Hi! Wenn das okay für Dich ist, dann mach doch die Clients einfach in ein anderes Netz und nutz den Linuxhost wirklich als Router. Das kannst Du ja auch mit einer Netzwerkkarte so machen, wenn Du dem einfach mehrere Adressen gibst. Wenn du willst könntest Du dann ja auch mit NAT (ohne PAT) die Fritzbox in deinem geroutetem Netz abbilden....
Wenn du per DHCP 192.168.105.64/22 anstelle von /24 verteilst könnte das auch verhindern das die nicht über den Linuxhost rausgehen da bin ich mir aber nicht sicher ohne test....
Siehst Du abgesehen davon bei #sysctl net.ipv4.conf.all.send_redirects auch ein = 0 ? Außerdem solltest Du das ja wenn dann auch auf der Fritzbox abstellen, denn die müsste ja das Redirect generiert haben. Oder du stellst das Annehmen auf allen Clients ab... das geht auch...
/sbin/sysctl -w net.ipv4.conf.all.accept_redirects = 0
lg _john
Am 05.08.2014 16:53, schrieb Thomas Köhler:
Hi,
On Tue, Aug 05, 2014 at 01:40:49PM +0200, Andreas Roth andreas+lugdd@schosemail.de wrote:
Hoi Liste,
... ich bin der "Neue" auf der Liste und habe gleich ein kleines Netzwerkproblem: ich habe für die Internetverbindung eine Fritzbox und im gleichen Subnetz einen Linuxhost. Dieser macht dhcp, dns und verteilt an alle Clients sich als defaultgateway. Er selber hat den Gateway auf die Fritzbox.
Ein Client schickt nun eine Anfrage und erhält vom Linuxhost ein ICMP Redirect Paket doch gleich über die Fritzbox zu gehen - spart ja einen Hop. Dieses Verhalten möchte ich unterbinden. Ich möchte allen Traffic voher auf dem Linuxhost haben.
Das nächstliegende wäre da:
- zweite Netzwerkkarte in den Linuxhost
- ein Netz zwischen Fritzbox und Linuxhost
- ein zweites Netz zwischen Linuxhost und "dem Rest"
net.ipv4.conf.all.send_redirects=0 habe ich in /etc/sysctl.conf gesetzt... hilft nicht, ich sehe die redirect pakete noch immer.
Nach dem Setzen auch aktiviert? (Durch Reboot oder "sysctl -p")
Per iptables "iptables -A OUTPUT -o eth0 -p icmp -m state --state NEW,ESTABLISHED -j DROP" schmeisse ich alle ICMP Pakete weg ... dennoch sehe ich die redirect Pakete.
Wo? Ausgehend auf dem Linuxhost (vor dem Verwerfen durch iptables)? Oder eingehend auf dem Client?
Was mach ich grundsätzlich falsch?
Du willst TCP/IP vergewaltigen. ;-)
VLANs helfen mir in meinen trivialsetup nicht weiter..
Eine zweite Netzwerkkarte wahrscheinlich schon :)
Ciao, Thomas