Dotaz: rozdíl mezi NATem 1:1 a veřejnou IP

[Rockfire]

Jaký je rozdíl mezi NATem 1:1 - tzn. v na sitovce je privatni ip a ta je pomoci firewallu prelozena na verejnou ip a tim kdyz je na sitovce primo verejna ip a firewall je v tomoto pripade pouze router?

Poujedou na NATu 1:1 vsechny sluzby? Co tam nepojede?

Odpovědi

[Kamorek]

proc toto delat?

[Rockfire]

muj poskytovatel internetu mi chce NATovat 1:1 a me by zajimalo o co prijdu kdyz bych mel primo verejnou ip.

[radon]

sice natovani 1:1 nemam zrovna prilis rad, ale vetsina veci ti pujde, takze bych se toho nebal

isp natem 1:1 usetri hromadu IPcek ve srovnani s tim, kdyby ti dal verejnou ip..

bud rad, ze ti neda nat 1:n ;p

[Rockfire]

ten mam momentalne, ale chtel jsem verejnou ip tak mi dal nat 1:1.

je mi jasne, ze kdybych mel primo verejnou ip tak zaberu alespon 4 ip (adresa site, brana, moje ip, broadcast).

Ale co mi konkretne nepojede s tim natem?

[Petr Šobáň]

Proč bys měl zabírat 4 IP???

Já mám od poskytovatele 1 IP veřejnou a stou si vystačím.

Viz:

[root@petr /home/petr]# /sbin/ifconfig
eth0      Zapouzdření:Ethernet  HWadr 00:40:63:CB:A7:C0
          inet adr:10.0.0.2  Všesměr:10.0.0.255 Maska:255.255.255.0
          AKTIVOVÁNO VŠESMĚROVÉ_VYSÍLÁNÍ BĚŽÍ MULTICAST  MTU:1500  Metrika:1
          RX packets:12049 errors:0 dropped:14 overruns:0 frame:0
          TX packets:15170 errors:3 dropped:0 overruns:2 carrier:0
          kolizí:2385 délka odchozí fronty:1000
          RX bytes:1988023 (1.8 Mb)  TX bytes:12579702 (11.9 Mb)
          Přerušení:10 Vstupně/Výstupní port:0xb000

eth1      Zapouzdření:Ethernet  HWadr 00:50:BF:03:AE:A2
          inet adr:194.228.223.93  Všesměr:194.228.223.255 Maska:255.255.255.0
          AKTIVOVÁNO VŠESMĚROVÉ_VYSÍLÁNÍ BĚŽÍ MULTICAST  MTU:1500  Metrika:1
          RX packets:11182 errors:0 dropped:0 overruns:0 frame:2
          TX packets:2598 errors:1 dropped:0 overruns:0 carrier:2
          kolizí:17 délka odchozí fronty:1000
          RX bytes:1261637 (1.2 Mb)  TX bytes:683681 (667.6 Kb)
          Přerušení:11 Vstupně/Výstupní port:0xe000



[root@petr /home/petr]# /sbin/route -n
Směrovací tabulka v jádru pro IP
Adresát         Brána           Maska           Přízn Metrik Odkaz  Užt Rozhraní
10.0.0.0        0.0.0.0         255.255.255.0   U     0      0        0 eth0
194.228.223.0   0.0.0.0         255.255.255.0   U     0      0        0 eth1
0.0.0.0         194.228.223.1   0.0.0.0         UG    0      0        0 eth1

[jm]

No, seriozni provider obvykle necpe stovky zakazniku na jeden subnet, mozna proto.

[Petr Šobáň]

Nechápu ?

Přece mě provider přidělí jednu IP no a akorát musí nastavit správné pravidla na svých routerech aby to dorazilo ke mě.

Jinak drobná poznámka ta sítovka co vede k providerovi je na síti 192.168.255.255

Routování do sítě 192.168.255.255 tam nemám neboť to stejně proleze tou default

[jm]

Coz neni nijak v rozporu s tim, co jsem rekl. Podobna reseni vedou akorat k tomu, ze jsem s byvalym providerem musel resit, proc mam na firewallu za hodinu tisice zaznamu od jakehosi jejich zakaznika, ktery si blbe nastavil router. Tam to taky bezelo komplet vsechno na jedne broadcast adrese.

[Petr Šobáň]

Samozřejmě problém trochu bude s broadcast adresama protože těžko budete vymýšlet něco a jako uživatel nastavíte masku na 255.255.255.0 a víc vás to netrápí, na druhou stranu zase broadcast pakety podle mě by v internetu neměly co dělat.

Ono prostě vše záleží podle mě na konkrétním přístupu, HW, providerovi, finančními možnostmi uživatele atd....

A hlavně taky na slušnosti lidí aby do sítě pouštěly pouze relevantní údaje co jsou třeba pro chod a né třeba rozesílat broadcasty od sdílení souborů když nic nesdílím

PS. Kbybych chtěl tak už mám pěknou zbírku IP a názvu PC v místní síti 192.168.... a některé mají i veřejnou IP.

[CIJOML]

Mno hlavni omezeni je, ze kdyz mas NAT a nekdo ten router zrebootuje nebo predela iptables (predpokladam NAT za pomoci linuxu) a ty neco tahas nebo jses pripojenej treba na ICQ tak proste tvoje konekce je zapomenuta. Kdezto kdyz to je jen smerovac, tak se po chvilce znovu navaze.

[Zdeněk Štěpánek]

Zdravim

Pokud to bude opravdu stoprocentni nat 1:1 bez nejakeho firewallu tak ti na tom pojedou vpodstate vsechny sluzby. Neplechu by snad teoreticky mohly delat jen ty programy ktere si zjistej lokalni adresu a poslou ji svym vlastnim kanalem na druhou stranu. Ta se pochopitelne neznatuje a prijemce tak dostane tvou privatni IP se kterou si treba neporadi. Ale rozhodne bych se toho nebal, dela se to uplne bezne.

Vem si pripad ze ja treba mam privatni sit s 8mi routery po ceste a jednomu pocitaci na konci site chci dat verejnou IP. Stokrat radsi tam udelam nat 1:1 nez chtit po providerovy hromadu verejnejch adres a davat je na routery jako aliasy, to bych asi musel byt cvok.

Zdenek

[Rockfire]

to je asi fakt

diky vsem za odpovedi

[Zdeněk Burda]

tak me napada, co ti brani v tom si proroutovat verejnou adresu skrz tech 8 routeru az k sobe?

[radon]

ze to je prasarna a na verejny ceste nemaj privatni ip co delat ? ;]

[tezkatlipoka]

Seriozni provider mozna necpe vic zakazniku na jeden subnet (i kdyz nevidim jedinej duvod, proc by to nemel delat), ale o kolik serioznejsi vam prijde kdyz zakaznikovi co chce verejnou adresu, tu adresu Natuje 1:1?? myslite ze kdyz vam ji Natuje, ze jste u nich na subnetu sam?? To snad ne. Add dotaz, pokud natuje vse, tak samozrejme bude vungovat vsechno, ale ja jsem se u nekterych veci docela zapotil (VPN) nez jsem je rozebehl, ve stejne situaci, a to ten Natovaci pocitac byl pod moji kontrolou. Pokud mate chut, bojoval bych primo o verejnou adresu, misto Natovani.

[CIJOML]

nevidim duvod proc nedelat treba v linuxu bridge a nemit usery v jedne subsiti. Chodi to dobre, usnadni to spravu a zmensi pocet IP

[Alex Kubicek]

Provozuji bezdratovou sit v jedne lokalite v zapadnich cechach. NAT 1:1 pouzivam zcela bezne, nebot to usetri spoustu prace prave s aliasy na rozhranich routeru a usetri routovaci tabulku. Mam pripojenych nekolik firem, ktere vyuzivaji ruzne VPN tunely pro pripojeni k terminal serverum. Neni zde zadny problem. Proste veskere pakety s jejich cilovou verejnou IP jsou prelozeny na vnitrek site. Zatim nikdo si na tento system nestezoval.

[tezkatlipoka]

Nerikam ze ta VPN pres to nejde, ja ji taky mam, , Taky pres NAT 1:1, jen jsem chtel upozornit ze jsem si s ni dal pekne do tela (jak jsem pozdeji zjistil, zcela zbytecne, a jen a jen vlastni blbosti) ale jen jsem na to chtel upozornit, ze ackoli jde rozebehnout vse, neco se nastavuje trosicku jinak. Kazdopadne i tak bych stale jeste toho ISP otravoval o svoji pevnou IP, nez bych pristoupil na NAT. IP vam bude stacit jen jedna, pokud nemate potrebuju, je zbytecne mit cely, byt i maly rozsah, nic tim neziskate.