Соединение двух Hex POE или S через оптику

Привет, ребята, просто хотел сказать "спасибо". Вчера мы всё собрали вместе, и (почти) всё работает, как задумано. Теперь я могу подключиться к каждому устройству в его сети и наоборот. Есть одно исключение: у него есть NAS Synology, до которого я вообще не могу дотянуться. Я смог его пинговать только на несколько секунд после того, как он перезагрузил устройство. У NAS статический IP, и всё, на мой взгляд, выглядит правильно. Мы отключили файрвол и проверили всё вроде как шлюз и так далее. Некоторые источники в интернете говорят, что нужно включить IPv4-forwarding, но это тоже не помогло. Не знаю, нужно ли это на самом деле, ведь у NAS только один IP-адрес и сейчас ничего не маршрутизируется, верно? Ещё один вопрос: мой сосед и я хотим внести в белый список устройства, к которым может подключаться другой. Какое правило фильтрации будет лучшим / самым простым / наиболее эффективным для этого? Заранее спасибо!

Привет, ребята, я только что купил два устройства HEX S и всё настроил, но у меня всё еще есть проблемы с доступом к устройствам за другим роутером. Краткое изложение: у меня и у соседей есть отдельные сети с собственными роутерами/интернет-шлюзами/DHCP и т.п. Наша цель — соединить наши сети через оптику и два HEX S, чтобы каждый из нас мог настраивать брандмауэр и IP-маршруты самостоятельно. Между двумя роутерами находится третья сеть. Мой роутер/сеть: 192.168.0.1/24 Соседский роутер/сеть: 192.168.1.1/24 Мой HEX S подключен по Ethernet и имеет статический адрес 192.168.0.2 Соседский HEX S подключен по Ethernet и имеет статический адрес 192.168.1.2 Оба HEX S подключены через sfp1 и имеют IP-адреса 10.1.1.1 (мой) и 10.1.1.2 (его). Вывод с моего HEX S: ip route print
Флаги: X - отключен, I - некорректный, D - динамический
#   ADDRESS            NETWORK         INTERFACE                                
0   ;;; defconf
    192.168.0.2/24     192.168.0.0     ether1                                  
1   10.1.1.1/24        10.1.1.0        sfp1 Его: /ip address print
Флаги: X - отключен, I - некорректный, D - динамический
#   ADDRESS            NETWORK         INTERFACE                                
0   ;;; defconf
    192.168.1.2/24     192.168.1.0     ether1                                  
1   10.1.1.2/24        10.1.1.0        sfp1 Теперь я добавил несколько статических маршрутов: Мои: /ip route print
Флаги: X - отключен, A - активен, D - динамический,
C - подключен, S - статический, r - rip, b - bgp, o - ospf, m - mme,
B - черная дыра, U - недоступно, P - запрещено
#      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
0 A S  0.0.0.0/0                          192.168.0.1               1
1 ADC  10.1.1.0/24        10.1.1.1        sfp1                      0
2 ADC  192.168.0.0/24     192.168.0.2     bridge                    0
3 A S  192.168.1.0/24                     10.1.1.2                  1 Его: /ip route print
Флаги: X - отключен, A - активен, D - динамический,
C - подключен, S - статический, r - rip, b - bgp, o - ospf, m - mme,
B - черная дыра, U - недоступно, P - запрещено
#      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
0 A S  0.0.0.0/0                          192.168.1.1               1
1 ADC  10.1.1.0/24        10.1.1.2        sfp1                      0
2 A S  192.168.0.0/24                     10.1.1.1                  1
3 ADC  192.168.1.0/24     192.168.1.2     bridge                    0 Теперь я могу пинговать 192.168.1.2 со своего роутера и наоборот 192.168.0.2 с его роутера, но другие устройства или IP-адреса в остальной сети недоступны. Я даже добавил несколько фильтров, которые принимают всё в цепочке forward, но это не помогло. Я вполне уверен, что правильно настроил статические маршруты, но, возможно, я допустил ошибки на этапе настройки моста или брандмауэра. Почти все настройки, кроме показанных, стандартные, как и при покупке. Есть какие-нибудь советы или хитрости?

Я знаю, что мне нужно это сделать — добавить статические маршруты на наши основные маршрутизаторы. Я еще не сделал этого, потому что все еще настраиваю свое тестовое оборудование. Но я вручную изменил IP-адрес шлюза на своем ноутбуке на IP-адрес моего HEX S. Теперь я могу получить доступ к обоим устройствам HEX S (даже к соседскому). Но НИКАКИЕ другие устройства в его сети недоступны.

Вы не должны добавлять интерфейсы sfp к мостам... трафик между локальной сетью и hEX соседа должен маршрутизироваться, а не моститься. Будьте осторожны с межсетевыми экранами и отслеживанием соединений на основных маршрутизаторах. После того как вы добавите статические маршруты к локальной сети соседа на ваш основной маршрутизатор (используя hEX в качестве шлюза), у вас возникнет маршрутный треугольник: если ваш ПК захочет связаться с соседом, он отправит пакеты на ваш основной маршрутизатор. Ваш основной маршрутизатор отправит их на ваш hEX. Ваш hEX перенаправит их к соседу. Ответы соседа прибудут на hEX. hEX заметит локальный адрес назначения и доставит их напрямую на ваш ПК. Таким образом, он обойдет основной маршрутизатор, который не увидит возвращающиеся пакеты, и его система отслеживания соединений окажется в беспорядке.

В одном из ваших предыдущих сообщений вы упоминали, что еще не добавили статические маршруты на основные роутеры. Traceroute показывает, что статический маршрут существует с вашей стороны, а как насчет стороны соседей? Если у основного роутера соседей еще нет статического маршрута, логично, что traceroute не может работать за пределами hEX... пакет доставляется на ПК соседей, этот ПК отправляет ответ на свой шлюз по умолчанию, а тот — на свой шлюз по умолчанию, которым является провайдер соседей, и дальше одному Богу известно, где этот ответ заканчивается... И не переживайте насчет странного хопа — это вовсе не странно, оба адреса 192.168.1.2 и 10.1.1.2 являются IP-адресами одного и того же роутера. Разница лишь в интерфейсе, который должен ответить на пакет. Когда traceroute нацелен на 192.168.1.2, третий хоп достигнет роутера... пакет попадает в это устройство через 10.1.1.2, но это не важно, так как он достигает цели в рамках одного хопа, и целевой интерфейс отвечает. Когда traceroute нацелен на 192.168.1.3, время жизни (TTL) истекает при входе в роутер, и именно интерфейс 10.1.1.2 обнаруживает истечение TTL и реагирует соответствующим образом.