4 verejne ip zkrz dva MT

jamez

Zdravim, muze mi nekdo poradit?

Poskytovatel nam dava rozsah verejnych IP 78.110.209.0/26. Tento rozsah je nastaven na Hlavnim mikrotiku na eth2(vnitrni sit). Pokud pripojim pc do site eth2 a nastavim normalne verejnou ip, tak internet bezi. Problem je v tom, ze potrebuju dostat 4 verejny, ktery nejdou za sebou pres druhy MT do moji vnitrni site (chci se tikem oddelit od zbytku site).

Na svym routeru jsem to nastavil takto a bez vysledku: Oba routery jsou propojeny neverejnyma adresama. Na hlavnim je ip 20.20.20.254(ether2) a na mym na eth1 mam 20.20.20.14. Dale mam na svym na eth2 nastavenu IP 78.110.209.21/32 a 192.168.1.254/24 a pres srcnat a dstnat to mam prevadeny na neverejnou 192.168.1.1. GW na svym pc mam nastavenou ip mojeho routeru 192.168.1.254. Ping z meho pc na 20.20.20.14 bezi bez problemu, ale jakmile chci pingat dale, tak je to bez odezvy.

Jeste pripominka na Hlavnim routeru mam nastaveno v IP/Routes: 78.110.209.0/26 na eth2 (automaticky) a rucne jsem dodal 78.110.209.21/32 na GW 20.20.20.14.

Pokud mi nekdo dokaze poradit co mam spatne, byl bych nesmirne vdecny, jelikoz uz se v tom hrabu 14 dni a stale bez vysledku.

jamez

koukam ze mi asi nikdo neporadi

reset

nebud netrpelivej , tady nejsme online poradna

jdes na to blbe, udelej si tam privatni adresaci a na hlavni brane to natuj ,

davat verejky az na pc mi prijde jako nejvetsi zhovadilost

ajfel

koukam ze mi asi nikdo neporadi

http://ispforum.cz/viewtopic.php?f=5&t=3610

routuj to neverejnyma IP, priklad jak na routovani je ve vyse zminenem topicu.

Potom vem verejky a temi verejkami co mas si to na hlavni GW prenatuj 1 na neverejne IP ktere chces a bude se to chovat jako verejna IP

ajfel

nebud netrpelivej , tady nejsme online poradna

jdes na to blbe, udelej si tam privatni adresaci a na hlavni brane to natuj ,

davat verejky az na pc mi prijde jako nejvetsi zhovadilost

Neni to zhovadilost, ale pri jeho mnozstvi verejek o vic prijde rozroutovanim, nez jich bude moci pouzit.

reset

je to zhovadilost , protoze pak mas k dislozici radove mene verejek (ale to je vec nazoru)

mame 2C rozsahy , vsechno resim natem 1 a mame stale k dispozici 512 adres (- ty spotrebovane)

pokud bych mel treba celej A rozsah, pak to asi neresim, ale i tak by mi to prislo jako plejtvani

jamez

No jde o to ze na hlavnim tiku je routovanej celej rozsah verejnejch a ja kdyz pridam statickou routu jen na 78.110.209.21 na gw xxxxx tak to tik nebude brat v potaz, jelikoz uz routuje celej ten rozsah. Ted jsem skousel na mym mikrotiku nastavit verejnou IP na eth1 a natuju to 1 na neverejnou v siti. To slape, ale problemy zacnou az kdyz pridam na eth1 druhou verejnou......to mi pak na pc ztraci pingy a to dost rapidne.

reset

to tam musis mit neco blbe,

mam tam vsech 512 adres + 1 spojovaci a vsechno slape bez ztraty paketu

jamez

Mam to takto:

Flags: X - disabled, I - invalid, D - dynamic

# ADDRESS NETWORK BROADCAST INTERFACE

0 78.110.209.37/26 78.110.209.0 78.110.209.63 ether1

1 192.168.1.254/24 192.168.1.0 192.168.1.255 ether2

2 78.110.209.21/26 78.110.209.0 78.110.209.63 ether1

3 78.110.209.36/26 78.110.209.0 78.110.209.63 ether1

Flags: X - disabled, I - invalid, D - dynamic

0 chain=srcnat action=src-nat to-addresses=78.110.209.37

src-address=192.168.1.1

1 chain=dstnat action=netmap to-addresses=192.168.1.1

dst-address=78.110.209.37

2 chain=srcnat action=src-nat to-addresses=78.110.209.36

src-address=192.168.1.3

3 chain=dstnat action=netmap to-addresses=192.168.1.3

dst-address=78.110.209.36

4 chain=srcnat action=src-nat to-addresses=78.110.209.21

src-address=192.168.1.2

5 chain=dstnat action=netmap to-addresses=192.168.1.2

dst-address=78.110.209.21

Pokud si ted v notasu nastavim IP 192.168.1.1 - Vse ok

192.168.1.2 - Nejde vubec ping ven

192.168.1.3 - Ping ztrata cca 50%

Podotykam, ze vsechny verejny adresy jsem dodnes bez mikrotiku pouzival a fungovaly

ajfel

Mam to takto:
. .

dej pristup, mrknu ti na to, jsem doma s nemocnym synem, tak mam cas ;)

jamez

Tak se tam zkus lognout 78.110.209.38 user=demo bez hesla.

Predem dekuji

ajfel

Tak se tam zkus lognout 78.110.209.38 user=demo bez hesla.

Predem dekuji

Nejede to, ani tu IP nepingam

jamez

to je prave ten problem, funguje mi jen jedna na tom eth1. Jak tam pridam dalsi tak to nejede

jamez

Zakazal jsem vsechny ostatni IP, takze by ses mel bez problemu prihlasit. To co je zakazany je normalne povoleny, tak zkus zjistit co je spatne, ja jsem z toho uz mongol

majklik

V tomhle případě, kdy chceš takto vystrčit 4 adresy a v cestě je jedno MKčko, tak bych zvážil i možnost použití proxy arp (někteří střelci takto mají dělané i hodně velké sítě). Viz:

http://wiki.mikrotik.com/wiki/Manual/ARP#Proxy_ARP

Jinak diskuse zda veřejné IPčko dát až na koncové zařízení nebo dělat NAT1 na bráně, tak z pohledu uživatele chci IPčko až na mlj router, protože když chci veřejnou IP, tak obvykle proto, že provozuji něco, co se s NATem nesnáší a NAT1 to neřeší...

reset

... protože když chci veřejnou IP, tak obvykle proto, že provozuji něco, co se s NATem nesnáší a NAT1 to neřeší...

nejakej konkretni priklad ?

jamez

Tak vsechny problemy vyreseny. Chyba nebyla na strane MT, ale na 5ghz spoji s AirCa8......pokud muzu poradit, nekupujte je. Vsem moc dekuji, ale nejvic Ajfelovi, pac bez nej bych na to nikdy neprisel

majklik

... protože když chci veřejnou IP, tak obvykle proto, že provozuji něco, co se s NATem nesnáší a NAT1 to neřeší...

nejakej konkretni priklad ?

Je jich řada. Třadičně VPNky.

Takový IPsec i přes NAT 1 vidí stále NAT a snaží se použít NAT-T rozšíření, což je zbytečná režie navíc ane vždy a všude funkční.

Jiná velice nehezká věc je, že pokud takto řeším NAT u serveru v roli DSTNAT, tak u Microsoftích implementací VPN (platí i pro RDP) dojde k potlačení některých ověřovacích mechanismů, což umožňuje provádění MiM útoků na to spojení. V dokumentaci velmi kulantně uvádějí, že se nemá holý IP NAT na straně serveru dělat, že to má určíté bezpečnostní slabiny, pokud NAT není prakticky řešen aplikačnbě pomocí MS ISA serveru (nenapíší na plnou hubu, že to jde do kytek).

Jo, od jara asi třeba i Xbox, pokud projde zvažovaná změna protokolu (a Xbox nebude mít povoleno přes UPNP šahat na NAT bránu ISPíka).

pcwifi

"na 5ghz spoji s AirCa8"...

to sem mel kdyz se zacinalo : a pak uz nejak nestihaly mrchy a tuhly. Vypadek stavy a kousla Airca nekde 10km daleko, nadhera.

Tak prisla era RBcek. Ty airky bych skopal do pryc, casem snad kazda lehne.