+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Точки доступа и публичные адреса.

Точки доступа и публичные адреса., RouterOS

daiceman

Guest

11.03.2005 17:11:00

Мой первый пост здесь, так что, пожалуйста, не разнесите меня в пух и прах. Вот сценарий, над которым я работаю. Mikrotik Box: -Ether 1 Public IP 207.xx.xx.56 SN:255.255.255.192 GW:207.xx.xx.62 -Ether 2 Private IP 10.5.50.1 Мне нужно понять, как пробросить локальный адрес из 207-й сети клиентам, подключенным к Ether2, чтобы они могли удаленно управлять своими системами. 207/26 сеть управляется моим cisco3640. Надеюсь, я был достаточно понятен. –edit– Аутентификация обрабатывается через FreeRadius/MySql

daiceman

Guest

14.03.2005 01:34:00

Ну, посмотрим, это задачка не из легких. Моё предложение — попробовать связать эти два интерфейса и, возможно, использовать PPPoE для раздачи статических публичных адресов. Может, сработает, но я новичок в PPPoE. Может, кто-нибудь расскажет нам обо всем про и против PPPoE сессии по сравнению с PPP? Вопрос для чайников: если я аутентифицируюсь через RADIUS, чем это отличается от PPPoE? Надеюсь, первая часть вам поможет. С уважением, расколотая личность Daiceman’s.

wildbill442

Guest

14.03.2005 02:25:00

PPPoE или PPTP тоже подойдут. Оба позволяют создавать туннели к конечной точке, так что, пока клиент может до неё добраться, можно назначать ему любой IP-адрес (неважно, мостовая у вас сеть или маршрутизированная). RADIUS позволяет управлять пользователями из центрального места (сервера) и предоставлять им доступ к таким сервисам, как PPP, PPTP, PPPoE. Оба протокола 2-го уровня инкапсулируют пакеты и имеют методы шифрования и сжатия. EDIT извините, PPPoE не предлагает шифрования… это одно из преимуществ использования PPTP вместо PPPoE. Также, когда вы используете PPTP, устройство, которое является конечной точкой, будет требовать больше вычислительной мощности процессора, так как ему приходится кодировать/декодировать пакеты.

daiceman Guest	#4 0 19.03.2005 21:07:00 Какие ещё есть идеи для меня?

savage Guest	#5 0 19.03.2005 21:22:00 DST-NAT?

daiceman

Guest

19.03.2005 23:10:00

Ищу вот что: Все точки для форматирования.… DHCP Pool 10.0.5.0/24 …/ Cisco 3640 Eth0 207.75.xx.62 ----- 207.75.xx.60 Eth0 Mikrotik Eth1- … …\ 207.75.xx.50 Конечный пользователь. Нужна возможность запускать DHCP и выдавать публичный адрес в той же подсети, что и Mikrotik Eth0 на Eth1.

djape

Guest

21.03.2005 08:25:00

Делай src-nat и dst-nat. Просто добавь адрес пользователя в src-nat: ip firewall src-nat src-address=10.0.5.x/32 action=nat to-src-address=207.75.xx.50 сейчас ip firewall dst-nat dst-address=207.75.xx.50/32 action=nat to-dst-address=10.0.5.x. Получится, у твоего клиента будет публичный IP-адрес. Зашёл!

daiceman Guest	#8 0 22.03.2005 17:13:00 Вообще не работает. Всё равно получаю IP-адрес базового MT.

wildbill442

Guest

22.03.2005 17:23:00

Ты всё равно получишь приватный IP-адрес 10.xx.xx.xx. Тебе нужно настроить 1-to-1 NAT, чтобы MT сопоставлял публичный IP-адрес с одним из твоих приватных. Также стоит настроить резервирование для пользователей, которым нужны статические публичные IP-адреса, в DHCP-сервере, чтобы они каждый раз получали один и тот же IP-адрес. Решение, которое я выкладывал ранее, с src/dst-nat, сработает. Я не проверял точный синтаксис, но в целом именно это тебе нужно сделать. Посмотри в мануал для примеров.

daiceman

Guest

#10

22.03.2005 17:51:00

Так, компьютер все еще имеет приватный IP, но когда я захожу на страницу, которая показывает, что видят в сети, мой IP - это IP интерфейса MT роутера. Не тот, через который я пытаюсь делать NAT. Страницы, которые я использую для проверки моего IP, это http://www.ipchicken.com и iceman.30below.com. Нужно ли мне добавить публичный IP, через который я хочу делать NAT, на публичный интерфейс MT?

daiceman

Guest

#11

22.03.2005 19:07:00

Обновление: Я могу пинговать свой публичный, нат-нутый ПК извне MT. Это хорошо – удалённый доступ возможен. Но когда я получаю отчёт об используемом IP, он всё ещё показывает 207.75.xx.60, а не 207.75.xx.55. Именно через 55 я и нат-нутый. Если посмотреть на правила ната, то мой SRC NAT показывает отсутствие пакетов или байтов, а DST NAT правило показывает счётчик пакетов и байтов.

wildbill442 Guest	#12 0 22.03.2005 19:24:00 Да, проверь свои правила src-nat… они должны выглядеть примерно так: 0 ;;; SRC-NAT src-address=[private_IP/32] action=nat to-src-address=[Public_IP]. Еще да, тебе придется добавить публичные IP-адреса в интерфейс WAN устройства, выполняющего NAT.

daiceman

Guest

#13

22.03.2005 19:42:00

Окей, вот моя конфигурация.
/ ip firewall src-nat add src-address=10.0.4.11/32 action=nat to-src-address=207.75.xx.55 comment="Static for Goomba" disabled=no
/ ip firewall dst-nat add dst-address=207.75.xx.55/32 action=nat to-dst-address=10.0.4.11 comment="Static for Goomba" disabled=no
/ ip address add address=207.75.xx.60/26 network=207.75.xx.0 broadcast=207.75.xx.63 interface=internet comment="added by setup" disabled=no
add address=10.0.4.1/23 network=10.0.4.0 broadcast=10.0.5.255 interface=hotspot comment="hotspot network" disabled=no
add address=207.75.xx.55/26 network=207.75.xx.0 broadcast=207.75.xx.63 interface=internet comment="Public for Goomba" disabled=no

wildbill442

Guest

#14

22.03.2005 19:46:00

Выглядит нормально… Не знаю, упоминал ли я это раньше, но тебе стоит создать резервирование для этого приватного адреса на твоем DHCP-сервере (если ты не используешь статические IP-адреса), чтобы этот конкретный пользователь каждый раз получал один и тот же приватный IP.

daiceman

Guest

#15

22.03.2005 19:49:00

Да, выглядит хорошо, но все равно показывает основной интерфейс, .60. Если моему клиенту нужно, чтобы был публичный IP, который работал бы в обе стороны для удаленного доступа к его локальному серверу и использовал тот же IP для подключения к удаленному серверу, то это не работает так, как нужно.

Редактирую: src-nat не справляется со своей задачей.

wildbill442 Guest	#16 0 22.03.2005 19:51:00 Не должно… попросите клиента перезагрузить его CPE устройство, а потом проверить IP-адрес по ссылке Http://www.whatismyip.com. И еще, убедитесь, что кэш в браузере очищен…

daiceman

Guest

#17

22.03.2005 19:56:00

Ну, прямо сейчас клиент — это я, а CPE — мой ноутбук, который стоит рядом со мной. Я перезагрузил его, убедился, что соединение очищено в MT, и переподключился. Проверил с помощью 3 разных сайтов, которые сообщают об IP-адресе, но безрезультатно. Всё ещё .60.

wildbill442

Guest

#18

22.03.2005 20:05:00

Хм, у меня сейчас куча клиентов работает, проблем нет… и твои настройки выглядят нормально. Что у тебя первое в правилах src-nat? Поставь правило маскирования в самый конец списка, а твоё src-nat правило – в начало. Посмотри, поможет ли это. #pfsense

daiceman

Guest

#19

22.03.2005 20:26:00

Пытался перенести правило наверх – без толку. Еще пробовал отключить все остальные правила src-nat. Работает только то, что мне нужно. Всё равно не работает. Думаю, сегодня закончу. Стол уже порядком помятый от моих ударов головой.

djape Guest	#20 0 23.03.2005 15:33:00 Хехе, ну я думаю, ты в "Кошмарной улице". Пример, который я выкладывал ранее, был именно таким, как и должен быть… Просто убери add address=207.75.xx.55/26 network=207.75.xx.0 broadcast=207.75.xx.63 interface=internet comment=“Public for Goomba” disabled=no. Попробуй и дай нам знать, что вышло. Всего доброго…

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры