Rutiranje ili bridžovanje + NAT-ovanje

Rutiranje ili bridžovanje + NAT-ovanje 24.02.2010. u 13:32 · pre 203 meseca #1

Dobio sam novi opseg IP adresa (npr. 20.20.20.224-255). Na provajderovom ruteru (nalazi se na mojoj lokaciji) adresa .225 postavljena je kao DG. Potrebno mi je da ostale adrese iz tog javnog opsega koristim na nekim krajnjim uređajima (npr. serverima), ali i da ostali korisnici (ne ti serveri, već radne stanice) nastave da koriste svoje privatne adrese (192.168.1.0 /24) i da ih NAT-ujem na Internet.

Na prvom portu Mikrotika postavio sam adresu 20.20.20.226 /27.

Za potrebe NAT-ovanja lokalne mreže (maskarada uspešno radi), na trećem portu postavljena je adresa 192.168.1.1 i nju cela lokalna mreža koristi kao DG. Firewall je setovan prema potrebama i to dobro radi.

Pitanje je kako proslediti javnu mrežu kroz ovaj Mikrotik? Naravno, može se Mikrotik i izbeći i mogu direktno sa javnih adresa kao DG da koristim onu .225 adresu, ali Mikrotik mi je neophodan kao firewall i za te adrese.

Hvala.

Re: Rutiranje ili bridžovanje + NAT-ovanje 24.02.2010. u 13:48 · pre 203 meseca #2

Zašto ti ISP ne dodeli još jednu manju mrežu /30 (jedna IP kod njih, jedna na tvom ruteru) i da ti taj ceo opseg adresa rutira ka tvojoj strani.

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Re: Rutiranje ili bridžovanje + NAT-ovanje 24.02.2010. u 13:50 · pre 203 meseca #3

Najblaže rečeno - ne znam? Kod prethodnog provajdera je bilo tako i sve je radilo kako treba. Sad je ovako kako je i treba mi pomoć.

Re: Rutiranje ili bridžovanje + NAT-ovanje 24.02.2010. u 14:10 · pre 203 meseca #4

Ako sam dobro razumeo iz tvog prvog posta, tvoja ideja je da taj MT postaviš između tvoje mreže i ISP? To neće moći tako baš kao što si zamislio.
Ako ti je ISP već dao na široko 32 javne adrese, mislim da nije problem da ti dodele još jednju mrežu sa maskom /30 i rešio si problem na najelegantniji način.
Dakle, eth1 ka ISP, eth2 ka javnoj mreži, eth3, ka privatnoj mreži. Ja bih tako uradio.

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Re: Rutiranje ili bridžovanje + NAT-ovanje 24.02.2010. u 14:24 · pre 203 meseca #5

Da pojasnim i taj moment. Imam ja i više od 32 javne, ali ostatak odlazi u drugi deo firme (nema logičku vezu sa ovime o čemu govorim, osim preko provajderovog modema). Da bi se izbegao međuruter, postojeći provajderov ruter na dva LAN porta pušta cela dva opsega (na drugom zbog specifičnosti korišćenja tih adresa nema ovih problema). U jedan port tog rutera ulazi mi mikrotik koji treba da kontroliše ove 32 adrese, a na drugi port priključen je drugi ruter.

Uh, možda sam ovo nejasno opisao, ali svodi se na to da je zbog aktivnog drugog opsega sada kasno da se traži i ta mala mreža. Kako je do toga došlo, nema svrhe da sada objašnjavam... :(

Re: Rutiranje ili bridžovanje + NAT-ovanje 24.02.2010. u 16:50 · pre 203 meseca #6

Drugačije ne može, ili ja ne znam.
Ako ti je ISP kao što stoji u lokaciji sa koje pišeš, oni su se toliko potrudili u zadnje vreme da budu "konkurentni" sa cenama i preotimanju korisnika od drugih ISP, sa njihovom "neverovatnom" ponudom (čim pominješ prethodnog provajdera i da ti je tamo radilo), pa sam siguran da će ti izaći u susret (tvojoj firmi) ako ih nagaziš i tražiš im još jedan manji opseg adresa. Ne vidim što bi bilo kasno da se to odradi, sa tehničkog aspekta.

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Re: Rutiranje ili bridžovanje + NAT-ovanje 24.02.2010. u 18:41 · pre 203 meseca #7

Nemoj komplikovati. Na mikrotikovom interfejsu koji je povezan ka provajderu dodeli dodatne IP adrese pa onda DST-NAT-uj samo te adrese na lokalne racunare kojima hoces da ih dodelis. To ce ti tako raditi posao za najveci broj potreba a jos imas i sigurnost, s obzirom da mozes da natujes samo one portove koji ti stvarno trebaju na im serverima te ce ti Mikrotik raditi kao firewall.

Ako dodelis javne IP adrese direktno serverima onda ce Mikrotik malo moci da uradi kao firewall, s obzirom da bi serveri bili izlozeni direktno na Internetu. To bi u principu mogao da sotvaris i bey dodatnog ip opsega ali bi svakako provajder morao da na svom ruteru prilagode rutiranje, a to nisu bas radi da rade. Prosao sam istu pricu, i na kraju su mi radije dodelili jedan dodatni /30 opseg nego da se petljaju sa rutiranjem.

Meni je najcudnije bilo to sto su morali zbati da ako mi dodeljuju opseg i da ga ja moram rutirati dalje u loklanoj mrezi, da ce morati da urade drugacije rutiranje, a ne da podese kao da cu ja na njihov ruter da zakacim switch.

Potpis

http://pedja.supurovic.net - http://wireless.uzice.net - Besplatni .RS domeni - Mikrotik uputstva - YT9TP - OpenStreetMap Srbija

Re: Rutiranje ili bridžovanje + NAT-ovanje 24.02.2010. u 19:19 · pre 203 meseca #8

Hvala obojici na dobrim komentarima. Kao što rekoh, zbog drugog subneta, velika komplikacija bi mi bila da sada promenim koncepciju sa tim WAN 30-bitnim portom, tako da ću po svoj prilici uraditi kombinaciju Predragovog predloga i daljeg segmentiranja ovog opsega (nisu svi serveri i nije moguće natovanje na neke od tih, možda i grešim?). Ovo dalje segmentiranje je loše jer mi ostaju samo još po jedna /28, /29 i /30 mreža što, ako sam dobro prebrojao, ostavlja svega 19 raspoloživih adresa... Šta da se radi.

Uzgred, na mišiće sam pronašao i još jedno rešenje gde bi se taj opseg bridžovao na WAN port, ali problem je što bez VLAN-a u mreži proizvedem loopback i sve pada. (nemojte me pitati zašto ne mogu da potpuno uključim VLAN :)

Re: Rutiranje ili bridžovanje + NAT-ovanje 24.02.2010. u 19:19 · pre 203 meseca #9

Ok, dolazi u obzir i resenje sa dst-nat i to samo portova koji trebaju da budu vidljivi sa Interneta.
Jeste "veliki" posao provajderu, kada bi dodelio /30 opseg, velika je nauka obrisati IP adresu na ruteru, dodati drugu IP i dodati jednu staticku rutu. Ako je ISP onaj koji mislim da jeste, mislim da imaju strucan kadar, koji ce to uraditi u roku od 25 sekundi. Uostalom, ja bih se posavetovao sa njima, jer su ocigledno bolji od tog prethodnog ISP, cim je firma odlucila da predje kod njih.

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Re: Rutiranje ili bridžovanje + NAT-ovanje 24.02.2010. u 22:54 · pre 203 meseca #10

Naravno da to moze...

Imas vise resenja... Jedno resenje je da sam izsegmentiras tvoj LAN blok koji ti je dao provajder i na tvom mikorotiku uz pomoc malih subneta /30 dovedes javni IP do unutar tvoje mreze...

Resenje broj 2 je da radi SRC/DST nat.

Pretpostavimo da ti internet dolazi kroz LAN kabl na tvoju mrezu:
postavi IP adrese 20.20.20.225/27, 20.20.20.226/27,....itd...itd... na ethernet na kome ti je link ka provajderu.
Uradi src/nat po potrebi i natuj na odredjene adrese fiksno...
Isto to uradi i sa DST natom ka ip adresama u unutrasnjem delu mreze koje hoces da ti se vide sa interneta...
DF gateway ti je naravno 254 (ili koji ti je vec dao isp)

To je to :)
Radice...

Poz
Dejan

PS. Bridge nikako... ne zove se ruter dzabe ruter...

Potpis

::www.kladovo.net ::

Re: Rutiranje ili bridžovanje + NAT-ovanje 25.02.2010. u 08:35 · pre 203 meseca #11

Da, ta dva rešenja sam i ja spomenuo kao realna (s time što kod prvog ne bih segmentirao na 8 /30 već na /30, /29 i /28, jer je mnogo manji gubitak adresa). Kod drugog imam problem specifičnih uređaja koji nisu serveri. Zato i rekoh da će po svoj prilici biti neka kombinacija ta dva rešenja.

Diskusiju sam započeo sa pitanjem da li postoji još neko realno rešenje za koje ja ne znam, a koje bi bilo bolje od ovih.

Hvala svima.

Re: Rutiranje ili bridžovanje + NAT-ovanje 25.02.2010. u 09:10 · pre 203 meseca #12

Citat:

acatheking: Ok, dolazi u obzir i resenje sa dst-nat i to samo portova koji trebaju da budu vidljivi sa Interneta.
Jeste "veliki" posao provajderu, kada bi dodelio /30 opseg, velika je nauka obrisati IP adresu na ruteru, dodati drugu IP i dodati jednu staticku rutu. Ako je ISP onaj koji mislim da jeste, mislim da imaju strucan kadar, koji ce to uraditi u roku od 25 sekundi. Uostalom, ja bih se posavetovao sa njima, jer su ocigledno bolji od tog prethodnog ISP, cim je firma odlucila da predje kod njih.

Oni to ne gledaju tako. Ja sam imao posla sa provajderom gde rade ljudi koji znaju posao, odnosno to sto treba da znaju za ovo rutiranje bi morao da zna cak i neko priucen, a oni svakako nisu priuceni. Stvar je sto ih mrzi da se cimaju.

Inace sam skoro imao kontakt i sa adminima drugog ISP, gde bi ljudi itekako morali da znaju posao, pa sam opet na delu video kako admin radi po principu sta mu je manje za kucanje, nego da uradi kako treba.

Citat:

zivanicd: Naravno da to moze...
Imas vise resenja... Jedno resenje je da sam izsegmentiras tvoj LAN blok koji ti je dao provajder i na tvom mikorotiku uz pomoc malih subneta /30 dovedes javni IP do unutar tvoje mreze...

Moze on to da uradi ali mora i provadjer da podesi rutiranje jer nije svejedno da li je na njega zakacen jedan veliki subnet ili je taj subnet zakacen ali je segmentiran tako da ISP direktno vidi samo jedan /30 subnet od celog tog subneta.

Citat:

aMilanV: Da, ta dva rešenja sam i ja spomenuo kao realna (s time što kod prvog ne bih segmentirao na 8 /30 već na /30, /29 i /28, jer je mnogo manji gubitak adresa). Kod drugog imam problem specifičnih uređaja koji nisu serveri. Zato i rekoh da će po svoj prilici biti neka kombinacija ta dva rešenja.

Ako radis DST-NAT, onda nema potrebe da ista segmentiras, jer kod sebe u lan-u mozes sve da drzis u privatnom IP opsegu. Bolje cuvaj te IP adrese ako ti zaista zatrebaju za nesto.

E da imas i jos jedan zanimljivo nacin da resis problem. Sa racunara u lanu kome treba da dodelis javni IP, napravi vpn prema mikrotiku i onda preko njega odradi posao. Tako izbegavas eventualne komplikacije koje mogu da ti naprave fizicke veze u LAN-u, narocito ako ti je i lan segmentiran.

Potpis

http://pedja.supurovic.net - http://wireless.uzice.net - Besplatni .RS domeni - Mikrotik uputstva - YT9TP - OpenStreetMap Srbija

Forum kao aplikacija na telefonu

Srodne teme