Помогите разобратся - Айпи сервера авторизации

[NodenY45]

На все VLANы интернет подается, но авторизация проходит только по шлюзу VLANа той подсети к которой принадлежит IP.
В чем может быть загвоздка? Версия 50.32

/etc/rc.firewall

Код:

#!/bin/sh -
f='/sbin/ipfw'

ifOut='em0'

${f} -f flush

${f} add 50 allow tcp from any to me 22
${f} add 51 allow tcp from me 22 to any

${f} add 110 allow ip from any to any via lo0
${f} add 120 skipto 1000 ip from me to any
${f} add 130 deny icmp from any to any in icmptype 5,9,13,14,15,16,17
${f} add 160 skipto 2000 ip from any to me

${f} add 200 skipto 500 ip from any to any via ${ifOut}

${f} add 300 skipto 4500 ip from any to any in

${f} add 400 skipto 450 ip from any to any recv ${ifOut}
${f} add 420 tee 1 ip from any to any
${f} add 450 tee 2 ip from any to any
${f} add 490 allow ip from any to any

${f} add 500 skipto 32500 ip from any to any in
${f} add 510 tee 1 ip from any to any
${f} add 540 allow ip from any to any


${f} add 1000 allow udp from any 53,7723 to any
${f} add 1010 allow tcp from any to any setup keep-state
${f} add 1020 allow udp from any to any keep-state
${f} add 1100 allow ip from any to any

${f} add 2000 check-state
${f} add 2010 allow icmp from any to any
${f} add 2020 allow tcp from any to any 80,443
${f} add 2050 deny ip from any to any via ${ifOut}
${f} add 2060 allow udp from any to any 53,7723

${f} add 2100 deny ip from any to any

${f} add 32490 deny ip from any to any

[stix]

чтобы был 1 ip для всех интерфейсов, должен быть один один интерфейс, он же bridge.

[NodenY45]

чтобы был 1 ip для всех интерфейсов, должен быть один один интерфейс, он же bridge.

порт авторизации 7723 - доступ разрешен. ip не указано в фаерволе...
tcpdump показывает что запрос есть... нету обратного ответа от 10.0.0.1 до 192.168.1.2(ip клиента) например.

[goletsa]

Код:

sysctl -w net.inet.ip.forwarding

?
Адрес с клиентов вообще пингуется?

[NodenY45]

Код:

sysctl -w net.inet.ip.forwarding

?
Адрес с клиентов вообще пингуется?

net.inet.ip.forwarding: 1
пингуется

[VitalVas]

ifconfig lo0 10.1.0.1/32 alias

и в авторизаторе прописывать 10.1.0.1

[0xbad0c0d3]

OSPF, не?

[stix]

та должно форвардится по стеку на ip внешнего интерфейса.
тут косят в файрволе возможно

tcpdump не поможет в файрволе, т.к запускается в promiscuous mode

[Andrey Zentavr]

Операции => Настройки => Саттелиты:

Создаём саттелит авторизации (читаем доку как), настраиваем.
Вместо 0 - слушаем на всех интерфейсах системы ставим свой IP (я так понял у вас это будет 10.*.что-то.1

По идее всё должно работать с 0, вроде как "слушать на всех интерфейсах системы" .. Но на практике получается, что если сервер имеет, например, 2 ИП (10.0.0.1 - em0 и 192.168.0.1 - em1 (или алиас em0) предположим), при старте агента он действительно слушает на 0.0.0.0:7723. При попытке соединения на ИП 192.168.0.1 сервер будет слать ответы почему-то с 10.0.0.1, и, потом, возможно с 192.168.0.1. Агент у клиента делает несколько попыток авторизации ( две или три - что-то около того) и когда начинают приходить ответы от не того ИП на который был послан запрос - ОС клиента их тупо отбрасывает как флуд.

Я не стал ковырять потроха агента, просто прибил его на фиксированный ИП, теперь вся сетка кто юзает агент авторизации, ходит на один адрес для всех (9 VLANов).

P.S.: Смотри в картинку

[NodenY45]

Операции => Настройки => Саттелиты:

Создаём саттелит авторизации (читаем доку как), настраиваем.
Вместо 0 - слушаем на всех интерфейсах системы ставим свой IP (я так понял у вас это будет 10.*.что-то.1

По идее всё должно работать с 0, вроде как "слушать на всех интерфейсах системы" .. Но на практике получается, что если сервер имеет, например, 2 ИП (10.0.0.1 - em0 и 192.168.0.1 - em1 (или алиас em0) предположим), при старте агента он действительно слушает на 0.0.0.0:7723. При попытке соединения на ИП 192.168.0.1 сервер будет слать ответы почему-то с 10.0.0.1, и, потом, возможно с 192.168.0.1. Агент у клиента делает несколько попыток авторизации ( две или три - что-то около того) и когда начинают приходить ответы от не того ИП на который был послан запрос - ОС клиента их тупо отбрасывает как флуд.

Я не стал ковырять потроха агента, просто прибил его на фиксированный ИП, теперь вся сетка кто юзает агент авторизации, ходит на один адрес для всех (9 VLANов).

P.S.: Смотри в картинку

Все четко-) работает как часы. Только сателлит новый не создавал, отредактировал bill_kernel, прописав туда айпи по твоему мануалу.
Спасибо.

[Andrey Zentavr]

Ну и отличненько