[공유기] - ipTIME
192.168.0.1
[컴퓨터1] - Linux
192.168.0.2
255.255.255.0
192.168.0.1
[컴퓨터2] - 192.168.10.* 망 게이트웨이 Linux
(랜카드1)
192.168.0.3
255.255.255.0
192.168.0.1
(랜카드2)
192.168.10.1
255.255.255.0
(게이트 웨이 미지정)
[컴퓨터3] - Linux
192.168.10.2
255.255.255.0
192.168.10.1
이런 상황인데, 컴퓨터1 에서 컴퓨터3 로 SSH 접속을 하려고 합니다.
그런데, 접속이 안되는데 아무래도 서브넷 마스크를 잘못 준거 때문이 아닐까 싶은데
위 각각의 서브넷 마스크를 어떻게 수정해야 이런 형태의 접속이 가능할까요 ?
컴퓨터1, 컴퓨터2-랜카드1, 컴퓨터2-랜카드2, 컴퓨터3 으로 지정해서 알려주시면 쉽게 이해될것 같습니다.
[root@192.168.0.2 ~]# ssh 192.168.10.2 22
ssh: connect to host 192.168.10.2 port 22: Connection timed out
고맙습니다.
ps) 댓글을 보고 공유기에 라우팅 설정하니 ping 은 들어갑니다
2. 컴퓨터 2의 iptables에서 forward table default policy를 ACCEPT로 설정
IP 를 해당 컴퓨터 IP 로 정확하게 지정하고 싶어요
컴퓨터1의 GW은 192.168.0.1이므로, 192.168.0.1에서 라우팅을 해줘야 192.168.10.0/24 대역으로 넘어갈 수 있습니다.
하지만 iptime 공유기에 192.168.10.0/24 대역의 IP도 없으며 라우팅 설정도 안되어 있으므로, 컴퓨터 1에서 3으로 네트워크 대역은 접근할 수 없는 것이 맞습니다.
컴퓨터 1과 3을 통신하고 싶으시다면
1. 컴퓨터 1에 192.168.10.0/24 대역을 만들어 주시거나 (다중 IP)
2. 192.168.0.0/22 대역으로 네트워크 대역을 늘려주시거나
3. 컴퓨터 2를 GW로 만들어서 192.168.10.0/24 대역을 라우팅하도록 하면 (IPTIME 공유기 제외)
가능하리라 생각합니다.
위의 가정들은 적어도 모든 회선이 L2로 다 연결되어 있다는 것을 전제로 합니다.
그런데 왜 이런 네트워크 구성을 할려고 하시는 건가요? 컴퓨터 3대에 단순 대역 나눔은 큰 의미가 없을 것 같은데요..
192.168.10.* 대역은 가상화 서버라 게스트들이 많이 있습니다. 192.168.0.* 으로 잡아놓으면 이 서버를 사무실 이동했을때 그곳의 192.168.0.* 망과 충돌하기 때문에 이렇게 한것입니다.
1. 컴퓨터 1에 192.168.10.0/24 대역을 만들어 주시거나 (다중 IP) -> 수십대의 모든 컴퓨터 마다 이렇게 추가 할수가 없으니 이 방법은 안될것 같습니다.
2. 192.168.0.0/22 대역으로 네트워크 대역을 늘려주시거나 -> 이건 어떻게 할 수 있나요 ? 서브넷 마스크를 255.255.0.0 으로 주면 되는것인가요 ?
3. 컴퓨터 2를 GW로 만들어서 192.168.10.0/24 대역을 라우팅하도록 하면 (IPTIME 공유기 제외) -> 컴퓨터2는 이미 GW입니다. 컴퓨터2에도 라우팅 설정을 추가하라는 얘기인가요 ? 어떤식으로 할 수 있을까요 ? (구체적인 명령어...)
위에 추가한 사진처럼 공유기 라우팅 설정을 추가하니 컴퓨터 1에서 컴퓨터 3 으로 ping 이 되기 시작하는데, 아직 ssh 연결은 안됩니다. 뭘 더 해줘야 할까요 ?
IPtime 공유기에 라우팅 넣어주셔야합니다
192.168.10.0/24 -> 192.168.0.3
그리고 메시지가 아래와 같이 바뀌었는데, 뭔가 하나를 더 해줘야 하는 것 같습니다. 뭘 더 해줘야 할까요 ?
(이전) - ping 안됨
[root@webcom ~]# ssh user1@192.168.10.2 -p 22
ssh: connect to host 192.168.10.2 port 22: Connection timed out
(이후) 공유기 라우팅 설정후 - ping 됨
[root@webcom ~]# ssh user1@192.168.10.2 -p 22
ssh: connect to host 192.168.10.2 port 22: No route to host
컴2에서 sysctl -a |grep ip_forward 하셔서 해당 값이 1로 셋팅되어있는지 확인하시고 안되어있으면
vi /etc/sysctl.conf
net.ipv4.ip_forward=1
넣으시고
sysctl -p
하시면 적용 됩니다.
net.ipv4.ip_forward = 1
net.ipv4.ip_forward_usr_pmtu = 0
이렇게 하면 잘 되어 있는 것인가요 ? 저는 따로 변경한 것은 없습니다...
여전히 안되고 있네요
[root@webcom log]# ping 192.168.10.2
PING 192.168.10.2 (192.168.10.2) 56(84) bytes of data.
64 bytes from 192.168.10.2: icmp_seq=1 ttl=63 time=1.24 ms
From 192.168.0.1 icmp_seq=2 Redirect Host(New nexthop: 192.168.0.3)
64 bytes from 192.168.10.2: icmp_seq=2 ttl=63 time=1.03 ms
From 192.168.0.1 icmp_seq=3 Redirect Host(New nexthop: 192.168.0.3)
64 bytes from 192.168.10.2: icmp_seq=3 ttl=63 time=0.998 ms
^C
--- 192.168.10.2 ping statistics ---
3 packets transmitted, 3 received, +2 errors, 0% packet loss, time 2002ms
rtt min/avg/max/mdev = 0.998/1.087/1.235/0.105 ms
[root@webcom log]# ssh 192.168.10.2 -p 22
ssh: connect to host 192.168.10.2 port 22: No route to host
컴1에서 컴3으로 ping 은 되는데 ssh가 안됩니다...
반명, 컴3에서 컴1로는 ping도 되고, ssh도 연결됩니다.
이게 참 이상한 점이네요...
혹시 몰라서 컴3에서 vi /etc/hosts.allow
sshd: 192.168.
잘되어 있습니다. 막힌것도 아닙니다.
그리고 192.168.10.* 망의 다른 컴퓨터에서는 192.168.10.2 로 ssh가 잘 붙습니다.
원인파악을 위해서 패킷덩프를 떠볼 필요가 있을것같습니다
tcpdump 명령어를 사용하여 컴퓨터2가 중계를 잘 해주는지, 컴퓨터3까지 패킷이 도달하는지 체크해보세요
1. 컴퓨터2
#tcpdump -nni 랜카드1인터페이스명 host 192.168.0.2
상태에서 컴1 -> 컴3:22 시도해보세요
2. 컴퓨터2
#tcpdump -nni 랜카드2인터페이스명 host 192.168.0.2
상태에서 컴1 -> 컴3:22 시도해보세요
3. 컴퓨터3
#tcpdump -nni 랜카드인터페이스명 host 192.168.0.2
상태에서 컴1 -> 컴3:22 시도해보세요
위 3가지를 해보시면 어디가 막히는지 알 수 있습니다
그 결과를 토대로 조치를 하시는게 맞을 것 같습니다
# tcpdump -nni ens160 host 192.168.0.2
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens160, link-type EN10MB (Ethernet), capture size 262144 bytes
03:28:03.490732 IP 192.168.0.2.54946 > 192.168.10.2.10122: Flags [S], seq 2881666181, win 64240, options [mss 1460,sackOK,TS val 509379747 ecr 0,nop,wscale 7], length 0
03:28:03.490787 IP 192.168.0.4 > 192.168.0.2: ICMP host 192.168.10.2 unreachable - admin prohibited, length 68
03:28:08.508213 ARP, Request who-has 192.168.0.2 tell 192.168.0.4, length 28
03:28:08.508621 ARP, Reply 192.168.0.2 is-at 18:c0:4d:46:74:58, length 46
# tcpdump -nni ens192 host 192.168.0.2
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens192, link-type EN10MB (Ethernet), capture size 262144 bytes
# tcpdump -nni ens160 host 192.168.0.2
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens160, link-type EN10MB (Ethernet), capture size 262144 bytes
그럼 위 로그에서 어디가 문제인걸까요 ?
vi /etc/sysctl.conf
net.ipv4.conf.default.rp_filter=2
net.ipv4.conf.all.rp_filter=2
sysctl -p
sysctl: cannot stat /proc/sys/net/ipv4/conf/app/rp_flter: 그런 파일이나 디렉터리가 없습니다
# sysctl -p
net.ipv4.conf.default.rp_filter = 2
net.ipv4.conf.all.rp_filter = 2
컴1에서 컴3 ssh 연결시도
# ssh 192.168.10.2 -p 10122
ssh: connect to host 192.168.10.2 port 10122: No route to host
여전히 안되고 있네요. 일단 설정은 백했습니다...
여기다 댓글 드립니다
컴퓨터2에 방화벽이 올라가있는것 같네요
iptables 일것같은데
iptables이든 firewall이든 확인하셔서
컴1 -> 컴3:22 방화벽 정책을
컴2에 넣어주셔야합니다
그런데 방화벽이 켜져있어도 컴3에서 컴1로 ssh는 됐었는데 이건 무관한건가 보네요?
그런데, 컴2는 인터넷 망에 노출될수도 있거든요. 192.168.0.3(4) 가 지금은 서브넷이지만 렉을 이동하며 공인IP가 설정될수도 있습니다.
그래서 컴2는 SSH 로 접근 불가능합니다. 그런데, 제가 원하는건 컴2로 SSH를 허용해서 컴2에 SSH를 붙는게 아니라 단지 게이트웨이를 통과해서 컴1->컴3으로 ssh를 붙는건데요
그럼 이경우 컴2 방화벽에 어떤 명령어를 줘야 내부 서브넷으로 ssh 접근이 될까요 ? CentOS 입니다
ps) 포트 포워딩을 걸어주니까 되긴하는데... 그런데 제가 원하는 것은 특정 포트에 대해 특정 IP로 가라는 포트 포워딩이 아닌, 가령 22번 포트는 어떤 컴퓨터든지 갖을수 있는데... 특정 포트를 특정 컴퓨터로 특정하고 싶지 않거든요. 그럼 이제 어느정도 원인을 알았으니... 이정도에서 마무리하고 필요하면 다시 질문을 올려야겠네요. 모두 고맙습니다.
iptables라면
Forward 정책에
컴1 -> 컴3:22 tcp 정책을 넣어주어야겠죠