Need help with SNAT

I'm a bit confused about what you're doing where and why you even would want to keep the 1760.

Is the 1760 doing masquerading? VPN?

Is IPS configured in the Astaro, and have you tried disabling it?

Cheers - Bob

My 1760 is doing the dot1q stuff for my internal.

I have turned IPS off, and almost all other "security" features.

My 1760 is doing port address translation for the internal clients.  It is the same as masquerading.

I'd like to see the Astaro gateway just translating the internal address and port to an external address and same port, and passing it through.

For example a packet leaving the 1760:
dst addr: 78.141.38.1
dst port: 80
source addr: 192.168.1.2
source port: 45873

Astaro will take the packet and change the source addr to it's external and forward.
dst addr: 78.141.38.1
dst port: 80
source addr: 78.141.38.125
source port: 45873

I don't want to masquerade because I don't want two PATs going on.  I just want the Astaro box to change the source addr and send it out.

I have the 1760 in because it performs great for routing between the vlans.  It also has connections to other parts of the network via serial connection.  Though, the basic connection out to the internet is what is important right now to me.

What is stumping me is the fact that the 1760 and the clients can ping to the WAN interface of the astaro box, and the astaro box can ping default gateway, and google, but the clients can't get past the astaro box towards the internet.  So, that makes me believe I have something setup incorrectly in SNAT.  But, it isn't too complicated to setup.

Thank you for helping.  I've been working on this for quite some time.

I want the Astaro box for it's IPS and web proxy.  [:)]

The Astaro does a great job with VLANs, but maybe there's something about those serial connections you need.  I'd be looking for a way to get rid of that old iron though.[;)]

It seems like you shouldn't have a problem if the Default Gateway is set correctly for the External interface, so I'm a bit confused.  This is a guess, but the only thing I can imagine is that Astaro doesn't know where to send those packets.  Try creating a static "Interface" route for "Internet" on your External interface.  If that doesn't work, try a "Gateway" route with the Default Gateway of your ISP.  Please let us know.

Cheers - Bob

I'll give it a shot.  [[:)]]

I figured by the time the packet reached the router, the router would know to send it straight out the ext interface.  I am confused too!  That's why I jumped on here.  LoL.

I haven't had any problem with the WIC-2T cards.  Speeds are great.  [[:)]]  Maybe I am missing something.....  though, not a networking expert.... not yet at least!  hahaha.
The serial link is mostly a link to parts of the network that don't rely on massive bandwidth.  And, a big part just  for playing around with.

Majority of the network is attached to the 10/100.

Thanks for the suggestion!  I will let ya know what happens.

Alright.  Neither worked.  I did get a lot more information.

I tried adding the 0.0.0.0/0 or "Internet" to a static route via the WAN interface.  It gave me an error saying that the "Internet" value was an invalid parameter.

Chain FORWARD (policy DROP)

target     prot opt source               destination         

ACCEPT     all  --  anywhere             anywhere            CONFIRMED match 

CONFIRMED  all  --  anywhere             anywhere            state RELATED CONFIRMED 

PSD_MATCH  all  --  anywhere             anywhere            

SANITY_CHECKS  all  --  anywhere             anywhere            

AUTO_FORWARD  all  --  anywhere             anywhere            

USR_FORWARD  all  --  anywhere             anywhere            

LOGDROP    all  --  anywhere             anywhere            LOGMARK match 60002 



Chain USR_FORWARD (1 references)

target     prot opt source               destination         

CONFIRMED  all  --  192.168.1.2          anywhere            CONFIRMED 

That is my a brief of iptables -L.

Kernel IP routing table

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface

default         *               0.0.0.0         U     0      0        0 eth2

c-98-247-164-0. *               255.255.252.0   U     0      0        0 eth2

loopback        *               255.0.0.0       U     0      0        0 lo

192.168.1.0     *               255.255.255.252 U     0      0        0 eth0

that is route information.  I added the 0.0.0.0 myself by route add default eth2.

SNAT is setup like:
SNAT
Internal(Network)->Any->Any
External(WAN)(Address)

Internal(network)  I have tried switching to the routers external IP, and it didn't work.

If there is any other information that would help, please let me know.  I'm a big fan of Astaro, and would like to keep it in my network.

Well, I haven't been able to get this working yet.  I have considered going to the beta, and just starting out new.

Do you think the 1760's routing capabilities are significantly worse then what my astaro box could do?  If so, i'll switch it around.  I am still new.  I haven't noticed a drop in network speed, I've been able to get 8.5Mbps/1.4Mbps for down/up rates.  Or around in that area.

My Astaro box is:
AMD 1.8Ghz
512 MB RAM
80 GB HDD
4 NICs.

The RAM is pretty low.  I have been considering buying a newer box, or just one of the astaro appliances.  

I keep looking and looking and everything appears to be fine, but doesn't work.  [:(]

Hi,
I have read the posts in this thread and am a bit confused.

I don't see any mention of a packet filter rule.

You would need "internal network -> any -> any -> allow" with your current setup.

The ASG can do your vlan and full nat for you. It would simplify your network.

Ian M

I just noticed that you are "masquerading in the 1760; I suspect that's causing complications and that you'd be better off with it or the Astaro in bridge mode.

Cheers - Bob