複数のIPから特定の一つを送信元として、ntpdateを行う

Question

一つのNICに同一セグメントのIPが複数設定されています
192.168.123.A
192.168.123.B（後から追加）

この時Aはファイアウォールの設定でNTPサーバにアクセスできません。
ntpdateコマンドをBで行いたいのですが、コマンドにそのような引数はないので
環境の方でBを選択する方法はないでしょうか？
現状ではなにも考えずにntpdateを行うと、Aを選択しているようで
Operation not permittedというエラーになってしまいます。

Answer 1

Operation not permittedというエラー

それはまた原因が違うと思いますが。( ntpdateはroot権限が必要なので、そこに抵触してるのでは )

それはそれとして、「ntpdateコマンドをBのアドレスを送信元として行う」は、確かにコマンドでそういった指定がないので、直接はできません。

環境の方でBを選択する方法はないでしょうか？

1つには、Aがprimaryアドレス、Bがsecondaryアドレスなので、この順番を逆転してしまうこと。
「逆転」を直接できるかは分かりませんが、アドレスを一旦剥奪して、逆順で付け直せば逆転になるはずです。ただ、外部向け通信の送信元アドレスが全部影響を受けますので、その点注意が必要です。

もう1つはiptablesやnftablesでSNAT(ソースNAT)をかけて、特定の通信 ( この場合、外部の123/udp行き ) の送信元アドレスを変換してしまうという方法もありえます。

でもそこまでやるんだったら、素直にファイアウォールの管理者に設定追加してもらった方が良いと思います。

Comments

[退会済みユーザー]

回答ありがとうございます
残念ですがAはAのまま他の通信に浸かっているのではく奪はできません
（こちらはHTTPです）

後者は私の知識不足で具体的方法がはっきりとわかりません
Aをntpdateできなくしているのもiptablesですので、iptablesは使えます
iptablesでUDPの場合は優先してこのBを使うという設定ができるのでしょうか？

[angel_p_57]

> Aをntpdateできなくしているのもiptablesですので、iptablesは使えます
であれば、敢えてiptablesで別の設定を入れずとも、「Aをntpdateできなくしている」をiptablesで解消すれば良いと思います。
> iptablesでUDPの場合は優先してこのBを使うという設定
「使う」と言うと語弊があります。「ソースNAT」ですので、通信データが出ていく時に、パケット内のアドレス情報に変換をかける(NATする)のです。( 戻りも自動的にケアします )
つまり、OSの通信API的には依然として「アドレスＡ→NTPサーバのアドレス」の通信に見えます。それをiptablesの機能で「アドレスB→NTPサーバのアドレス」という情報を持ったパケットに書き換えます。

ただ、NATのことを知らない状態から設定をする状況だと、私の方でフォローできるわけでもないですし、お勧めはしません。前述の通り、同じiptablesで許可を追加する方がよほど素直でお勧めです。

[退会済みユーザー]

回答ありがとうございます
Aでntpdateをしても意味がなく、Bでntpdateができること、NTPサーバと疎通できることを確認することが目的なのです。NATのことは知識がありませんので、みなさんに頼るよりまず自分で一通り勉強したいと思います。ただアドバイス頂いたNATの方法で私の目的が実現したことになるでしょうか？

[退会済みユーザー]

NATの方法でパケットミラーリング機能のあるハブでパケットキャプチャした結果
Bのパケットでやり取りしていることを確認できました。
ありがとうございました。とても助かりました！

[angel_p_57]

> NATの方法で私の目的が実現したことになるでしょうか？
はい。

一応NAT設定の概要をお伝えしておきます。
natテーブルのPOSTROUTINGチェインで、UDP123(ntp)宛ての通信に対して、ターゲット SNAT を、--to-source=アドレスB のオプションで適用、です。

[angel_p_57]

入れ違いになりました。期待に合った動作になったようで何よりです。

[退会済みユーザー]

コマンドまで教えていただき誠にありがとうございました！