Dotaz: verejná IP

[secido]

Mám na routeri (linux) pridelený rozsah verejných IP adries. Presmerovať jednu IP adresu cez netfilter SNAT, DNAT nie je problém. Ako mám postupovať, keď mám v sieti další router, ktorý robí NAT a je za ním ďalšia sieť a v tejto sieti je stroj kam chcem IPcku dostať (čiže cez ďalší NAT). Je to vôbec možné bez routovania?

Odpovědi

[Petr Dvořáček]

Není to možné

[kozzi]

proc by to nemelo jit? Ja to tak mel. mel jsem pridelenu ip 10.134.x.x, melel jsem pridelenu i verejnou ip a ta byla forwardovana na tu 10.134.x.x, Ktera byla nastavena na routeru a ten ji dal forwardoval na ip 192.168.1.102. A vsechno jelo ok

[secido]

Bola tá verejná ip určite len forwardovaná a nie routovaná na 10.134.x.x?

[kozzi]

Urcite byla jen NATovaná. Žádná routa tam dál pak nevedla. Kčemu taky, když routa byla řešena v rámci lokální sítě 10.134.x.x

[Filip Jirsák]

Tu veřejnou IP adresu musíte NATovat na IP adresu toho následujícího routeru. A ten zase bude muset udělat svůj NAT.

[secido]

Potrebujem to obojsmerne. NAT1 preloží verejnú adresu na lokálnu adresu NAT2 v sieti. Ako bude NAT2 vedieť, že paket, ktorý prichádza z NAT1 patrí práve verejnej adrese a má ho posunúť na konkretnu IP v lokálnej sieti?

[Filip Jirsák]

Záleží na tom, kolik těch veřejných adres takhle chcete dostat dovnitř. Pokud jednu nebo pár, můžete odpovídající počet IP adres z vnitřní sítě přiřadit tomu druhému NATu. Veřejnou IP pak naNATujete na jí odpovídající privátní a tu pak na druhém NATu přepíšete už na cílovou IP. Pokud je těch veřejných IP adres hodně, zvážil bych jejich routování (pokud je to vzhledem k topologii sítě a rozdělení IP adres možné), nebo vytvoření další privátní sítě na stejné fyzické infrastruktuře, která bude sloužit k tomu NATování (tj. například ty dva routery byste zařadil ještě do sítě 192.168.123.0/24, přes kterou by se dělal ten NAT).

[pht]

Pokud chcete NAT 1:1 tak musíte tomu druhému routeru přiřadit IP adresu (alias), aby poznal, že tohle je ta věřejně znatovaná a mohl jí taky natovat 1:1. Druhá možnost je udělat statickou route té jedné IP přes ten druhý router a na něm pak statický route té IP na příslušné rozhraní. Ta druhá možnost mi přijde filozoficky i výkonově lepší, přecejen NAT je taková berle.