Новая тема

Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.

Список тем

Вопрос по маршрутизации (наверно ламерский)

С друзьями на NN.RU

У вас пока нет друзей на NN.RU, поэтому ссылка на тему не может быть отправлена.

Воспользуйтесь поиском, чтобы найти новых друзей.

В социальных сетях

Иван с ракетой*

24.06.2008

Предыстория задачи
Есть некоторое устройство (криптошлюз российского производства), которое через интернет взаимодействует с аналогичным (где-то далеко, не важно).
Устройство это (У) должно быть доступно по белому ip (он есть) "из вне". Изнутри тоже оно должно ходить со своим ip.
Всего есть 2 белых статических ip, полученных от провайдера (скайлинк). Один висит на модеме-флэшке, второй на устройстве.
Имеется комп с win2k server (на нем поднят NAT для общего доступа локалки в инет, но это не важно, можно убить или перенастроить, т.к. вышеозначенная задача приоритетней)
Схема организации сети:

Internet
|
-----------------------------------
| Модем ip1 (белый) |
| |
| Win2k server |
| |
| NIC2 ip2 (????) |
----------------------------------
|
---------------------------------|
| NIC3 ip3 (белый) |
| |
| Уcтройство |
---------------------------------
|
--------------------------------
Локалка

Встает 2 вопроса: если третьего белого ip нет, то какой айпишник задать для NIC3 (взять от балды из той же подсети, другого не остается, так понимаю?)
и как настроить маршруты, чтоб устройство ходило во вне со своим ip и
из вне было видно тоже со своим ip? Статической маршрутизацией можно это сделать и какие маршруты прописать на шлюзе вин2к? На устройстве задается
только ip свой и ip шлюза (в остальном будем считать, что оно черный ящик).

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

nnstepan

24.06.2008

Чтобы решить задачу надо точно знать по каким протоколоам, портам и т.д. взаимодействуют устройства между собой.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Иван с ракетой*

24.06.2008

Портов много всяких 4439,4440, 4441.... Протоколы TCP, UDP и еще какой-то свой защищенный протокол с номером 250. Да пусть хоть для простоты задачи положим что протокол TCP и порт 5190, а вместо устройства простой комп и я хочу к нему подключаться через VNC (и изнутри ходить, чтоб в заголовке пакета источником был ip3, а не ip1). Мне бы чисто принципиально понять, возможно ли как-то сделать с двыумя белыми ip или нет... Форвардинг портов не подходит, т.к. из вне придется обращаться по ip1, а надо непосредственно к ip3

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

nnstepan

24.06.2008

В само устройство можно вписывать маршруты?

А вообще задачи и топологию я совсем не понял, давай еще раз - есть географическое (физическое) место номер один, там есть провайдер такой, от него есть внешний ip или подсеть внешних ip в колличестве таком то, там надо дать инет тем то и сделать то-то и так далее, а то вообще нифига не ясно ТЗ.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Иван с ракетой*

24.06.2008

В само устройство нельзя прописывать. Максимум что в нем можно задать это айпи его и шлюза и то в москву звонить надо, там сформируют конфиг когда-нибудь и его через флэшку надо дать устройству, геморой еще тот.

Есть географическое место, где сижу я. провайдер дал 2шт. внешних IP. Есть устройство-криптошлюз, у него есть внешний интерфейс, который должен смотреть в интернет, даем этому интерфейсу один из имеющихся реальных ip. К интернету будем подрубать через комп-потенциальный маршрутизатор, в котором есть скайлинковский модем, при установке соединения на нем получаем второй реальный IP. На этом же компе есть сетевуха, в которую вставляем шнурок от внешнего интерфейса криптошлюза. Реальных IP больше нет, чтоб повесить на сетевую карту в которую воткнут криптошлюз. У криптошлюза есть несколько внутренних интерфейсов, на которые он сам может НАТить свой реальный IP (на текущем этапе это не важно). Где-то далеко, скажем так, в интернете есть аналогичное устройство, на которое пересылаются шифрованные пакеты от моего криптошлюза м которое мне на реальный ip моего криптошлюза может слать что-то. Т.е. соединение может инициироваться как с моей стороны, так и с обратной.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Хрю-кин

24.06.2008

Вообще-то, типичное решение для вашей задачи - это разместить его позади устройства, умеющего делать Identity NAT.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Иван с ракетой*

24.06.2008

Устройства такого нет, а еслиб было, то ему надо как-то дать интернет, т.е. опять приходим к аналогичной проблеме, замкнутый круг... А средствами виндовс сервера можно такое сделать? То есть, получается можно вопрос поставить так: как дать компьютеру в сети за NAT-ом реальный IP?

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

nnstepan

24.06.2008

Получается что надо взять комп с тремя сетевухами - одну к модему (провайдеру) на которой появятся два внешних ip, соответственно одну к шлюзу, другую в локалку.
Соответственно пишем DNAT полный с первого внешнего ip на сетевуху где криптошлюз и SNAT для сетевухи где локалка на второй внешний ip.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Иван с ракетой*

25.06.2008

Ну локалка будет за криптошлюзом, она пока не важна..

Соответственно пишем DNAT полный с первого внешнего ip на сетевуху где криптошлюз и SNAT для сетевухи где локалка на второй внешний ip.

А какой Ip дать "средней" сетевухе, в которую воткнут криптошлюз? В идеале третий реальный ip, но его нет... И под "полным" DNATом что имеешь в виду, транслировать внешний ip "сам в себя" (на криптошлюзе он забит уже) что-ли?
В общем, пока сделал так, (дали потренироваться в знакомой конторе, богатой на реальные ip): Все стандартными средствами Вин2000Сервер. На внешний интерфейс (модем) повесил 1 реальный ip. В NATе указал пул из 2-х реальных ip, один из них поставил в резерв и указал использовать его для криптошлюза и поставил галку "разрешить внешние подключения" (как-то так). На "среднюю" сетевуху поставил ip адрес от балды...из той же подсети. На первый взгляд все работает, но надо бы сниффером посмотреть, что там реально в пакетах в источнике и получателе забито.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях