Více NATů v routeru

hapi

iTomB to udělal fikaně, všude napsal 1x :-D nicméně to je dobrej příklad toho jak vyzdvihovat jedno řešení. 1x soubor na serveru pro DHCP.. a neni tam náhodou uvnitř 24 položek? Ten script si můžeš lehce pomocí "for" udělal i pro mikrotika.

Vim co je option 82 a to prakticky DHCP relay se značkou a bohužel nevidím v tomhle případě rozdíl mezi 82 a dhcp peer port protože i tak je to "24 dhcp serverů"/"24 konfigurací dhcp serveru" a to ještě jenom v případě že dáváš koncákovy 1 IP adresu pro wan port routeru zákazníka a tedy tu konečnou pro ISPíka. Pokud tam máš víc kabelových vývodů na víc konců jednoho zákazníka tak už zase použiješ na routeru src-nat.

iTomB

iTomB to udělal fikaně, všude napsal 1x :-D nicméně to je dobrej příklad toho jak vyzdvihovat jedno řešení. 1x soubor na serveru pro DHCP.. a neni tam náhodou uvnitř 24 položek? Ten script si můžeš lehce pomocí "for" udělal i pro mikrotika.

Vim co je option 82 a to prakticky DHCP relay se značkou a bohužel nevidím v tomhle případě rozdíl mezi 82 a dhcp peer port protože i tak je to "24 dhcp serverů"/"24 konfigurací dhcp serveru" a to ještě jenom v případě že dáváš koncákovy 1 IP adresu pro wan port routeru zákazníka a tedy tu konečnou pro ISPíka. Pokud tam máš víc kabelových vývodů na víc konců jednoho zákazníka tak už zase použiješ na routeru src-nat.

Pro kazdej switch mam jeden soubor, ktery je pomoci include vlozen do hlavniho konfiguracniho souboru DHCP serveru (coz jsem tam i psal).

Takze ano, zkopiruju si nejaky soubor, v nem dam najit a nahradit (neprepisuju 24 polozek ... ale dam jen nahradit).

Na zakaznika vetsinou davam /28, ale muzes to rozrezat jak chces a zakaznika identifikuju jako /28 atd. ..

Rozdil je v tom, ze cela bytovka sdili jednu /24, pokud je to panelak a je potreba vice, tak treba 2x /24.

DHCP server prideluje dany pool dle portu.

iTomB

Oki, takovýhle setup využívám třeba ve školních třídách. Prosím o inspiraci jak v tomhle chceš rozlišovat zákazníky? Per port to nejde, per IP taky ne a DHCP jim chceš pustit a neudržovat seznam mac adres

Prave ze per port to jde ;) A nepotrebuju udrzovat seznam MAC adres, proste zalezi z jakeho portu to doleze, tak dle toho dostane IP z jeho poolu a hotovo ...

Z cehoz vychazi, ze takovy setup nepouzivas. Mas tam nastaven DHCP option 82? a na zaklade toho nastaven DHCP server? Ne mas tam obyc switch a zakladni DHCP server ...

iTomB

Oki, takovýhle setup využívám třeba ve školních třídách. Prosím o inspiraci jak v tomhle chceš rozlišovat zákazníky? Per port to nejde, per IP taky ne a DHCP jim chceš pustit a neudržovat seznam mac adres

Treba si to projdi tady

circuit-id obsahuje VLANu, port, stack ....

remote-id obsahuje v zakladu MAC switche, ale da se zmenit na nazev atd. ...

pgb

Oki, takovýhle setup využívám třeba ve školních třídách. Prosím o inspiraci jak v tomhle chceš rozlišovat zákazníky? Per port to nejde, per IP taky ne a DHCP jim chceš pustit a neudržovat seznam mac adres

Prave ze per port to jde ;) A nepotrebuju udrzovat seznam MAC adres, proste zalezi z jakeho portu to doleze, tak dle toho dostane IP z jeho poolu a hotovo ...

Z cehoz vychazi, ze takovy setup nepouzivas. Mas tam nastaven DHCP option 82? a na zaklade toho nastaven DHCP server? Ne mas tam obyc switch a zakladni DHCP server ...

Nemám stejný, ale podobný :)

Mám tam switch na kterým definuji politiku portu, skupiny, uplink port a dhcp snooping, vlany pouze přívodní pro definované skupiny portů, izolace mezi porty a jeden/dva dhcp servery. Velké bytovky nevedu a nikdy vzhledem k mé lokalitě mít nebudu. Počítat dat a dělat qos per pooly je další krok který tomu přidává další spoustu konfigurace a hapi to napsal dobře o tom kopírování ...... to snad nebylo předmětem otázky. Kopírovat/vytvořit si skripty umím taky a pokud to někdo nedělá, přidává si práci sám sobě. Nicméně děkuji za inspiraci, ten option 82 si projdu a vylepším si vzdělání. Celé tohle super dhcp op. 82 řešení musí být ale někde zakončeno a to je v případě většiny místního osazenstva to je v mikrotiku, kde nakonec stejně musí mít ten qos nějak nasazený, nebo shapovat v linuxu a zase si skriptovat qos .........

iTomB

Staci aby to koncilo na DHCP co to podporuje, takze pres DHCP relay to tam dostanes ...

QoS muzes resit kde chces a jak chces, misto a.b.c.d/32 pouzijes e.f.g.h/28 napriklad.

Takze jak jsi psal, pocitani dat ci QoS je uplne stejne, jen misto jedne adresy, pouzijes pool :-) To umi jak mikrotik, tak Linux.

To je cele ;)

rsaf

Pokud mám FTTB síť, paneláky s desítkama lidí takže se mi tam vyplatí dát solidní switche, jedna zásuvka v každém bytě... je option82 skvělá věc. Do CRM si k zákazníkovi napíšu číslo portu a přidělím IP adresu, na základě těchto dat vygeneruju (automaticky) konfigurák pro DHCP server a (automaticky) ho naliju na server. Je potřeba tam dát poměrně krátké časy přidělení adresy (aby to nedělalo velké problémy, když zákazník vymění svůj router), na switchi je potřeba mít věci jako DHCP snooping a ARP inspection... a zákazník proste vždy dostane stejnou IP adresu - na základě portu do kterého je fyzicky připojen (to si sám asi nepřehodí), zároveň ho to samo omezí na jediné připojené zařízení (má tam mít router).

Pro tři malé bytovky kde mi stačí dát nejlevnější TPLINK s VLANama bych se s tím ale fakt nedrbal.

iTomB

Pro tři malé bytovky kde mi stačí dát nejlevnější TPLINK s VLANama bych se s tím ale fakt nedrbal.

Pro me by to bylo vic prace delat to jinak A i ten TPLINK s VLANama to umi, jen me se kousali, takze sli do prcic (starsi rada jetstream) ...

jenya

Je tam ten NAT opravdu nutny? Vzdyt ho delas stejne jeste na shaperu, nebo jinem stroji predpokladam. Na kazdou VLANu bych dal DHCP s jinym rozsahem, pocet IP podle gusta treba /24 a mel bych vymalovano. A pochopitelne pridal sumarni routu s pouzitymi rozsahy.

hapi

a jde vůbec třeba na bridgovaný hap lite nastavit aby přes sebe přidávala option 82?

rsaf

a jde vůbec třeba na bridgovaný hap lite nastavit aby přes sebe přidávala option 82?

Pokud to neumí, tak je to šmejd ;-)

Myslím si, že se zde stále zapomíná na to, že tam má být Xkrát zákaznická LAN - v bytech je více zásuvek, někteří zákazníci tam klidně mohou mít připojeno více věcí vč. NAS, tiskárny... takže tam prostě samostatný NAT + VLANa pro zákazníka patří.

Bude záležet na vztahu ISP - majitel - nájemníci, jako ISP bych to ale viděl asi takto:

1) připojuji v bytě jednu zásuvku kde si zákazník dá router a nezájem

2) když někdo bude chtít další zásuvku, "rozpletu" ten přívodní kabel (takže jen 100MBit), v RACKu propojím s druhou zásuvkou - stále je jen zákazníkův router, žádná konfigurace navíc a živá další zásuvka v bytě

3) při požadavku na více zásuvek bych asi přidal switch s vlanou pro daného zákazníka - a nechal bych ho alespoň z části zaplatit

iTomB

a jde vůbec třeba na bridgovaný hap lite nastavit aby přes sebe přidávala option 82?

Ted si asi nerozumim, nevim zda je to ranem, ci jak ...

Kde je ten hap?

I kdyz v zakladu, nemel by na to vubec sahat, pokud tam neni zaply DHCP server ci relay. Pripadne FW.

iTomB

Pokud to neumí, tak je to šmejd ;-)

Myslím si, že se zde stále zapomíná na to, že tam má být Xkrát zákaznická LAN - v bytech je více zásuvek, někteří zákazníci tam klidně mohou mít připojeno více věcí vč. NAS, tiskárny... takže tam prostě samostatný NAT + VLANa pro zákazníka patří.

Bude záležet na vztahu ISP - majitel - nájemníci, jako ISP bych to ale viděl asi takto:

1) připojuji v bytě jednu zásuvku kde si zákazník dá router a nezájem

2) když někdo bude chtít další zásuvku, "rozpletu" ten přívodní kabel (takže jen 100MBit), v RACKu propojím s druhou zásuvkou - stále je jen zákazníkův router, žádná konfigurace navíc a živá další zásuvka v bytě

3) při požadavku na více zásuvek bych asi přidal switch s vlanou pro daného zákazníka - a nechal bych ho alespoň z části zaplatit

Spis jsi asi nepochopil hapiho. Jinak i s option 82 lze dat zakaznikovi vice portu a porad jeden pool.

Druhy switch neni potreba, staci vhodne nastavit ten stavajici (pokud staci porty), nebo jen upravit konfiguraci DHCP serveru.

Az bude vice IPv6, tak ten vas NAT bude na 2 veci ... Pokud si tam zakaznik zapoji obyc router v NATU a nebude umet IPv6, tak ji proste nebude moci pouzivat.

Pokud router bude v bridge rezimu, tak projde zakaznikovi IPv6 vsude.

rsaf

Heh teď jsi si sám naběhl. Můžeš mi vysvětlit, jak bude fungovat option 82 na při bezstavové konfiguraci IPv6? Pokud bude mít zákazník router s rozumnou podporou IPv6, přidělí se mu prefix z DHCPv6 severu pomocí prefix delegation (zde by teoreticky něco jako option 82 zafungovat mohlo), pokud tam bude mikrotik s XxNATem, dokonfigurují se ty LANky ručně.

Snad nikdo neplánuje mít doma nefirewallovanou IPv6 konektivitu! Dnes tam byl trošku jako security NAT, na IPv6 se běžně z WAN povoluje jen established,related...

iTomB

No odhaduju, ze pres 95% ani nevi o nejake IPv6, takze to budes stejne resit centralne ...

Ten kdo vi, tak si stejne poridi router s podporou IPv6 a u nej to vypnes, at si to poresi sam ...

rsaf

Jakože od všech zákazníků budu mít nějaký L2 bridge někam na svůj router? Tak to asi ne, nejsem variot. Již dnes dávám zákazníkům routery, které IPv6 podporují (Mikrotik nebo Tomato), u domáností budu podporovat jen a pouze prefix delegation. Kdo bude mít vlastní router který to neumí anebo to nebude umět nastavit (zadarmo cizí routery nastavovat nebudu), zůstane mu jen IPv4 - až bude 6tku potřebovat, ozve se.

iTomB

Jakože od všech zákazníků budu mít nějaký L2 bridge někam na svůj router? Tak to asi ne, nejsem variot. Již dnes dávám zákazníkům routery, které IPv6 podporují (Mikrotik nebo Tomato), u domáností budu podporovat jen a pouze prefix delegation. Kdo bude mít vlastní router který to neumí anebo to nebude umět nastavit (zadarmo cizí routery nastavovat nebudu), zůstane mu jen IPv4 - až bude 6tku potřebovat, ozve se.

A jakej je technicky rozdil L2 bridge a ze je za NATem? On se stejne v zakladu dostane na stejne misto ...

myghael

...

Snad nikdo neplánuje mít doma nefirewallovanou IPv6 konektivitu! Dnes tam byl trošku jako security NAT, na IPv6 se běžně z WAN povoluje jen established,related...

Snad nikdo nemá doma nefirewallovanou žádnou konektivitu, ať už IPv4 nebo IPv6. Jenom NAT ti té bezpečnosti moc neudělá, firewall je i na IPv4 NUTNOST! Jo, dual-stack je opruz v tom, že musíš nastavovat dva separátní firewally, ale i tak je to v běžných případech celkem tak 10 max. 20 pravidel, která jsou stejně u všech stejná a nejčastěji generovaná automaticky.

S rozhodnutím podporovat jen jeden typ konfigurace IPv6 naprostý souhlas. K tomu nejspíše dospěje každý, kdo nastavoval zákazníkům routery typu "Dong-feng" a jinou "kvalitu" za "šotópade".

iTomB

S rozhodnutím podporovat jen jeden typ konfigurace IPv6 naprostý souhlas. K tomu nejspíše dospěje každý, kdo nastavoval zákazníkům routery typu "Dong-feng" a jinou "kvalitu" za "šotópade".

A proto pak staci i obyc tplink v L2 bridge nastaveni ;)

rsaf

Takže 100% tvých klientů se spokojí s tím, že L2 segment jejich LAN sítě poleze až kdo ví kde do tvé infrastruktury, že nebudou mít nikdy žádnou šanci provést vlastní nastavení firewallu/dhcp... ?

Já např. v testovacím provzu IPv6 přiděluji na zákazníka prefix /60 přes prefix delegation. Slušný domácí router si pak z toho vezme jednu /64 na LAN a pokud si zákazník doma udělá další síť (veřejnou, technologickou....) tak v tom routeru jde říct index prefixu, který má dané sítí přiřadit. Zákazník tak může mít až 16 "standardních" /64 sítí, kdyby chtěl tak si může doma postavit cokoliv co si vymyslí...

Možná se to zdá moc, ale proč bych to takto nedělal? IPv6 adres je dost, prefix přiděluji na základě "matematiky" podle ID zákazníka v systému (určitá část adresy je ID zákazníka) a vím, že nikdy v dohledné budoucnosti nebudu u žádného z svých zákazníků řešit nedostatek adres, jak tam "vyjímkou" dostat další nebo větší prefix...

Ale to jsme trošku utekli od původního téma multiNATu

« Předchozí stránka Další stránka »