Nasazení veřejné IP ve vnitřní síti

ladap

u nas v siti verejky take NATuji 1, pouzivame v3.13 a funguje to jak ma

staci jednoduche pravidlo

/ip firewall nat

add action=netmap chain=dstnat comment="NAT 1:1 - Klient xy" disabled=no dst-address=verejnaIP to-addresses=IPklienta

add action=netmap chain=srcnat comment="" disabled=no src-address=IPklienta to-addresses=verejnaIP

ted uz jen musis presvedcit zakaznika aby si nepral IP "primo" ve svem PC ;)

mafia

Já myslím, že nejschůdnější řešení je bez NATu. Od poskytovatele mám přidělený rozsah veřejných dejme tomu 85.193.57.0/24 a zároveň má klientská IP adresa, přidělená poskytovatelem je 85.193.24.242. Takže poskytovatel naroutuje ten rozsah 85.193.57.0/24 na tu klientskou "spojovačku" (85.193.24.242). Pak do mikrotiku nastavím jednu adresu z toho veřejného rozsahu, kterou chci mít jako bránu, třeba 85.193.57.1 a dám ji jako IP adresu na vnitřní eth rozhraní na svojí IGW (na vnější eth pak bude ta spojovačka od poskytovatele). Klienti pak mohou používat kteroukoli další z veřejného rozsahu a z venku už to zařídí ta spojovačka. Klient má v PC třeba 85.193.57.100 a už na serveru poskytovatele je daný, že pro tuhle adresu musí na tu spojovačku 85.193.24.242. Mikrotik přijme požadavek a už ví, kam do směrovat dál. A výsledek je ten, že můj zákazník má veřejnou nastavenou až ve svém koncovém zařízení. Ten NAT 1 mi připadá dost těžkopádný.

reset

Já myslím, že nejschůdnější řešení je bez NATu. Od poskytovatele mám přidělený rozsah veřejných dejme tomu 85.193.57.0/24 a zároveň má klientská IP adresa, přidělená poskytovatelem je 85.193.24.242. Takže poskytovatel naroutuje ten rozsah 85.193.57.0/24 na tu klientskou "spojovačku" (85.193.24.242). Pak do mikrotiku nastavím jednu adresu z toho veřejného rozsahu, kterou chci mít jako bránu, třeba 85.193.57.1 a dám ji jako IP adresu na vnitřní eth rozhraní na svojí IGW (na vnější eth pak bude ta spojovačka od poskytovatele). Klienti pak mohou používat kteroukoli další z veřejného rozsahu a z venku už to zařídí ta spojovačka. Klient má v PC třeba 85.193.57.100 a už na serveru poskytovatele je daný, že pro tuhle adresu musí na tu spojovačku 85.193.24.242. Mikrotik přijme požadavek a už ví, kam do směrovat dál. A výsledek je ten, že můj zákazník má veřejnou nastavenou až ve svém koncovém zařízení. Ten NAT 1 mi připadá dost těžkopádný.

ja tomuhle zase rikam plytvani verejnymi ip adresami

soooc

Já myslím, že nejschůdnější řešení je bez NATu. Od poskytovatele mám přidělený rozsah veřejných dejme tomu 85.193.57.0/24 a zároveň má klientská IP adresa, přidělená poskytovatelem je 85.193.24.242. Takže poskytovatel naroutuje ten rozsah 85.193.57.0/24 na tu klientskou "spojovačku" (85.193.24.242). Pak do mikrotiku nastavím jednu adresu z toho veřejného rozsahu, kterou chci mít jako bránu, třeba 85.193.57.1 a dám ji jako IP adresu na vnitřní eth rozhraní na svojí IGW (na vnější eth pak bude ta spojovačka od poskytovatele). Klienti pak mohou používat kteroukoli další z veřejného rozsahu a z venku už to zařídí ta spojovačka. Klient má v PC třeba 85.193.57.100 a už na serveru poskytovatele je daný, že pro tuhle adresu musí na tu spojovačku 85.193.24.242. Mikrotik přijme požadavek a už ví, kam do směrovat dál. A výsledek je ten, že můj zákazník má veřejnou nastavenou až ve svém koncovém zařízení. Ten NAT 1 mi připadá dost těžkopádný.

A presne kvuli tomuhle nam dochazi IP adresy :)

mafia

Plýtvání?? V čem vidíte to plýtvání? Mám rozsah 254 IP adres, z nichz jednu pouziju pro branu a zbytek mezi zákazníky, kteří si o to reknou, pripadne na mista, kde to je z nejakeho duvodu potreba. Plytvani je dle meho nazoru rozsekani toho /24 rozsahu na x mensich, treba /29. To pak spousta adres padne na network, broadcast a gw...

drakk

To by me zajimalo jestli ve sve siti routujes nebo mas vse v bridgi...

mafia

Jak kdy, pokud je sit routovana, tak se samozrejme nevyhnu mensim subnetum (/28, /29). Me by zajimalo, v cem kolegove vidi to plytvani?

soooc

Jak kdy, pokud je sit routovana, tak se samozrejme nevyhnu mensim subnetum (/28, /29). Me by zajimalo, v cem kolegove vidi to plytvani?

V tech mensich subnetech :) Setrim to, co ty vyhazes na /28 /29 :)

mafia

Ale vzdyt to jsem presne psal, ze na tech mensich subnetech se plytva adresama ;). Ale kdyz si chytre rozhodis routery, tak to nemusis tolik sekat a pak je to jakz takz ok. Kazdopadne do toho prikladu na zacatku jsem psal, ze treba /24 rozsah se naroutuje na jednu spojovacku ;)

soooc

Ale vzdyt to jsem presne psal, ze na tech mensich subnetech se plytva adresama ;). Ale kdyz si chytre rozhodis routery, tak to nemusis tolik sekat a pak je to jakz takz ok. Kazdopadne do toho prikladu na zacatku jsem psal, ze treba /24 rozsah se naroutuje na jednu spojovacku ;)

S natem 1 zase nemusim vubec nic resit, mam proste balik adres a ty muzu vsechny kdekoli pouzit, nikde mi zadne nemusi lezet ladem, nemusim pouzivat souvisly blok atd.

mafia

A jak je to teda s tim natem? Mas nejaky blok verejek, zakaznikovi das neverejnou a na tu verejnou to prelozis az na IGW, takze skrze vsechny ostatni "podrizeny" dilci routery v siti to musis proroutovat?

dom

A jak je to teda s tim natem? Mas nejaky blok verejek, zakaznikovi das neverejnou a na tu verejnou to prelozis az na IGW, takze skrze vsechny ostatni "podrizeny" dilci routery v siti to musis proroutovat?

Ano poroutujes to vnitrnimi neverejnymi adresami v siti.TZN: zadna ztráta verejne IP a na brane se to 1 prelozi

Ted pokud k zakaznikovi nasazuju mikrotik klienta tak delam Eoip tunel kde se spotrebuje pouze jedna IP v pripade IP tunelu 2IP takze porad to setri vice ip nez v pripade naroutovani verejnych na vsechny body smerem k zakaznikovi.

Lze to resit i VLANy ale vsechny paterni body vcetne koncovych bodu musi byt na L2 vrstve coz je trochu krkolomne ale jde to tez.

« Předchozí stránka