송주환 2023-02

1. 컴퓨터 2에서 net.ipv4.ip_forward=1로 IP 포워딩 기능 활성화
2. 컴퓨터 2의 iptables에서 forward table default policy를 ACCEPT로 설정

민사장 2023-02

말씀하시는게 뭔지 잘 모르겠는데, 포트 포워드 말씀하시는걸까요 ? 포트 포워드는 제가 원하는 답변은 아닌것 같아요..
IP 를 해당 컴퓨터 IP 로 정확하게 지정하고 싶어요

엠브리오 2023-02

한마디로 요약하자면 컴퓨터2가 또다른 공유기 처럼 동작해야 합니다.

꼬소 2023-02

컴퓨터1의 네트워크는 24bit 이므로 192.168.10.0/24  대역으로 넘어 가려면 컴퓨터1의 default 또는 static 게이트웨이(GW)를 타고 넘어가야합니다.
컴퓨터1의 GW은 192.168.0.1이므로, 192.168.0.1에서 라우팅을 해줘야 192.168.10.0/24 대역으로 넘어갈 수 있습니다.
하지만 iptime 공유기에 192.168.10.0/24 대역의 IP도 없으며 라우팅 설정도 안되어 있으므로, 컴퓨터 1에서 3으로 네트워크 대역은 접근할 수 없는 것이 맞습니다.
컴퓨터 1과 3을 통신하고 싶으시다면
1. 컴퓨터 1에 192.168.10.0/24 대역을 만들어 주시거나 (다중 IP)
2. 192.168.0.0/22 대역으로 네트워크 대역을 늘려주시거나
3. 컴퓨터 2를 GW로 만들어서 192.168.10.0/24 대역을 라우팅하도록 하면 (IPTIME 공유기 제외)
가능하리라 생각합니다.
위의 가정들은 적어도 모든 회선이 L2로 다 연결되어 있다는 것을 전제로 합니다.

그런데 왜 이런 네트워크 구성을 할려고 하시는 건가요? 컴퓨터 3대에 단순 대역 나눔은 큰 의미가 없을 것 같은데요..

민사장 2023-02

자세한 것은 네트워크 보안사항이라 질문에 필요한 내용도 아니고 질문만 복잡하게 되어서 위에처럼 꼭 필요한 내용만 쓴것이고요
192.168.10.* 대역은 가상화 서버라 게스트들이 많이 있습니다. 192.168.0.* 으로 잡아놓으면 이 서버를 사무실 이동했을때 그곳의 192.168.0.* 망과 충돌하기 때문에 이렇게 한것입니다.

1. 컴퓨터 1에 192.168.10.0/24 대역을 만들어 주시거나 (다중 IP) -> 수십대의 모든 컴퓨터 마다 이렇게 추가 할수가 없으니 이 방법은 안될것 같습니다.
2. 192.168.0.0/22 대역으로 네트워크 대역을 늘려주시거나 -> 이건 어떻게 할 수 있나요 ? 서브넷 마스크를 255.255.0.0 으로 주면 되는것인가요 ?
3. 컴퓨터 2를 GW로 만들어서 192.168.10.0/24 대역을 라우팅하도록 하면 (IPTIME 공유기 제외) -> 컴퓨터2는 이미 GW입니다. 컴퓨터2에도 라우팅 설정을 추가하라는 얘기인가요 ? 어떤식으로 할 수 있을까요 ? (구체적인 명령어...)

위에 추가한 사진처럼 공유기 라우팅 설정을 추가하니 컴퓨터 1에서 컴퓨터 3 으로 ping 이 되기 시작하는데, 아직 ssh 연결은 안됩니다. 뭘 더 해줘야 할까요 ?

배뚱이 2023-02

서버 설정은 잘 되어있으실것같고
IPtime 공유기에 라우팅 넣어주셔야합니다
192.168.10.0/24 -> 192.168.0.3

민사장 2023-02

ipTIME공유기에 라우팅 설정을 넣으니 (위 캡쳐 참고) 컴퓨터1에서 컴퓨터3으로 ping 이 되기 시작합니다. 이 설정이 필요한 것이었네요.
그리고 메시지가 아래와 같이 바뀌었는데, 뭔가 하나를 더 해줘야 하는 것 같습니다. 뭘 더 해줘야 할까요 ?

(이전) - ping 안됨
[root@webcom ~]# ssh user1@192.168.10.2 -p 22
ssh: connect to host 192.168.10.2 port 22: Connection timed out

(이후) 공유기 라우팅 설정후 - ping 됨
[root@webcom ~]# ssh user1@192.168.10.2 -p 22
ssh: connect to host 192.168.10.2 port 22: No route to host

모어쿨 2023-02

위에 송주환님이 말씀하신 작업을 하셔야 합니다.
컴2에서 sysctl -a |grep ip_forward 하셔서 해당 값이 1로 셋팅되어있는지 확인하시고 안되어있으면

vi /etc/sysctl.conf
net.ipv4.ip_forward=1

넣으시고
sysctl -p
하시면 적용 됩니다.

민사장 2023-02

# sysctl -a |grep ip_forward
net.ipv4.ip_forward = 1
net.ipv4.ip_forward_usr_pmtu = 0

이렇게 하면 잘 되어 있는 것인가요 ? 저는 따로 변경한 것은 없습니다...
여전히 안되고 있네요

[root@webcom log]# ping 192.168.10.2
PING 192.168.10.2 (192.168.10.2) 56(84) bytes of data.
64 bytes from 192.168.10.2: icmp_seq=1 ttl=63 time=1.24 ms
From 192.168.0.1 icmp_seq=2 Redirect Host(New nexthop: 192.168.0.3)
64 bytes from 192.168.10.2: icmp_seq=2 ttl=63 time=1.03 ms
From 192.168.0.1 icmp_seq=3 Redirect Host(New nexthop: 192.168.0.3)
64 bytes from 192.168.10.2: icmp_seq=3 ttl=63 time=0.998 ms
^C
--- 192.168.10.2 ping statistics ---
3 packets transmitted, 3 received, +2 errors, 0% packet loss, time 2002ms
rtt min/avg/max/mdev = 0.998/1.087/1.235/0.105 ms

[root@webcom log]# ssh 192.168.10.2 -p 22
ssh: connect to host 192.168.10.2 port 22: No route to host

컴1에서 컴3으로 ping 은 되는데 ssh가 안됩니다...
반명, 컴3에서 컴1로는 ping도 되고, ssh도 연결됩니다.
이게 참 이상한 점이네요...

혹시 몰라서 컴3에서 vi /etc/hosts.allow
sshd: 192.168.

잘되어 있습니다. 막힌것도 아닙니다.
그리고 192.168.10.* 망의 다른 컴퓨터에서는 192.168.10.2 로 ssh가 잘 붙습니다.

배뚱이 2023-02

그렇다면
원인파악을 위해서 패킷덩프를 떠볼 필요가 있을것같습니다

tcpdump 명령어를 사용하여 컴퓨터2가 중계를 잘 해주는지, 컴퓨터3까지 패킷이 도달하는지 체크해보세요

1. 컴퓨터2
#tcpdump -nni 랜카드1인터페이스명 host 192.168.0.2
상태에서 컴1 -> 컴3:22 시도해보세요

2. 컴퓨터2
#tcpdump -nni 랜카드2인터페이스명 host 192.168.0.2
상태에서 컴1 -> 컴3:22 시도해보세요

3. 컴퓨터3
#tcpdump -nni 랜카드인터페이스명 host 192.168.0.2
상태에서 컴1 -> 컴3:22 시도해보세요

위 3가지를 해보시면 어디가 막히는지 알 수 있습니다
그 결과를 토대로 조치를 하시는게 맞을 것 같습니다

민사장 2023-02

1. result (컴퓨터2에 랜카드1 명령어 치고, 컴1->컴3 ssh 시도)

# tcpdump -nni ens160 host 192.168.0.2
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens160, link-type EN10MB (Ethernet), capture size 262144 bytes
03:28:03.490732 IP 192.168.0.2.54946 > 192.168.10.2.10122: Flags [S], seq 2881666181, win 64240, options [mss 1460,sackOK,TS val 509379747 ecr 0,nop,wscale 7], length 0
03:28:03.490787 IP 192.168.0.4 > 192.168.0.2: ICMP host 192.168.10.2 unreachable - admin prohibited, length 68
03:28:08.508213 ARP, Request who-has 192.168.0.2 tell 192.168.0.4, length 28
03:28:08.508621 ARP, Reply 192.168.0.2 is-at 18:c0:4d:46:74:58, length 46

민사장 2023-02

2. result (컴퓨터2에 랜카드2 명령어 치고, 컴1->컴3 ssh 시도)

# tcpdump -nni ens192 host 192.168.0.2
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens192, link-type EN10MB (Ethernet), capture size 262144 bytes

민사장 2023-02

3. result (컴퓨터3에 명령어 치고, 컴1->컴3 ssh 시도)

# tcpdump -nni ens160 host 192.168.0.2
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens160, link-type EN10MB (Ethernet), capture size 262144 bytes

민사장 2023-02

컴퓨터2 랜카드1 IP 가 실은 192.168.0.4 입니다. 보안상 이 IP만 다르게 적었던건데, 로그에서 참고 바랍니다.
그럼 위 로그에서 어디가 문제인걸까요 ?

모어쿨 2023-02

그렇다면 컴2에서 아래 내용을 추가해보세요

vi /etc/sysctl.conf
net.ipv4.conf.default.rp_filter=2
net.ipv4.conf.all.rp_filter=2


sysctl -p

민사장 2023-02

모어쿨님 것은 이렇게 나오네요. sysctl -p 했습니다. Centos Stream 9 입니다.
sysctl: cannot stat /proc/sys/net/ipv4/conf/app/rp_flter: 그런 파일이나 디렉터리가 없습니다

모어쿨 2023-02

오타 확인해보세요.. app가 아니라 all입니다.

민사장 2023-02

컴2에서
# sysctl -p
net.ipv4.conf.default.rp_filter = 2
net.ipv4.conf.all.rp_filter = 2

컴1에서 컴3 ssh 연결시도
# ssh 192.168.10.2 -p 10122
ssh: connect to host 192.168.10.2 port 10122: No route to host

여전히 안되고 있네요. 일단 설정은 백했습니다...

배뚱이 2023-02

일정 깊이 이상 댓글은 대댓글이 안되는것같아
여기다 댓글 드립니다
컴퓨터2에 방화벽이 올라가있는것 같네요
iptables 일것같은데
iptables이든 firewall이든 확인하셔서
컴1 -> 컴3:22 방화벽 정책을
컴2에 넣어주셔야합니다

민사장 2023-02

맞네요. 컴2의 방화벽을 내리니까 컴1에서 컴3으로 ssh가 되네요.
그런데 방화벽이 켜져있어도 컴3에서 컴1로 ssh는 됐었는데 이건 무관한건가 보네요?

그런데, 컴2는 인터넷 망에 노출될수도 있거든요. 192.168.0.3(4) 가 지금은 서브넷이지만 렉을 이동하며 공인IP가 설정될수도 있습니다.
그래서 컴2는 SSH 로 접근 불가능합니다. 그런데, 제가 원하는건 컴2로 SSH를 허용해서 컴2에 SSH를 붙는게 아니라 단지 게이트웨이를 통과해서 컴1->컴3으로 ssh를 붙는건데요

그럼 이경우 컴2 방화벽에 어떤 명령어를 줘야 내부 서브넷으로 ssh 접근이 될까요 ? CentOS 입니다

ps) 포트 포워딩을 걸어주니까 되긴하는데... 그런데 제가 원하는 것은 특정 포트에 대해 특정 IP로 가라는 포트 포워딩이 아닌, 가령 22번 포트는 어떤 컴퓨터든지 갖을수 있는데... 특정 포트를 특정 컴퓨터로 특정하고 싶지 않거든요. 그럼 이제 어느정도 원인을 알았으니... 이정도에서 마무리하고 필요하면 다시 질문을 올려야겠네요. 모두 고맙습니다.

배뚱이 2023-02

방화벽을 끄는게 아니라 정책을 넣어주셔야합니다
iptables라면
Forward 정책에
컴1 -> 컴3:22 tcp 정책을 넣어주어야겠죠