Více NATů v routeru

darklogic

Potřeboval bych nastavit mikrotikový router pro jednu bytovku a trochu tápu, jak to správně udělat. Běžně to v bytovkách dělám takto:

Mikrotik jako hlavní router v bytovce jen routuje bez NATu. LAN rozhraní je zapojeno do switche a bytech jsou obyčejné wifi routery, které NATují.

Nyní bych ale v jedné bytovce potřeboval to, že v bytech žádný wifi router nebude - NATování a DHCP pro byty by se mělo dělat už na Mikrotiku a zákazník, který se píchne v bytě do zásuvky to bude mít stejné, jako by se jinak normálně píchl do svého routeru. V cestě mezi mikrotikem a koncovou zásuvkou bude switch, který může zajistit samostatnou VLANu pro každý z bytů.

Tzn. potřebuju na routeru nastavit, aby každý z bytů byl za svým NATem a navenek by měl každý byt jednu IP adresu, které můžu na centrálním shapingu přidělit rychlost. Jinými slovy, aby hlavní router v bytovce převzal na sebe ještě roli domácích routerů. Jak na to?

ludvik

místo MASQUARADE se nauč SNAT

Ale co tě k tomu vede? Já bych to jako obyvatel bytu nesnesl, abych byl takto závislý na někom třetím.

darklogic

Vede mě k tomu to, že majitel domu nechal do bytů namontovat více datových zásuvek, všechny jsou zakončeny v centrálním RACKu. Chci, aby byly funkční všechny a když se do kterékoliv z těch, co má v bytě, uživatel připojí, bude mít svou domácí síť.

darklogic

Jak konrétně mi má SNAT pomoc?

mirek_k

Pomůže v tom, že oproti maškarádě umí definovat odesílající IP adresu.

/ip firewall nat

add action=src-nat chain=srcnat src-address=192.168.1.0/24 to-addresses=\

192.168.201.161

add action=src-nat chain=srcnat src-address=192.168.2.0/24 to-addresses=\

192.168.201.162

add action=src-nat chain=srcnat src-address=192.168.3.0/24 to-addresses=\

192.168.201.163

add action=src-nat chain=srcnat src-address=192.168.4.0/24 to-addresses=\

192.168.201.164

add action=src-nat chain=srcnat src-address=192.168.5.0/24 to-addresses=\

192.168.201.165

add action=src-nat chain=srcnat src-address=192.168.6.0/24 to-addresses=\

192.168.201.166

add action=src-nat chain=srcnat src-address=192.168.7.0/24 to-addresses=\

192.168.201.167

pgb

Hlavně prosím nepřidávejte hromady IP adres na ten router s natem. Udělej srcnat na konkrétní adresu a pro správný příchozí provoz vytvoř v síti routu s natovanými IP která bude říkat že dané adresy se nachází na tomhle routeru.

darklogic

Princip SNAT je mi jasný, ale není mi jasné, jak ten router celkově nakonfigurovat. Řekněmě, že eth1 bude sloužit jako WAN pro připojení do páteřní sítě, takže přidělím adresu z páteře třeba 10.0.0.10. Přes WAN by se mělo routovat do LAN (eth2), kde pro bytovku budu mít rozsah 10.0.10.0/24 a každý byt by měl mít jednu adresu z toho rozsahu, takže byt č. 1 bude mít třeba 10.0.10.101. No a tuhletu adresu bych rád NAToval tak, že pak uživatel v bytě bude mít pro sebe rozsah třeba 192.168.1.0/24.

Takže na eth1 dám 10.0.0.10. Na eth2 vytvořím pro každý byt vlastní VLAN interface, kde bude rozsah 192.168.1.0/24. Ale kde bude rozsah 10.0.10.0/24?

hapi

Hlavně prosím nepřidávejte hromady IP adres na ten router s natem. Udělej srcnat na konkrétní adresu a pro správný příchozí provoz vytvoř v síti routu s natovanými IP která bude říkat že dané adresy se nachází na tomhle routeru.

proč?

pgb

Nikde, bude to fungovat na základě natu - connection tracking. Odchozí provoz z bytu se natuje za např 10.0.10.15 .... Příchozí provoz z netu s cílovou IP 10.0.10.15 díky routě dorazí na router, podívá se do connection tracking a pošle jo na správnou adresu.

Pro byty nepoužívej tak velké a obecné rozsahy, tluče se to s defaulní konfigurací domácích wifin. Použij na jednotlivé vlany třeba 192.168.18.0/27 atd...... Ne 192.168.0/1/2/3.xxc

pgb

Hlavně prosím nepřidávejte hromady IP adres na ten router s natem. Udělej srcnat na konkrétní adresu a pro správný příchozí provoz vytvoř v síti routu s natovanými IP která bude říkat že dané adresy se nachází na tomhle routeru.

proč?

Pokud tam bude mít rouru tak je to zbytečná konfigurace a protože amatéři mívají tendence tam pak davat třeba 20x IP/24 na jeden interface (stejnou podsíť a nepoužijí /32 a i tak s rourou je to zbytečné)

hapi

heh, právě si sem napsal všechno od čeho jsme před lety odešly protože to jenom komplikuje život. Nicméně bych řek že je spíš důležitá situace sítě a pak použít řešení. My třeba pokud je to barák pro X lidí tak dáváme 172.16.x/24 pro každou lanku k zákazníkovy a src-nat zařídí překlad na správnou pro nás IP jako pro "netový ipčko" klienta. /24 jednoduše proto protože se s tim líp dělá a 172.16.x.x máme pro tohle vyhrazený.

pgb

dyť je to úplně to stejné ..... a shodneme se, jestli použije /27 nebo /24 je o tom jak umí dobře a rychle počítat .... žádný problém

použití 172.16.x.x /24 je maximálně v pořádku, hlavně aby nedocházelo ke kolizi a je to vesměs jedno ... sloužilo to jako příklad

důležitá byla ta informace o routě a vysvětlení jak to funguje

edit: to doporučení nepoužívat 192.168.0/1/2 je tam z důvodu, že to bývají defaultní ip na lan straně routerů .... proto jsem to posadil výše .....

rsaf

Pokud jsou bytů řádově jednotky tak taky raději nasázím více IP adres na WAN port než abych dělal nějakou routu... a to z mnoha důvodů:

- nemusím přidávat routu (v našem případě je to nějaký větší router na optice a tam prostě každý technik jen tak neleze)

- nemusím v evidenci zakládat další subnet, který vlastně ve finále ani subnet není, ale v podstatě se mi to tváří jako X klientů na jednom AP

- IP adresu jde PINGnout, stejně jako ve všech ostatních případech u nás, takže to nemate techniky při rychlé první diagnostice (mj. pingnout na adresu klienta umí i asistentka)

- je třeba u toho přemýšlet a na mikrotiku na bytovce přidat i routu do blackhole na celý naroutovaný subnet aby se předešlo "ping pongu", ke kterému jinak dojde třeba i v případě, že se objeví nějaké zbloudilé packety pro které už nebude v conntrack záznam... Ledaže bych tam routoval /32 ale to stejný problém vznikne někde jinde anebo si do OSPF úplně zbytečně vypropaguju mraky prefixů.

pgb

Ano, pro pár lidí je to jiné nežli pro 40. Blackhole je důležitá připomínka, když ji u většího paneláku spojíš s dynamickým směrováním tak je ta propagace vyřešená (o blbosti propagace /32 ani neuvažuji) Ten ping na /32 na gw je taková dost klamavá diagnostika spíš ke zmatení :)

Prostě tazatel dostal inspiraci, možností je vicero a je fajn je zvolit dle situace tak tu nebudeme tlačit, že pouze jeho varianta je správná.

iTomB

Nastuduj si DHCP option 82 ;)

rsaf

pgb: i účetní ví, že když koukne do evidence a má tam u zákazníka jen jednu IP adresu, musí jí pingnout. Pak musí ještě pingnout ve stejném Cčku .1. Pokud má zákazník uvedenou i IP zařízení, zkouší PINGat vše. Je to alesoň nějaká diagnostika...

iTomB: option 82 v kombinaci s DHCP snoopingem a ARP inspection je fajn, je to ale dost složité na implementaci a pokud se nemýlím, Mikrotik podle tohoto option neumí adresy přidělovat. Na FTTB síti kde jsou stovky zákazníků na desítkách switchů je to určitě dobrý nápad, pro jednu bytovku bych se s tím ale nebabral.

Pokud má zákazník v bytě více zásuvek a všechny končí v centrálním racku pro celý dům, přijde mi VLANa a samostatný NAT pro každý byt jako vcelku dobré řešení.

Pokud jsou tam jenom jednozásuvky a stačí 100Mbit tak bych ještě uvažoval o tom, že internet pošlu po jednom UTP do bytu do routeru (po 2 párech) a po dalších 2 párech pošlu zákazníkovu LAN zpátky do RACKu, kde mu do switche (do VLANy) zapojím všechny jeho ostatní zásuvky.

iTomB

Co do toho motas mikrotika?

Jednou jsem zprovoznil a ted jen dam switch a mam vyreseno ... nemusim na nem nastavovat 20 VLAN, na mikrotiku 20x IP, 20x DHCP, 20x NAT, ....

Jen si na serveru zkopiruju konfigurak, zmenim v nem IP a 2 dalsi promenne a pridam do DHCP serveru a hotovo ...

A implementace, kdyz vis jak na to, je hodne jednoducha ... switch nastavis cca do minuty a server taky +- ...

rsaf

Co ty tady taháš nějaký (asi linuxový) DHCP server? Vypadá to, že tazatel dělá takovou věc poprvé a nebude jich mít desítky, takže nejspíše ten DHCP server ani nemá. Kvůli pár lidem v bytovkách bude vyrábět virtuálku (pokud vůbec má na čem), leta ji udržovat... Zprovozňoval jsem to na Ciscu a Hua GPON a první zprovoznění rozhodně není na pár minut. U Cisca se musí "vyzkoumat" co za čísla přijdou pro který port (pokud se nepletu tam tak chodí IfIndex a zdaleka není pravidlem, že port 1 má IfIndex=1.

Jak je v tom tvém řešení zajištěno, aby si lidi nelezli vzájemně do domácí LAN?

iTomB

Co ty tady taháš nějaký (asi linuxový) DHCP server? Vypadá to, že tazatel dělá takovou věc poprvé a nebude jich mít desítky, takže nejspíše ten DHCP server ani nemá. Kvůli pár lidem v bytovkách bude vyrábět virtuálku (pokud vůbec má na čem), leta ji udržovat... Zprovozňoval jsem to na Ciscu a Hua GPON a první zprovoznění rozhodně není na pár minut. U Cisca se musí "vyzkoumat" co za čísla přijdou pro který port (pokud se nepletu tam tak chodí IfIndex a zdaleka není pravidlem, že port 1 má IfIndex=1.

Jak je v tom tvém řešení zajištěno, aby si lidi nelezli vzájemně do domácí LAN?

Nainstalovat maly linux server by mohl zvladnout a k tomu DHCP server taky ...

A jak je to omezene? staci omezeni mezi portama ci pridat IP Source Guard...

Si porovnej, kolik informaci nastavujes napriklad na 24 portovem switchi ...

Jednotlive VLANy:

24x IP

24x DHCP

24x DHCP network

24x IP pool

24x WAN IP

24x NAT

24x VLANu na switchi

24x VLANu na porty

+ pravidla, aby si lidi nelezli do domaci LAN ...

Pri DHCP a 24 portech:

1x VLANu na switchi (pokud na pateri, tak jeste cestou)

1x IP adresu

1x DHCP na VLANe

1x DHCP snooping

1x omezeni mezi portama (coz zalezi na switchi, zda je to klikacka nebo napises uplink 25 down 1-24)

1x soubor na serveru pro DHCP - zkopirovat, zmenit VLANu, className, IP, coz se da najdi a nahrad

1x pridani radku do DHCP konfigurace

1x reload DHCP serveru

+ 2 pravidla pro zamezeni domaci LAN vuci ostatnim

Na serveru si muze udelat maly WWW server, SMTP, DNS, ....

Mno a nevim co sem cpes HUA a Cisco ... to on asi nasazovat na te bytovce nebude ...

Me to trva cca 10minut, nastavit mikrotika jako prijimac, udelat routovani v siti, nastavit switch, DHCP a vse co je potrebne ...

pgb

Oki, takovýhle setup využívám třeba ve školních třídách. Prosím o inspiraci jak v tomhle chceš rozlišovat zákazníky? Per port to nejde, per IP taky ne a DHCP jim chceš pustit a neudržovat seznam mac adres

Další stránka »