mikrotik exsi javne IP adrese - setovanje

Pozdrav,

Prelistao sam postove, ali mi nikako ne ide da uradim sledece:
Imam opseg javnih IP adresa : x.x.x.86/29
Janva IP adresa za internet: z.z.z.54/30
LAN IP: 172.16.0.0/20

E sada imam ESXi server sa IP adresom 172.16.6.7 i na njemu server 172.16.6.15 kojem treba spolja da se pristupi sa javne ip adrese iz x.x.x.56/29 bloka (x.x.x.88 recimo)

Napravio sam sledece :
Na WAN port stavio x.x.x.86/29 i z.z.z.54/30
Na LAN port stavio 172.16.0.0/20

/ip firewall nat print

Flags: X - disabled, I - invalid, D - dynamic
0 ;;; NAT za lokalnu mrezu
chain=srcnat action=masquerade out-interface=WAN

1 ;;; NAT za lokalnu mrezu
chain=srcnat action=src-nat to-addresses=z.z.z.54 src-address=172.16.0.0/20
out-interface=WAN

2 ;;; NAT za EXSi3 Win XP
chain=srcnat action=src-nat to-addresses=x.x.x.88 src-address=172.16.6.15
out-interface=WAN

3 X ;;; NAT za lokalnu mrezu
chain=srcnat action=masquerade src-address=172.16.0.0/20 dst-address=0.0.0.0/0

11 ;;; EXSi3 - Win XP remote
chain=dstnat action=dst-nat to-addresses=172.16.6.15 to-ports=3389 protocol=tcp
dst-address=x.x.x.88 dst-port=5666

/ip firewall filter print

Flags: X - disabled, I - invalid, D - dynamic
7 ;;; ESXi #3 - Win XP Remote
chain=forward action=accept protocol=tcp dst-address=172.16.6.15 dst-port=3389

PC sa IP 172.16.6.15 moze da pinguje sve i ima izlaz na net, ali PC sa 172.16.0.x opsega ne moze da pinguje 172.16.6.15 ali pinguje normalon EXSi (172.16.6.7)

Treba mi pomoc da ne bih pocupao i ovo malo kose sto mi je ostalo :-)

Hvala.

Meni to ne lici da je do Tika.

Kakvo je podesavanje mrezne na serveru tj. podesavanje na hostu za taj server, bridge?

Ova prica nema nikakve veze sa ruterom obzirom da su sporni uredjaji u istom broadcast domenu pa tako komuniciraju direktno izmedju sebe.

Najverovatnije je u pitanju firewall na guest masini...

A da... proveri i promiskuitetni mod na mreznoj kartici na hostu. Morao bi da bude ukljucen da bi prosledjivao sav saobracaj ka guestovima (inace uzima samo ono sto je za njega).

Da, sto se tice ping-a bilo je do Firewall-a na samoj masini.
promiskuitetni mod na mreznoj kartici na EXSi je reject, ali ako na MT uradim port forwad sa Internet ip z.z.z.54/30 na 172.16.6.15 to mi radi, ali ne mogu da nateram javnu IP iz x.x.x.56/29 opsega da to isto radi.
Sto se tice opsega Javnih IP znaci imam x.x.x.56/29 gde je .56 mreza. .57 je gateway I moj opseg IP adresa koji moguda koristim je 58-61.

Ako neko moze da mi kaze kako da setujem na MT da mogu da koristim opseg Javnih IP adresa.
Hvala

NAT-ujes jednu javnu na jednu privatnu (ako hoces da budu staticke).

LxAxKxI - kada zalepis tu javnu iz opsega /29 na mikrotik, da li mozes da je pingujes iz sveta (recimo ping.eu), bez ikakvih natovanja ka 172.x.x.x mrezi?

Kada stavim na MT add ip address= x.x.x.86/29 interface=WAN disable = no.
Ne mogu da pingujem spolja x.x.x.88,89,90 ... samo imam odgovor od x.x.x.87 zato sto mi je ISP rekao da je to gateway...

A jel ti prolazi ping spolja ka 86?

Ne, provajder mi kaze da je .86 mreza , .87 gateway a 88,89,90,91 moje javne ip adrese koje mogu da koristim i da mi je opseg /29 usmeren ka mojoj Internet IP WAN adresi z.z.z.54.

Cek cek.... ako je cidr /29 onda ne moze tako.

Ako je ta mreza sigurno /29 onda je x.x.x.87/29 broadcast adresa a opseg je x.x.x.80 - x.x.x.87.

Ne moze 87 da bude gateway. Proveri ti to jos jednom sa operaterom.

Proverio sa ISP ...

Sto se tice opsega Javnih IP znaci imam x.x.x.56/29 gde je .56 mreza. .57 je gateway i moj opseg IP adresa koji moguda koristim je 58-61.

29 do 32 su 3 bita, sa 3 bita pravis 8 adresa. Ako pocinjes sa .56 to je adresa mreze, plus 8 znaci da sledeca mreza pocinje sa 64 - dakle tvoj broadcast je na .63, sto znaci da mozes da koristis do 62.

Kad dodelis adresu na WAN iz tog opsega (ako je kod provajdera izrutiran) moras da dobijes ping spolja (eventualno ako ISP ne blokira nekako ICMP). Prvo to resi.

LxAxKxI - ala si ga smuntao sa adresama :)
Kao sto je Informer napisao, x.x.x.87/29 ne mozes da imas po onom sto si napisao.
x.x.x.56/29 je izgleda tvoj opseg, ali si verovatno permutovao brojke.

Probaj da uradis sledecu stvar:
1. pusti ping na x.x.x.57 (adresa koja ti je gateway) - i ne bi trebalo da imas ping ka toj adresi.
2. zalepi na eth ka tebi, ili bridge1 interfejs u kom su ti portovi x.x.x.57/29 (upises adresu i stavis ok, on ce sam da izracuna broadcast i network).
3. pusti ping sad ka x.x.x.57 i morao bi da imas ping ka toj adresi. Ako nemas ping, onda nesto nije dobro izrutirano pa kontaktiraj provajdera.

Ili odradi tracert do x.x.x.57 i vidi da li uopste dolazi do tvoje /30 adrese koju si dobio od provajdera.
Oni bi trebalo da su stavili da je x.x.x.56/29 dostupna preko y.y.y.54/30.

Nema potrebe da dodajes adrese lan publik poola na interfacetima, odradi ovo i ima da fercera kao vekerica ;)
/ip firewall nat add chain=dstnat dst-address=(adresa iz lan javnog poola) protocol=tcp dst-port=80 action=dst-nat to-addresses=(lokalna adresa) to-ports=80
ili u vec nekom postojecem nat pravilu zameni wan adresu sa adresom iz lan poola koji si dobio od provajdera i probaj.

Potpis

Teorija - to je kada znate sve, a ništa ne radi
Praksa - to je kada sve radi, a neznate zašto
Mi smo spojili teoriju i praksu - kod nas NIŠTA ne radi i NE ZNAMO zašto
ex YT1ENG
KN03XH-16DQ

Ma skroz sam se sludeo !!
opseg je x.x.x.56/29
1. pusti ping na x.x.x.57 (adresa koja ti je gateway) - i ne bi trebalo da imas ping ka toj adresi.
- mogu da pingujem tu adresu i iz mog lan-a a i sa racunara od prijatelja
2. 2. zalepi na eth ka tebi, ili bridge1 interfejs u kom su ti portovi x.x.x.57/29 (upises adresu i stavis ok, on ce sam da izracuna broadcast i network).
E sada tu sam mozda napravio gresku :





Tako mi bar kazu da je to odradjeno.


Kada radim tracert sa moje masine koja je u LAN-u:


Evo sta sam ja do sada uradio ali i dalje cupkam kosu :-)

Firewall Filter rule


NAT rule



Znaci tracert iz lokala mi radi, probao sam
tracert x.x.139.58
tracert x.x.139.60
i za obe dobijam isto a i na mikrotiku u log rule imam byte i packet vrednosti
ali kada to isto pokusam sa spolja (RDC na kucni racunar i sa njega tracert na x.x.139.58 ili .60 ) dobijam "Request timed out" ..

Znaci uradio sam ovako:
na Filter rule imam pravilo


i na Nat


dobijam broj paketa kada pokusam RDC iz LAN mreze ali se ne konektuje, a to isto kada pokusam spolja Packets kolane ostaje na 0.

Na input moras da pustis 3389 takodje.

Stavio sam ali ne radi ni sa tim pravilom.

Ako udradim samo da forwad a da mi je dst-address=x.x.151.34

Onda mi radi RDC

Ti si se ocigledno spetljao ko pile u kucinu sa firewall pravilima kako u filter pravilima tako i u nat-u. Za pocetak nemoj da si toliko paranoican i skljuci tj. disable pravila iz f.f.r. i testiraj samo nat pravila i vidi da li ona rade kako treba tj onako kako ti zelis. Kada to odradis predji na f.f.r. i postavljaj odnosno enable pravila i testiraj ih odmah. Nadam se da ces brzo da resis problem.

Potpis

Teorija - to je kada znate sve, a ništa ne radi
Praksa - to je kada sve radi, a neznate zašto
Mi smo spojili teoriju i praksu - kod nas NIŠTA ne radi i NE ZNAMO zašto
ex YT1ENG
KN03XH-16DQ

OK, disable sam sva pravila na f.f.r
mogu da pingujem x.x.139.60 iz LAN mreze, ali ne mogu spolja..pomoc :-)