+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

One to Many NAT?

One to Many NAT?, RouterOS

takoateli

Guest

27.08.2012 11:17:00

У меня есть локация, где мой провайдер дает 5 публичных IP-адресов. Изначально я использовал только один из этих публичных IP-адресов и адресное пространство 192.168.x.x/24 для моей локальной сети с правилом маскирования для всех пользователей. Возникла необходимость перевести трафик некоторых пользователей на один из других доступных мне публичных IP-адресов. Сейчас я использую one-to-one NAT для одного из пользователей, добавил еще один IP-адрес к порту, обращенному к сети (ether1-gateway), и добавил правила one-to-one NAT, а именно dst-nat и src-nat. Возможно ли изменить эти правила, используя адресные диапазоны вместо одного адреса, чтобы несколько пользователей могли использовать этот другой публичный IP-адрес? Можно ли взять эти правила ниже, которые я сейчас использую, и вместо одного адреса 192.168.7.70 изменить правила, чтобы они использовали диапазон адресов или список адресов?
add action=src-nat chain=srcnat disabled=yes src-address=192.168.7.70 to-addresses=100.42.x.x
add action=dst-nat chain=dstnat disabled=yes dst-address=100.42.x.x to-addresses=192.168.7.70

SurferTim Guest	#2 0 27.08.2012 11:53:00 Конечно, можно использовать разные адреса. Я пока не пробовал функцию списка адресов. /ip firewall nat add action=src-nat chain=srcnat src-address=192.168.7.0/24 to-addresses=100.42.x.x

takoateli

Guest

27.08.2012 13:52:00

Круто. Запущу и попробую. Сообщу, как заработает. Это на системе, к которой я удаленно подключаюсь в Амазонской сельве по спутниковой связи, так что я не такой уж и авантюрист, чем был бы, если бы был рядом. Поэтому и решил спросить на форуме. Спасибо за помощь! Greg.

Feklar

Guest

27.08.2012 16:45:00

Использовать диапазон в srcnat как это, возможно, но это приводит к большому количеству обрыванных соединений. Кажется, оно случайным образом выбирает, какой IP-адрес использовать для NAT нового соединения, и из-за этого может ломать кучу сайтов. Лучше бы, наверное, покопаться в PCC firewall matcher и выбрать src-адрес как тот, что ему передают.

takoateli Guest	#5 0 27.08.2012 17:00:00 Спасибо! Отличная информация! Придется разобраться с PCC firewall matcher. Грэг

Chupaka Guest	#6 0 27.08.2012 23:56:00 Ну, тогда стоит посмотреть на ‘action=same’ – он может использовать один и тот же NAT-адрес как для пар ‘src-ip:dst-ip’, так и просто для src-ip – как PCC.

takoateli Guest	#7 0 28.08.2012 00:58:00 Спасибо, что направил меня в нужное русло!!! Greg

Feklar Guest	#8 0 28.08.2012 13:15:00 Спасибо, я не знал, придется попробовать и посмотреть, как это работает. Другой метод, который мы использовали, — Netmap, и он хорошо работает, но нужно, чтобы ему передавали полный подсеть.

takoateli

Guest

28.08.2012 15:05:00

Спасибо, просто хочу убедиться, что я правильно понимаю. Я хочу вывести 10 устройств в локальную сеть (RFC1918 адресное пространство) через отдельный публичный IP-адрес. Мне кажется, что "same" используется, когда у вас есть пул публичных IP-адресов, и вы хотите, чтобы клиент всегда выходил через один и тот же публичный IP-адрес. Я не хочу давать роутеру диапазон публичных IP-адресов и позволять ему выбирать, какой использовать. Я хочу перенаправлять определенных пользователей через определенный публичный IP-адрес. Если я буду использовать "same", я смогу что-то вроде этого? add action=same chain=srcnat disabled=yes src-address=192.168.7.70-192.168.7.79 to-addresses=100.42.x.x add action=same chain=dstnat disabled=yes dst-address=100.42.x.x to-addresses=192.168.7.70-192.168.7.79 Спасибо! Greg

takoateli

Guest

#10

28.08.2012 16:24:00

Ребята, кажется, я сам ответил на свой вопрос. Взял информацию, которую вы мне дали, почитал, и понял, что мне нужны только src-nat правила, так как я не пытаюсь добавить возможность подключения к серверам/устройствам извне. Ввел src-nat правила с диапазонами адресов, и все работает как надо: трафик движется, группы IP-адресов выходят через разные публичные IP, как я и хотел. Что-то не так с таким подходом? Похоже, что в работе src-nat и masquerade - одно и то же, ну, кроме того, что masquerade использует интерфейс и IP-адрес, привязанный к нему, а src-nat требует конкретный, настроенный вручную IP-адрес. Greg

Rockyboa

Guest

#11

10.09.2012 19:56:00

Это интересная тема про NATting. Я тоже пытаюсь добиться практически того же, и чтобы убедиться, что я правильно понимаю, вот что я знаю по этому вопросу: masquerade – это правило src-nat, которое автоматически использует назначенный IP-адрес назначения исходящего интерфейса src-nat: 1:1 Nat из частного в публичный IP. Также используется для решения hairpin. Также полезно при 1:1 NAT. Не рекомендуется для нескольких частных IP-адресов к одному публичному из-за множества подключений, использующих один и тот же публичный IP (объяснения Feklar о прерванных подключениях). same – то же самое, что и masquerade, но когда у вас есть несколько частных подключений, обращающихся к одному и тому же публичному IP. netmap: заменяет в одном шаге правила dst-nat и src-nat для диапазона публичных IP-адресов в диапазон частных IP-адресов и наоборот. 1:1 NAT. Я бы хотел больше объяснений по поводу src-nat с прерванными подключениями, когда несколько подключений и IP используют одно и то же правило. Это, возможно, объяснит проблему, с которой я сталкиваюсь уже долгое время. Мартин.

takoateli Guest	#12 0 11.09.2012 11:13:00 Мартин, я не уверен, почему люди говорят, что Src NAT для нескольких LAN-IP к одному публичному IP ломает соединения. Это происходит, когда используешь Masquerade, что и делают все потребительские роутеры (и Mikrotiki, которые поставляются с предустановками) "из коробки", если не отключить. Src NAT — это всё, что тебе нужно. Не делай Dst NAT, если нет необходимости в том, чтобы кто-то вне твоей сети (кто-то со стороны Интернета) инициировал соединения. Если ты делаешь Dst NAT, тебе нужно 1:1, нельзя Dst NAT один публичный IP к нескольким LAN-IP. Не уверен, что произойдет, если ты 1:1 NAT-ишь все порты на публичном IP и при этом делаешь Src NAT или Masquerade через тот же публичный IP. Думаю, соединение, инициированное с LAN-стороны, получит входящий трафик от соединения со стороны Интернета, отслеживаемый (не Dst NAT’ed), но соединения, инициированные снаружи, будут Dst NAT’ed. Кто-нибудь из экспертов хочет высказаться? Я делаю Src NAT для нескольких LAN-IP к одному публичному IP для трех групп людей, каждая из которых выходит в свой публичный IP. Также использую Masquerade для четвертой группы людей, выходящих в четвертый публичный IP. Никто не жалуется, и соединения не прерываются. Что именно ты пытаешься сделать? Что-то вроде того, что делаю я? Greg

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры