Provoz na WAN u GW na RouterOS

pepulis

Dobry den,

potrebuju poradit, co delam spatne, popr. jak spravne nastavit mangle.

Na WAN sitovku u GW mam naroutovane verejnou IP a v ip firewall nastavene:

add action=src-nat chain=srcnat out-interface=WAN src-address=192.168.103.0/24 to-addresses=217.x.x.x

Kdyz se podivam do torchu, tak je tam videt provoz z vnitrni ip adresy (klient) na tu verejnou ip 217.x.x.x (UDP)

Co to presne znamena ten provoz v torchu? Tu verejnou ip adresu nemam fyzicky nastavenou na WAN sitovce. Mozna je to z me strany zacatecnicka otazka, ale nevim, zda mam omanglovat provoz i na vsechny verejne ip co mam a nastavit tomu nejakou rychlost.

Vysvetli mi to prosim nekdo?
Dekuju.

pepulis

Zde je videt provoz jednoho z klientu, kde radek s sipkou je provoz na ver. IP, kterou mam naroutovanou na WAN GW.

Mam neco na ten WAN strane blokovat?

hapi

pepulis že ty tam máš tzv. harpin nat, že? podle torchu to vypadá že zákazník s ip adresou 192.168.122.202 přistupuje na veřejku 217.x.x.x kde bude nějaký dst-nat forward na jinýho zákazníka a to by fungovalo jenom s doplňkovým pravidlem "harpin nat" protože to jinak rozbije cestu a spojení se nenaváže.

Na routeru ip adresa být nemusí, v pravidle si můžeš napsat jakoukoliv a on jí v paketu přepíše a je mu to úplně jedno. Stejně jako při psaní dst-nat pravidla do to-address taky píšeš ip adresu kterou ten router na sobě nemá. U src-nat to je stejný.

Problém nezapsaný IP adresy nebo že nikde není aspoň jiná IP adresa ze stejného subnetu je v tom, že pokud nebude mít taková adresa dst-nat na nějakou jinou adresu aby to někam router poslal tak bordel z netu co na ní sem tam půjde bude tvůj router otáčet zpět k tvému dodavateli konektivity protože tvůj router jí nemá v routovací tabulce a tak to pošle default routou do netu a tvůj dodavatel má zase v routovací tabulce že ty ipčka jsou u tebe a tak dokola. Takhle si každý paket budete mezi sebou točit dokud mu nevyprší TTL. Dokáže to dělat velké peaky v konektivitě.

pepulis

@zdeneksvarc#303458 Ano, dobre to chapu a tak nejak jsem si to myslel. Ma tedy smysl nejak manglovat provoz na tyto ver. ip adresy, ktere v realu nejsou na WAN iface nastaveny, tj. udelat dve pravidla, prvni kde src-address bude vse a dst-address budou ony ver. ip a pak to stejne v opacnem nastaveni?

zdeneksvarc

pepulis Původní příspěvek jsem smazal, že ho lépe naformuluju, ale předběhl jsi mě. Neva. Prostě klienti mají defaultní routu na GW, přičemž GW v rámci svého vnitřního routování zná všechny IP na svých rozhraních, tudíž klientům defaultně zviditelní i IP adresu WAN rozhraní. Tedy jevy na screenshotech jsou standardní chování.

Co se týká doplňujícího dotazu, manglovat pro jaké účely? Pro účely NATování nebo pro účely firewallu?

pepulis

zdeneksvarc Manglovani jen pro ucel rizeni rychlosti, tj. aby me neutikal nejaky provoz a nemel ho podchyceny v QT. Narovinu si myslim, ze to co pisu je blbost, protoze tim, ze fyzicky ta verejna ip adresa neni nikde nastavena, tak na ni "nemuze" byt veden zadny provoz, ktery bych mel ridit, nicmene si nejsem tak uplne jisty, proto se ptam.

zdeneksvarc

pepulis Jasně, pokud jde o provoz mezi lokálními klienty a WAN IP, tak není třeba nic řešit, protože z pohledu routovací politiky se nejedná o forwardovaný provoz vůči upstream providerovi. Opravte mě, pokud se mýlím.

pepulis

Mám to udelane tak, ze vsechny segmenty /24 co mam v siti, mam rozdeleno pod xx ruznych verejnych ip adres, tj. aby pres jednu ver. ip jelo napr. maximalne 50 uzivatelu. Na vsechny /24 segmenty mam tedy udelany srcnat - napr.:

add action=src-nat chain=srcnat out-interface=WAN src-address=192.168.103.0/24 to-addresses=217.A.A.A
add action=src-nat chain=srcnat out-interface=WAN src-address=192.168.140.0/24 to-addresses=217.A.A.B

Toto by mel byt zapis v poradku ne? Dst-nat mam taky, ale to uz jenom na sluzby/kamery, ktere bezi v siti / u zakazniku.

Delam to tedy spatne? Popr. jak ty hapi schovavas zakazniky za ver. ip?

Diky.

hapi

to je správně, já narážel na to když ip nikde není a nemá dst-nat a ještě na něco jinýho ale to je jedno.