Dotaz: Verejne IP pro vsechny za routerem

[DarkLogic]

Zdravim!

Chci kazdemu ze svych ucastniku site za routerem pridelit verejne IP, ktere mam moznost dostat od providera. Nasel jsem tu navody, jak jim pridelit neverejnou, ktera by se routovala na verejne. Ja ale chci, aby uzivatele opravdu na svych PC tu verejnou meli a pritom vsechen provoz by sel samozrejme pres muj router. Jak na to?

Odpovědi

[tomas84]

Tak jim ty adresy přidělte, v čem je problém?

[Johny z Podoli]

také nechápu zjevně kde je problém, přidl jim ty IP (pokud máš dhcp tak uprav konfiguraci dhcp) na routeru vypni NAT a zapni normální routování (pokud máš vlastní rozsah ip..) jinak tam píchni jenom switch...

pokud chceš kontrolu nad přenášenýma datama tak tam dej bridge ...

Johny

[......]

No to není jen tak, musí se domluvit i s providerem, aby bylo jasné, že cesta k těmto IP vede přes jeho router. Jinak jedině arp proxy.

[Johny z Podoli]

predpokladam ze poskytovatel ty IP doda na kabelu/wifi/adsl atd atd uživatele, ... to je snad vec poskytovatele.

Johny

[......]

Nechápu. Co je to dodá na kabelu??? Pokud budou schované za routerem, tak si musí i poskytovalel i on nastavit správně routování. Pak jedině jak jsem říkal arp proxy.

[_ijkl]

Dá sa to poriešiť aj ako NAT 1:1.

[......]

ovšem s NATem 1:1 nebude na stanicích opravdu veřejná IP, ale privátní a to není to nač se tazatel ptal.

[DarkLogic]

Ano, chci kontrolu nad přenášenýma datama, chci omezovat rychlosti uživatelů do netu apod. To všechno mi teď běží, když má každý uživatel sítě privátní IP. Takže když chci, aby tohle všechno fungovalo dále jen s tím rozdílem, že všichni klienti budou mít veřejné IP, tak přichází v úvahu ten bridge? A poradíte mi, co konkrétně je potřeba změnit?

[petr_p]

Budto si udelejte bridge, pricemz jsou lidi, co tvrdi, ze jim to shapuje. Nebo muzete pouzit ARP proxy a ozelet jednu (nebo dve) IP na routeru.

Ja mam na routeru dve IP adresy (asi by stacila i jedna), proxy_arp zapnute na vnejsim rozhrani, nastavene asymetricke smerovani a vse se krasne routuje.

[DarkLogic]

Muzete trosku blize popsat to vase reseni? Tzn. kde co jak nastavit.

[petr_p]

Topologie:

100.0.23.17
|
100.0.23.18
100.0.23.19
|
|
+-100.0.23.20
+-100.0.23.21
|
...

Pricemz ISP ma na svem routeru 100.0.23.17 rozhrani, kam smeruje veskery provoz pro 100.0.23.16/28 podsit. Ja mam na routeru dve rozhrani 100.0.23.1[7-8] a nasledujici pravidla:

/sbin/ip link set eth0 up
/sbin/ip -4 addr add 100.0.23.19/28 dev eth0

/sbin/ip link set eth1 up
/sbin/ip -4 addr add 100.0.23.18/28 dev eth1

ip route del 100.0.23.16/28 dev eth1
/sbin/ip route add 100.0.23.17 dev eth1

echo "1" > /proc/sys/net/ipv4/ip_forward

echo "1" > /proc/sys/net/ipv4/conf/eth1/proxy_arp

Coz ma za nasledek, ze vsechny pakety od ISP jsou posilany na MAC adresou meho eth1 rozhrani a odtamtud routovany dal.

[D-Evil]

NAT 1:1 je podle mě naprosto nejjednodušší řešení, navíc to pravděpodobně vůbec nenaruší vaší konfiguraci.

[DarkLogic]

Kdyz dam NAT 1:1, tak ale klienti budou mit na svych pridelene privatni adresy a jen navenek se bude kazdy chovat jako by mel verejnou IP. Je to tak?

[D-Evil]

Přesně tak.

[Jiří Veselský]

Je to přesně tak. Zdůrazňuju přesně, protože sám píšete "...jen navenek se bude kazdy chovat...". V té vaší větě je nutné zvýraznit ono jen. NAT 1:1 je poměrně slušné řešení ve spoustě situací, ale (přestože se tváří téměř transparentně), tak transparentní není. Problémy (menší, větší, v určitých případech téměř neřešitelné) se ihned vynoří v situaci, kdy někdo zevnitř sítě (se svou privátní IP) bude chtít přistupovat ke zdroji uvnitř sítě s veřejnou IP. Ne vždy je to vidět na první pohled, ale problémy mohou být zásadní, takže se NATu raději vyhněte.

Jak už bylo řečeno, v zásadě snad není žádný problém v tom (s výjimkou případné naprosté idiocie vašeho ISP), aby vám ISP routoval veřejný rozsah adres přes vaše zařízení.

[mmm]

mam dojem, ze je vecou providera, aby zabezpecil route na subnet ktory vam prideli cez vas router. vy bezite normalny routing na linuxe s vypnutym nat a shaping robite napr. pomocou queueing-u na interfejsoch.

takto to robim pre 1200 zakaznikov na jednom Linux-ovom routri.