine klar wenn man ein echter Netzwerk Guru oder Linux Guru ist und das System danach oder besser vorher
noch härtet denn kann das schon gut gehen und funktionieren, aber ich bin mir bei Dir wirklich nicht sicher
ob Du nicht lieber eine schon eine gehärtete Linux oder xBSD basierende Variante nehmen solltest!
2. Die Hardware:
Man hat früher, vor sehr vielen Jahren so etwas gesagt das einige Linux und/oder xBSD Varianten auf einem
PC schön schnell rennen, aber bei den Strompreisen heute ist das auch nicht mehr das was es einmal war.
Und zweitens in einem Betrieb würde ich entweder Server Hardware oder geeignete Hardware dazu verwenden
und keinen PC, nie und nimmer mehr!
Software:
Fierwalls:
BSD:
- mOnOwall
- pfSense
Linux:
- IPCop
- IPFire
- SmoothWall
- ClearOS
Router:
BSD:
- OpenBSD + OpenBGP oder Zebra oder Quagga
- Vyatta
Linux:
- l4li + Eisfair
- MirkoTik RouterOS
- DD-WRT
- OpenWRT
- FreeWRT
Hardware:
- IEI
- LianTec
- Soekris
- PC Engines Alix boards
- SBC embedded boards
CentOS ist schick und auch gut zu handhaben, aber als Firewall würde ich es nicht Einsätzen wollen ohne es zu härten! Dann lieber eine von den weiter o.g. Linux Distributionen, denn die sind schon gehärtet, wohl gemerkt die Linux Distributionen.
Geht das (ohne Konfig-Änderungen, wie gesagt, darf ich nicht)
Ja, aber es wäre halt schön einmal langsam alles zu erfahren und nicht nur Häppchen weise!auch anders als mit einer Bridge?
Ich weiß nicht wo Du das mit der Bridge her hast, aber hier sollte doch irgend etwas im Netzwerk routen, oder?Und so wie Du das hier alles beschreibst tut das eben zur Zeit keiner!
Denn normaler Weise hat man im Netzwerk zwei Punkte an denen das Routing statfindet;
- WAN - LAN = Der Router oder die Firewall
- LAN - LAN = ein Layer3 Switch oder ein Router.
Man kann auch auf Sparflamme kochen und das Routing vorne an der Firewall oder dem Router für das ganze Netzwerk stattfinden lassen, finde ich aber nicht berauschend und meist ist anders herum die gesamte Performance und Reaktionszeit extrem besser gestaltet mit zwei Routing Punkten.
Wo ist das Konfig-Problem mit meiner Bridge, dass die Einstellung in Bild 2 nicht funktioniert?
Ich sag es jetzt einmal kurz und schmerzlos und das kannst Du auch über die Suchfunktion hier im Forumrecht schnell überprüfen:
Bild 1: Zwischen zwei Netzwerken muss ein Gerät stehen was routet.
(Außer man hat eine L3 Switch oder man arbeitet mit DHCP Relay Agents)
Bild 2: Wenn die beiden Switche nur Layer 2 Switche sind, und sonst niemand in diesem Netzwerk routet
muss die CentOS "Kiste" das routing übernehmen!!!!!! Sonst macht es ja keiner.
a.) Zwei Netzwerkkarten rein und dann an eine das Modem und die andere an den einen Switch und dann die beiden Switche miteinander verbinden, fertig.
b.) Drei Netzwerkkarten rein und dann an eine das Modem und an jede andere je einen Switch fertig!
Die 192.168.0.99 ist nicht zwingend erforderlich, man KANN einer Bridge eine Adresse zuweisen.
Hm, in Bild zwei, auf dem Gerät mit der IP 192.168.0.99 sollte einfach nur ein zweite Netzwerkkarte drin seinund dann muss das Routing aktiviert werden! Fertig.
Vielleicht ja dafür, wenn ich später der FW die Konfig senden möchte, die beiden NIC´s haben in der Bridge dann ja keine IP-Adressen mehr.
Und deshalb lass es Dir bitte noch einmal erzählen, bitte nimm eine Firewall oder Router Lösungvon den oben genannten und dann hast Du auch gleich verschieden farbige Zonen drin und SPI und NAT noch oben
drauf plus Firewallregeln und VLAN und was weiß ich nicht noch alles.
Vielen Dank für die Hilfe, Vogster
Bitte.Gruß
Dobby
Moin,
willst Du nur sniffen oder auch mit iptables filtern?
Wenn Du nur sniffen willst, solltest Du einfach eine passenden Switch dafür nehmen.
Da meine Domäne eher debian/ubuntu ist, kann ich Dir bei centOS jetzt keine konkreten Tipps geben, aber hast Du mal versucht es direkt nach den howtos im Netz zu machen, z.B. der hetzner-Anleitung oder einer beliebigen anderen Anleitung?
lks
willst Du nur sniffen oder auch mit iptables filtern?
Wenn Du nur sniffen willst, solltest Du einfach eine passenden Switch dafür nehmen.
Da meine Domäne eher debian/ubuntu ist, kann ich Dir bei centOS jetzt keine konkreten Tipps geben, aber hast Du mal versucht es direkt nach den howtos im Netz zu machen, z.B. der hetzner-Anleitung oder einer beliebigen anderen Anleitung?
lks
Moin lks,
ich möchte zunächst nur sniffen, daraus dann Regeln erstellen und dann auch mit iptables filtern.
@108012:
Meine Ziel war es nicht, etwas zu verheimlichen oder mir alles aus der Nase ziehen lassen zu müssen. Ich wollte mein Problem möglichst abstrakt beschreiben, da ich von einem "kleinen Problem" in der Konfig ausgegangen war.
Ich versuche mal eine neue Beschreibung:
Ich habe ein Netzwerk mit insgesamt 7 Rechnern. Subnet: 255.255.255.0, IP-Adressen 192.168.0.10-192.168.0.17.
Der Server (192.168.0.10) hat auch noch weitere Netzwerkkarten, das ist aber nicht meine Baustelle (der gesamte Server). Ich kümmere mich um die Rechner .11 -.17. Damit die Leute mit Zugriff auf den Server (über die anderen Nics) nicht auf meine Rechner zugreifen, möchte ich zwischen meine Rechner und den Server eine FW einbauen und die Regeln so gestallten, dass nur Anfragen meiner Rechner zum Server gelangen. Sonst wird das Ding dicht gemacht.
Daher erst sniffen und Bedarf ermitteln, dann Regeln erstellen und später eintragen und FW schließen.
Für das Vorhaben muss ich CentOS nehmen, einen Server-PC mit 2 Nics habe ich dafür schon.
(auch wenn andere Lösungen besser wären)
Ich war jetzt davon ausgegangen, das ich CentOS so konfigurieren kann, dass es zunächst einmal alles Pakete zum entsprechenden Ziel weiterleitet, wenn ich eine Nic mit dem Server verbinde und die andere mit dem Switch, an dem die übrigen Rechner hängen.
Routing - dachte ich - wäre der Datenaustausch zwischen verschiedenen Netzen, ich habe ja aber nur ein Netz, daher die Idee mit der Bridge.
@lks:
In den Links mit den howtos taucht immer nur eine Netzwerkkarte eth0 und die bridge auf, muss ich nicht beide nics einbinden?
Vielen Dank für die Hilfe
Vogster
ich möchte zunächst nur sniffen, daraus dann Regeln erstellen und dann auch mit iptables filtern.
@108012:
Meine Ziel war es nicht, etwas zu verheimlichen oder mir alles aus der Nase ziehen lassen zu müssen. Ich wollte mein Problem möglichst abstrakt beschreiben, da ich von einem "kleinen Problem" in der Konfig ausgegangen war.
Ich versuche mal eine neue Beschreibung:
Ich habe ein Netzwerk mit insgesamt 7 Rechnern. Subnet: 255.255.255.0, IP-Adressen 192.168.0.10-192.168.0.17.
Der Server (192.168.0.10) hat auch noch weitere Netzwerkkarten, das ist aber nicht meine Baustelle (der gesamte Server). Ich kümmere mich um die Rechner .11 -.17. Damit die Leute mit Zugriff auf den Server (über die anderen Nics) nicht auf meine Rechner zugreifen, möchte ich zwischen meine Rechner und den Server eine FW einbauen und die Regeln so gestallten, dass nur Anfragen meiner Rechner zum Server gelangen. Sonst wird das Ding dicht gemacht.
Daher erst sniffen und Bedarf ermitteln, dann Regeln erstellen und später eintragen und FW schließen.
Für das Vorhaben muss ich CentOS nehmen, einen Server-PC mit 2 Nics habe ich dafür schon.
(auch wenn andere Lösungen besser wären)
Ich war jetzt davon ausgegangen, das ich CentOS so konfigurieren kann, dass es zunächst einmal alles Pakete zum entsprechenden Ziel weiterleitet, wenn ich eine Nic mit dem Server verbinde und die andere mit dem Switch, an dem die übrigen Rechner hängen.
Routing - dachte ich - wäre der Datenaustausch zwischen verschiedenen Netzen, ich habe ja aber nur ein Netz, daher die Idee mit der Bridge.
@lks:
In den Links mit den howtos taucht immer nur eine Netzwerkkarte eth0 und die bridge auf, muss ich nicht beide nics einbinden?
Vielen Dank für die Hilfe
Vogster
Zitat von @vogster:
@lks:
In den Links mit den howtos taucht immer nur eine Netzwerkkarte eth0 und die bridge auf, muss ich nicht beide nics einbinden?
@lks:
In den Links mit den howtos taucht immer nur eine Netzwerkkarte eth0 und die bridge auf, muss ich nicht beide nics einbinden?
ja, einfach analog "extrapolieren". Oder google anwerfen und schauen, was da rausgefallen kommt.
Was sagt denn tcpdump, wenn Du auf den Interfaces (eth0, eth1, br0) mitsniffst? Kommen da Pakete durch?
Sind die MAC-Adressen disjunkt?
lks
Zitat von @vogster:
@108012:
Meine Ziel war es nicht, etwas zu verheimlichen oder mir alles aus der Nase ziehen lassen zu müssen. Ich wollte mein Problem möglichst abstrakt beschreiben, da ich von einem "kleinen Problem" in der Konfig ausgegangen war.
Schon klar, nur es kommen eben immer neue Details hinzu, da darfst Du mich halt auch nicht falsch verstehen!@108012:
Meine Ziel war es nicht, etwas zu verheimlichen oder mir alles aus der Nase ziehen lassen zu müssen. Ich wollte mein Problem möglichst abstrakt beschreiben, da ich von einem "kleinen Problem" in der Konfig ausgegangen war.
Wenn man Dir sagt das Du routen sollst und da sind noch ein Layer3 Switch und eine Firewall im oder ein anderer Router im Netzwerk kann das auch schnell nach hinten losgehen. Also ist das schon wichtig alle oder
zumindest die meisten Sachen zu kennen.
Ich habe ein Netzwerk mit insgesamt 7 Rechnern. Subnet: 255.255.255.0, IP-Adressen 192.168.0.10-192.168.0.17.
Ich würde jetzt sogar schon so weit gehen das ich Dir rate packe bitte die 7 Rechner in ein VLAN und gut ist es! Der Server wird dann mit der Netzwerkkarte zu "Euch", also Deinen Rechnern auch in das VLAN aufgenommenund gut ist es. Dann können Deine "Leute" oder Rechner alle unangetastet bleiben und an der Konfiguration
brauch auch nichts verändert werden.
Der Server (192.168.0.10) hat auch noch weitere Netzwerkkarten, das ist aber nicht meine Baustelle (der gesamte Server).
Mit der einen Netzwerkkarte wird der Server Mitglied in einem VLAN und das gehört zu Deinem VLAN mit DeinenPCs und gut ist es, da kann dann keiner ran, rein und rum.
Da habe ich schon das nächste Problem mit, sorry tut mir leid, aber normaler weise Packt man alle PCs in ein
oder mehrere VLANs und die Server auch und die Server werden je nach Zugriff dann eben Mitglieder (Member)
von mehreren VLANs und fertig ist der Lack. Das bekomme ich hier in meinem Heimnetzwerk zu Hause mit zwei
Switchen ja auch hin!
VLAN1 = Management mit allen Geräten für den Admin oder die Admins
VLAN2 = Deine Rechner
VLAN3 = Server
VLAN4 = andere PCs
Ich kümmere mich um die Rechner .11 -.17. Damit die Leute mit Zugriff auf den Server (über die anderen Nics) nicht auf meine Rechner zugreifen,......
VLANs + ACLs + Port Security Einstellungen der SwitcheFertig.
möchte ich zwischen meine Rechner und den Server eine FW einbauen und die Regeln so gestallten, dass nur
Anfragen meiner Rechner zum Server gelangen. Sonst wird das Ding dicht gemacht.
VLANs + ACLs + Port Security Einstellungen der SwitcheAnfragen meiner Rechner zum Server gelangen. Sonst wird das Ding dicht gemacht.
Fertig.
Daher erst sniffen und Bedarf ermitteln, dann Regeln erstellen und später eintragen und FW schließen.
Sniffen oder Monitoring mach man am Monitor Port (Mirrored Port) des Switches und gut ist es.Für das Vorhaben muss ich CentOS nehmen, einen Server-PC mit 2 Nics habe ich dafür schon.
(auch wenn andere Lösungen besser wären)
Wenn ich zwei Äpfel und zwei Birnen und ein Packet Taschentücher kaufen möchte, muss ich nicht mit einem(auch wenn andere Lösungen besser wären)
Sattelschlepper der 22 t (Tonnen) laden kann vor den Supermarkt fahren, für das geschätzte 1 KG Ware.
Ich war jetzt davon ausgegangen, das ich CentOS so konfigurieren kann, dass es zunächst einmal alles Pakete > zum entsprechenden Ziel weiterleitet,
Und das weiterleiten nennt man Routing.wenn ich eine Nic mit dem Server verbinde und die andere mit dem Switch, an dem die übrigen
Rechner hängen.
Und wie glaubst Du werden die Daten durchgereicht dahin, zum Server oder zu den PCs?Rechner hängen.
Routing - dachte ich - wäre der Datenaustausch zwischen verschiedenen Netzen, ich habe ja aber nur ein
Netz, daher die Idee mit der Bridge.
So ich klinke mich dann mal gepflegt aus, viel Erfolg noch.Netz, daher die Idee mit der Bridge.
Gruß
Dobby
Hallo lks,
danke für den Link, genau so sieht meine Konfiguration aus, habe das noch mal überprüft.
ifconfig zeigt das auch alles so an.
Der ping auf den anderen client ist dann aber nicht erfolgreich. Nur der Ping vom TestPCB auf die IP der Bridge funktioniert, vom TestPCA der Ping auf die Bridge funktioniert nicht. Tausche ich die Test-PCs, dann geht nur beim anderen der Ping.
Kann das an der Konfiguration meines Netzwerk in der VM-Umgebung liegen?
Ich brauche hier ja zwei virtuelle Switche, damit die die Clients und die Bridge miteinander verbinden kann.
Oder geht das auch anders aufzubauen?
Grüße, Vogster
danke für den Link, genau so sieht meine Konfiguration aus, habe das noch mal überprüft.
ifconfig zeigt das auch alles so an.
Der ping auf den anderen client ist dann aber nicht erfolgreich. Nur der Ping vom TestPCB auf die IP der Bridge funktioniert, vom TestPCA der Ping auf die Bridge funktioniert nicht. Tausche ich die Test-PCs, dann geht nur beim anderen der Ping.
Kann das an der Konfiguration meines Netzwerk in der VM-Umgebung liegen?
Ich brauche hier ja zwei virtuelle Switche, damit die die Clients und die Bridge miteinander verbinden kann.
Oder geht das auch anders aufzubauen?
Grüße, Vogster
könnte natürlich auch davon abhängen, wie Du die virtuellen Switche konfiguriert hast.
Hast Du denn einfach mal vesucht, das auf einer realen Kiste auszuprobieren?
lks
PS:
lks
Hast Du denn einfach mal vesucht, das auf einer realen Kiste auszuprobieren?
lks
PS:
- Mit welcher virtualisierungssoftware arbeitest Du üebrhaupt?
- hast Du mal einfach eine andere Distribution versucht, z.B einfach mal knoppix von einer liveCD booten udn dann bridging aktivieren?
- hast Du mal versucht an den nics zu sniffen?
- Macht centOS eventuell automatische Firewallregeln für die Interfaces? Schau mal mit iptables nach, oder flush mal alle regeln und mach dein default-accept.
lks
Hallo lks,
ich habe den ganzen Aufbau heute einmal real nachgebaut und siehe da, alles funktioniert wie es soll und so wie ich es mir vorgestellt habe.
Als Virtualisierungssoftware habe ich ESXi 5.1 eingesetzt. Eine andere Distri. habe ich nicht versucht,
das mache ich evtl. in den nächsten Tagen mal.
Automatische FW-Regeln, die den Ping blocken, scheint es nicht bei CentOS zu geben, auf dem realen System passt alles.
Die Switche am ESXi habe ich als Std. installiert, da wird wohl irgendwo der Hund begraben sein.
Vielen Dank,
Grüße Vogster
ich habe den ganzen Aufbau heute einmal real nachgebaut und siehe da, alles funktioniert wie es soll und so wie ich es mir vorgestellt habe.
Als Virtualisierungssoftware habe ich ESXi 5.1 eingesetzt. Eine andere Distri. habe ich nicht versucht,
das mache ich evtl. in den nächsten Tagen mal.
Automatische FW-Regeln, die den Ping blocken, scheint es nicht bei CentOS zu geben, auf dem realen System passt alles.
Die Switche am ESXi habe ich als Std. installiert, da wird wohl irgendwo der Hund begraben sein.
Vielen Dank,
Grüße Vogster
So,
habe den Grund für mein Problen gefunden. Der Parameter "Promiscuous Modus" an den virtuellen Switchen in der ESXi war deaktiviert. Nach dem Aktivieren dieser Option läuft nun alles genau wie es soll.
Grüße, Vogster
habe den Grund für mein Problen gefunden. Der Parameter "Promiscuous Modus" an den virtuellen Switchen in der ESXi war deaktiviert. Nach dem Aktivieren dieser Option läuft nun alles genau wie es soll.
Grüße, Vogster
