Registered User
Здравствуйте.
Осуществляем переезд на нового провайдера.
В офисе находятся web-, dns-, mail-сервера (так исторически сложилось).
Каждому из них нужен внешний интернет IP.
Провайдер протянул ethernet-кабель и дал следующие настройки для подключения:
IP-адрес: 10.250.232.10
Маска: 255.255.255.252
Шлюз: 10.250.232.9
DNS: 195.98.111.26, 195.98.112.26
Провайдером выделены дополнительные внешние интеренет адреса:
195.98.155.224/29
ЗАДАЧА: настроить интернет нового прова. Адреса 195.98.155.224/29 должны быть доступны извне.
В тех. поддержке прова мне сказали, что данная схема реализуется при помощи Asus wl-500gp, но на какой прошивке не уточнили.
(до этого я пробовал роутер Dlink dir-100, но безуспешно).
Итак, купили Asus wl-500g Premium. Родная асусовская прошивка версии 1.9.7.7.
Выставляю в настройках роутера "Operation mode" в Router (imho, home gateway и AP режимы в нашем случае не подходят)
WAN интерфейс роутера настраиваю как:
IP: 10.250.232.10
Маска: 255.255.255.252
Шлюз: 10.250.232.9
DNS: 195.98.160.26, 195.98.161.26
LAN интерфейс роутера настраиваю как:
ip: 195.98.155.225
mask: 255.255.255.248
DHCP server: выключен
К LAN порту роутера подцепляю ноут:
ip: 195.98.155.226
mask: 255.255.255.248
gate: 195.98.155.225 (10.250.232.10)
DNS: 195.98.111.26, 195.98.112.26
С ноута свободно хожу в инет.
Но вот с инета не могу достучаться до ноутбука: пакеты (icmp, tcp, udp) до 195.98.155.225 и 195.98.155.226 не проходят.
Провайдер уверяет, что никакой фильтрации пакетов с их стороны не осуществляется.
Прописывал Static routes:
network/host mask gw iface
10.0.0.0 255.0.0.0 10.250.232.9 man
195.98.155.0 255.255.255.248 10.250.232.9 man
Так же пробовал прописывать другие варианты статических роутов. Пакеты извне не проходят.
Вышеописанные действия пробовал при включенном Internet firewall (lan->wan, wan->lan - везде политики ACCEPT) и при выключенном internet firewall. Пакеты извне не проходят.
В сис.логе роутера (логгируются ACCEPT и DROP пакеты) упоминаний о попытках установления соединений извне нет.
ВОПРОСЫ:
1) Возможно ли при использовании родной асусовской прошивки (v. 1.9.7.7 ) решить задачу?
2) если возможно, то как? возможно, у меня неправильно прописаны статические роуты. или может нужны доп. настройки для firewall?
3) Если 1) и 2) не решают задачу, то поможет ли прошивка Олега и какие правила надо прописать для iptables?
(что-то типа:
iptables -A FORWARD -i wan -o lan -j ACCEPT
iptables -A FORWARD -i lan -o wan -j ACCEPT
)
Спасибо!
Лужу, паяю, АВМ починяю
Насколько я понял ситуацию: провайдер тупо сливает все пакеты, адресованные Вашим IP 195.х.х.х на WAN порт роутера с IP 10.х.х.х
Только вот роутер не понимает, как к нему на WAN порт попадают данные для LAN подсети. И режектит их как левые и незаказанные никем изнутри.
AndreyPopov какое-то время назад решал очень похожую ситуацию, но результата я не помню.
Вероятно Вам поможет не iptables, а iproute2, точнее не подскажу.
Было: WL500gP (fw 1.9.2.7-10-USB-1.71) + Toshiba TravelStar 250Gb 2.5" inside router.
(ADOS + rTorrent WebUI+rtorrent + samba + rrdtool + XMail + QuiXplorer + ClamAV)
> Мои инструкции < Для новичков и ленивых > Wiki переехало сюда < "Ночные" сборки >
Junior Member
ага, NATом)))Originally Posted by vectorm
headcrash555, пока вы за натом, со своих компов на свои ip не попадете ни в жисть))). попросите друзей попинговать ваши ip - глядишь, получится)))
Лужу, паяю, АВМ починяю
Вы ошибаетесь.
NAT тут лишь инструмент трансляции данных.
Я же понятно написал - на IP 10.250.232.10 приходят данные для подсети 195.98.155.224/29, которая находится ЗА ПРЕДЕЛАМИ подсети 10.250.232.0, т.е. этих пакетов WAN роутера абсолютно не ждет.
Когда данные запрашиваются изнутри LAN, то на WAN порту, на IP 10.250.232.10 открывается слушающий порт, и именно на него и для ЭТОГО IP данные извне приходят, а не на IP 195.98.155.225 например.
Было: WL500gP (fw 1.9.2.7-10-USB-1.71) + Toshiba TravelStar 250Gb 2.5" inside router.
(ADOS + rTorrent WebUI+rtorrent + samba + rrdtool + XMail + QuiXplorer + ClamAV)
> Мои инструкции < Для новичков и ленивых > Wiki переехало сюда < "Ночные" сборки >
Junior Member
Здравствуйте! В Вашей ситуации ничего натить не надо. Провайдер использует 10-ю сеть как сеть peer-to-peer. У него скорее всего настроен статический маршрут к вашей сети 195.98.155.224/29 за шлюзом (интерфейс вашего роутера) 10.250.232.10.
Вам надо убрать ранее прописанные маршруты и добавить дефолтный маршрут через шлюз 10.250.232.9.
0.0.0.0 0.0.0.0 10.250.232.9 man
Registered User
Спасибо всем откликнувшимся.
2 vectorm : тему AndreyPopov нашел Проблема маршрутизации и нескольких провайдеров , интересная информация, поизучаю.
Завтра попробую прописать роутВ любом случае, собираюсь пообщаться с тех. поддержкой прова, раз уж они советовали именно 500gP0.0.0.0 0.0.0.0 10.250.232.9 man
Как сказал мне один знакомый человек, провайдер, вероятно, использует NETMAP.
О результатах отпишусь
Статус
как-то странно, что у вас на ноуте заработал )
как я думаю тут либо подразумевалось работа асуса как бриджа либо на ване нужно альясами вешать вашу реальную сеть. а дальше натить и пробрасывать.
wl500gp v2
VPN офис-дом
Junior Member
Странного в том, что инет заработал на ноуте, нет. Видимо имел место двойной НАТ. Первый в Асусе, а второй у провайдера.
Но это не та схема, ради которой нужно было выдавать 6 белых IP-шников.
Статус
да, не дочитался, что он на ЛАНе тоже выставил белую.
но, все ж мне кажецца, что нат действительно у провайдера отсутствует.
по-моему правильней было б сделать так:
на ван фейсе роутера (выставив ему таки роль с натом) сделать альясом помимо серого айпи, еще и белый, выданный провом.
для локалки выделить серую сеть (172, 192,...) и сделать проброс нужных портов.
так будем безопасней ИМХО, чем пытацца выставить целиком машины в инет.
а бросьте результаты трасерта изнутри в инет и нонешнюю таблицу маршрутов без ваших добавлений (я режим роутера на асусе не пробовал). может добавить что-то типа 195.98.155.224/29 195.98.155.225 lan ?
Last edited by razor; 18-05-2009 at 09:08.
wl500gp v2
VPN офис-дом
Senior Member
1. Ставте прошывку Олега. Роутер в режыме шлюза.
2. На WAN-IF как есть
3. Далее добавляете DMZ vlan для сетиCode:IP-адрес: 10.250.232.10 Маска: 255.255.255.252 Шлюз: 10.250.232.9 DNS: 195.98.111.26, 195.98.112.26
4. LAN vlan - серый адрес 172.16.х.х или 192.168.х.х.Code:Провайдером выделены дополнительные внешние интеренет адреса: 195.98.155.224/29
На роутере обязательно настроить правила iptables под себя:
WAN <-> DMZ
WAN <-> LAN
DMZ <-> WAN
DMZ <-> LAN
Last edited by avk; 19-05-2009 at 19:16. Reason: жи, ши
wl500gp-1.9.2.7-d-r1222 + StoreJet 35 Ultra >>> rtorrent+rutorrent -|- lighhtpd + ssl + auth -|- vnStat + vnStat PHP frontend -|- vsftpd -|- squid + lightsquid...
Registered User
а бросьте результаты трасерта изнутри в инет и нонешнюю таблицу маршрутов без ваших добавлений (я режим роутера на асусе не пробовал). может добавить что-то типа 195.98.155.224/29 195.98.155.225 lan ?
Tracing route to ya.ru [213.180.204.8]
over a maximum of 30 hops:
1 1 ms <1 ms 1 ms home-pool-155-225.com2com.ru [195.98.177.225]
2 1 ms 1 ms 1 ms 10.250.232.9
3 2 ms 1 ms 1 ms 172.31.252.26
4 1 ms 1 ms 1 ms 80.253.16.65
5 2 ms 1 ms 1 ms 10.250.232.9
6 2 ms 2 ms 2 ms ix1-m10.yandex.net [193.232.246.93]
7 3 ms 2 ms 2 ms hummer-vlan602.yandex.net [77.88.16.124]
8 2 ms 2 ms 2 ms ya.ru [213.180.204.8]
Destination Gateway Genmask Flags Metric Ref Use Iface
10.250.232.9 * 255.255.255.255 UH 0 0 0 WAN
195.98.177.224 * 255.255.255.248 U 0 0 0 LAN
10.250.232.0 * 255.255.255.0 U 0 0 0 WAN
default 10.250.232.9 0.0.0.0 UG 0 0 0 WAN
Вариант сне прокатил0.0.0.0 0.0.0.0 10.250.232.9 man
Last edited by headcrash555; 18-05-2009 at 11:42.
Статус
а что это за сеть 195.98.177.224 ? у вас другие были ж данные : 195.98.155.224/29
я такой и не предлагал.Вариант с не прокатил
я предлагал
в асусе прописать, что сеть 195.98.155.224/29 достижима через lan интерфейс.
wl500gp v2
VPN офис-дом
Registered User
195.98.177.224 - опечатка... 195.98.155.224 - нужный вариант.
Статус
попросите прова сделать трасерт на ваш ноут.
где будет потеря. на ван (10) или на лане (195).
чем вы, кстати, смотрите маршруты? иначе чем netstat -rn ?
Last edited by razor; 18-05-2009 at 13:06.
wl500gp v2
VPN офис-дом
Junior Member
Вариант с
Цитата:
0.0.0.0 0.0.0.0 10.250.232.9 man
не прокатил
Прошу прощения. Не обратил внимание на указание дефолтного шлюза в первом сообщении.
Трассировка странная какая-то. Адреса п.2 и п.5 совпадают.
Скорее всего нат виноват, что нет доступа из вне. Надо его отключить.
А провайдер видимо может натить адреса из 10-й сети. Это можно проверить, подключив напрямую в канал комп с адресом 10.250.232.10.
Posting Permissions
Reply With Quote
