Verejne ip klientom bez routovania

losos

Ahojte, prosim vas, viem dat klientom verejne ip bez toho, aby som ich routoval po sieti? Tipujem ze ano, tunelom. Ak je to tak, mozte povedat akym najlepsie?

Priklad pre ktory by to muselo byt pouzitelne - klient na wifi, 2,4GHz airlive v rezime bridge, za tym jeho nejaky router (moznost vymeny za mk), je za xy AP po celej nasej sieti, nie je pri nom moznost ospf. Ak by aj bola, hladam nejaku peknu a uhladnu alternativu k routovaniu. Chcem to iba pre verejne IP, mozno by mi tymi tunelmi odpadli nevyuzite ip na /30siet ktoru napriklad teraz dostavaju?

Neviem, tipujem, hladam aspon drobne rady kadial ist, dik

roberthalak

preco chces davat zakaznikovy na jeho zariadenie verejnu ip?

vsak mu nasmeruj verejnu ip (ale oboma smermi) na jeho vnutornu a mas pokoj

mysli na to ze na kazdeho zakaznika by si minul /30 rozsah - to su 4 ip

losos

myslis urobit mu dst-nat a src-nat na tu jednu ip?

no niektori zakaznik ju chce mat u seba, na svojom servri, routri.

nepouziva sa nic ine okrem preroutovania / prenatovania?

roberthalak

ano, tak

je viac rieseni, ako mat priamo u zakaznika verejnu ip, ale aj tak to musis na svojej gw "dostat do vnutra"

losos

ak je, tak napis prosim. to je presne to co ma zaujima

roberthalak

vieš aký je rozdiel medzi verejnou a neverejnou ipčkou?

Verejná IP adresa umožňuje dostupnosť počítača z celej siete internet. Neverejná IP adresa umožňuje dostupnosť len v obmedzenej akoby časti internetu- napr. interná sieť vo firme- intranet.

alebo inak

Verejná IP adresa je jedinečná na celom svete, podobne, ako telefónne číslo vrátane medzinárodnej predvoľby. Privátna (alebo tiež vnútorná) IP adresa je ekvivalentom klapky na pobočkovej telefónnej ústredni, nie je dosiahnuteľná z celého sveta. Môžete z nej vytvárať spojenia do sveta (akokeby volať von), ale nie je možné spojiť sa zo sveta na váš počítač. Pre väčšinu domácich užívateľov je výhodnejšia privátna (neverejná IP adresa), pretože na tieto počítače nie je potrebné pripájať sa zo sveta - zároveň sa takto znižuje aj riziko napadnutia počítača.

Takže, keď si odmyslíš slovíčko verejná/neverejná zostane ti iba IP adresa :)

Pre použitie ip adries maš predsa stanovené pravidla a potom všetko závisí od toho akú maš topológiu, štruktúru siete, overovanie klientov a dalšie záležitosti.

tstuchlik

Zdravím. Možná je to offtop, ale jak bych měl na mém RB433 nastavit ROS tak abych dostal následující výsledek ?

- LAN s 1 s jedinou veřejnou IP zapojen na LAN2 (přívod ISP)

- LAN na interní síť na LAN1 (jen switche)

- všechny PC v podsíti pod NATem

- neaktivní tunel pro 1 PC na veřejnou adresu (optional)

- současný provoz všech PC + PC s veřejnou IP+Wifi AP s NATem (max. 20 IP adres celkem)

Moc děkuju, pokud mi to někdo vysvětlí...

reset

k tem verjkam, pokud si klient zaplati 4ti verejky dostane ji az na stul, jinak se musi spokojit s natem 1

roberthalak

Reset, to je pravda, nas zakaznik nas pan (a ked si to zaplati), ale nemam rad zbytocne rozhadzovanie verejnych ipv4.

Ale mam dobru presvedcovaciu techniku (ked neuda rozumny dovod) - ked chce verejku u seba tak mu ponuknem ipv6 8)

tstuchlik: skus to este raz vysvetlit, alebo to nakresli co chces

tstuchlik

Děkuji za reakci... :) No prostě budu mít 1 veřejnou IP na LANce a mikrotika chci nechat řídit provoz na mojí malé podsíti (2-3 switche).

Provoz na síti by měl být pod NATem celý a chci tam (jen pro všechny případy) nechat dvě neaktivní přiřazení 2 PC k veřejné IP (nikdy obě současně - střídavě). Jak to může jít nastavit, prosím? Jsem totiž lama a moc nevím, jak to spáchat.

Veřejná IP: ??? (ještě ji neznám)

Podsíť: klasicky 192.168.10.0/24

Počet LAN přípojů: max 16 včetně WLAN - max 10x RJ45

RB433, ROS 5.15, WinBox

V současnosti jsem na WiFi ISP pod NATem a DHCP... Nic složitýho.

roberthalak

ked chces mat na jednej verejnej ip zavesene siet a k tomu pc s nat 1 tak to ti nepojde

jedine co mozes spravit je, ze na pc mas nejake sluzby, ku ktorim presmerujes len urcite porty a aj tu potom moze nastat kolizia portov (protokolov) a "stratena komunikacia"

tstuchlik

A co takhle NAT zbylých stanic rozdělit na porty 15000 a výš a tu jedinou veř.IP hodit 1 ale jen 1-15000 ? To by nešlo ? Pokud se mýlím, tak mne opravte - jsem jen trošičku poučený laik. Nevím, co za speciality užívají porty 15k+...

roberthalak

to nemozes, pretoze porty standartnych sluzieb na nete su do 1024, len "odpovede a nasledna komunikacia" chodia na lubovolnom porte do 65536

rado3105

ci pouzijes nat 1 alebo to preroutujes, tak ci tak stratis jednu verejnu....takze to je jedno....akurat s routovanim mas viac roboty....

Ktore riesenie uprednostnujete a preco?

losos

spet k teme - vcera som hladal ako by som to vedel robit, a najjednoduchsie asi bude ak v tom nebudem hladat ziadnu vedu a budem im sice routovat ale rozsahy /32 a teda nebudu tam nevyuzite IP. akorat, hapi v jednom prispevku vravel nieco o /32 cez ospf a jeho miernou upravou, keby mal niekedy cas ze sem dopise co tym myslel budem rad

diky

hapi

no máš normálně síť na neveřejkách. Kdo chce veřejku tak mu PŘIDÁM veřejku s /32 na wan rozhraní. Důležitý je to PŘIDÁM. OSPFko je tam jenom proto to abych nemusel po cestě dopisovat routy do routerů. OSPFko je propíše samo. No a pak už se jenom upraví nat u klienta tak aby se lankový adresy natovaly za veřejku a nezapomenout na to že se nemůže použít pravidlo typu "všechno co odchází wifinou zanatovat" protože by se zanatovalo i OSPFko a nespojio by se. Tim dojde k finálnímu překladu pomocí src-natu na veřejku. On si to málokdo uvědomuje ale routerům je fuk jestli je to veřejná nebo neveřejná a navíc dost podobný řešení používáme všichni na natovacích branách jenom si to neuvědomujeme. Zavedly jsme tohle protože už nás nebavilo hlídat dva DNS záznamy (jeden zvenku a druhej zevnitř). Dokonce to takhle máme na jednom linux serveru kde je upravený stejnym způsobem nat a přidána veřejka na ethernet.

losos

myslis takto to pravidlo? Alebo este aj out-interface dat wlan? metodou pokus omyl na to ked tak pridem

/ip firewall nat

add action=src-nat chain=srcnat disabled=no src-address=192.168.2.0/24 \

to-addresses=8.8.8.8

cize pridavas iba ip na interface a do routing ospf networks + ten nat?

ostatne chapem, diky

tstuchlik

Zdravím,

po dohodě s ISP budu mít 1 veřejnou IP a jednu neveřejnou. Jak by tedy vypadalo řešení v tomto případě ?

Předpokládám, že celá privátní síť bude na neveřejné IP a veřejnou IP budu zapínat jen v případě potřeby na jednom ze dvou PC. Takže asi maškaráda na vnitřní podsíť a dvě neaktivní nastavení na veřejnou adresu v daných PC. Ale jak na to ? Poradí mi někdo, prosím ?

midnight_man

Upozornujem... a verím, že vacsina z Vás to vie. Niektoré služby nemajú radi "Natované" verejné IP. Sú klienti, ktorí jednoducho žiadajú mať PRIAMO verejnú IP u seba v stroji...tu vám žiadny src, dst nepomôže.