mboost-dp1

Dele public IP range mellem 2 routere


Gå til bund
Gravatar #1 - freesoft
27. aug. 2011 15:13
Hej (jer der har bedre hjerne end mig lige nu...)

Vi har et /28 IP range, kan det blive delt mellem 2 routere?
Et andet firma skal nemlig til at bruge den sidste halvdel af vores range.

Kan man sætte en dum switch foran routeren, hvor vi begge sætter vores router i, så kan vi begynde at bruge hver sin del af IP ranget?

Giver det noget rod med hvor switchen skal sende trafik hen?

Et hurtigt diagram:
http://peecee.dk/uploads/082011/Can_this_be_done.p...

Hvor jeg arbejdede tidligere havde vi et lignede setup til at køre.
Vi havde 3 stk brugbare IP på vores fiber, og så havde vi bare en lille switch og så 2 routere på, der skulle 2 firmaer nemlig også dele forbindelsen.
Så det kan lade sig gøre, men vil det give pakke tab eller andre problemer?

/Kim
Gravatar #2 - rasmusssen
27. aug. 2011 15:23
brug en HUB ?
Gravatar #3 - freesoft
27. aug. 2011 15:25
#2
Fordi.. ?
Gravatar #4 - m910q
27. aug. 2011 15:28
Del subnettet i to med en router?
Gravatar #5 - freesoft
27. aug. 2011 15:30
Jo det jeg vil undgå... hvorfor blande 3 routere ind i det.
Gravatar #6 - kasperd
27. aug. 2011 16:20
Jeg kan komme i tanke om fire forskellige måder at gøre det på. Hvilken af de fire der fungerer bedst for jer afhænger til dels af jeres Internetudbyder.

I eksemplerne vil jeg antage at jeres lokalnet hedder 192.0.2.0/28 og routerens eksterne IP adresse er 198.51.100.2.

Jeg går ud fra jeres nuværende setup er at lokalnettet hedder 192.0.2.0/28 med routerens interne IP sat til 192.0.2.1, og at der på WAN siden anvendes 198.51.100.0/24 med routerens eksterne IP adresse sat til 198.51.100.2 og dens default gateway sat til 198.51.100.1.

Målet er at lave to lokalnet hvor det første hedder 192.0.2.0/29 med routeren på 192.0.2.1 og hosts på 192.0.2.2 til 192.0.2.6 og det andet hedder 192.0.2.8/29 med routeren på 192.0.2.9 og hosts på 192.0.2.10 til 192.0.2.14.

Den første løsning er at tage en router med tre interfaces og blot konfigurere den præcist som beskrevet med de to separate LAN på hver sit interface og WAN på det sidste. Om i ønsker at filtrere trafikken på routeren er helt op til jer.

Den første løsning kan ikke realiseres med en typisk SOHO router, fordi de kun har to interfaces. (Selv dem med WIFI er stadig routere med to interfaces og så et switchet netværk der forbinder WIFI, LAN porte og routerens interne interface.

Nogle af disse SOHO routere har måske VLAN support på switchen og kan med den dele LAN portene op i to LAN som kan konfigureres som beskrevet.

Ellers kan I anvende en lille PC som router. Soekris eller PC Engines er oplagte muligheder som begge kan fås med tre interfaces.

Den anden løsning er at anvende tre routere. Det interne og eksterne netværk fra jeres nuværende netværk vil ikke længere ligge direkte ved siden af hinanden. Derimod skal der et segment imellem. Hvis ikke jeres Internetudbyder vil tildele jer adresser til det segment kan I f.eks. bruge 10.24.180.216/29 til det segment.

Dermed kommer den yderste router til at have 198.51.100.2 på WAN siden og 10.24.180.217 på LAN siden. (Nettet mellem routerne vil den yderste router kalde for LAN mens de inderste routere vil kalde det for WAN. Find selv på et tredje navn for det netværk, hvis du synes det er mindre forvirrende). De to inderste routere tildeles hhv. 10.24.180.218 og 10.24.180.219 på WAN siden. De tildeles hhv. 192.0.2.0/29 og 192.0.2.8/29 på LAN siden.

I dette setup skal den yderste router have statiske routes konfigureres til de to LAN bagved de andre routere. Det kræver at den yderste router supporterer et minimum af konfiguration. Det gør ikke noget at segmentet mellem routerne har adresser som ikke er gyldige udenfor jeres lokalnet. Adresserne vil som hovedregel ikke ses udenfor jeres netværk.

Der er to situationer hvor de to inderste routeres eksterne IP adresser kan slippe ud på det eksterne netværk. Den første mulighed er hvor nogen udefra kører en traceroute på en enhed på et af de to lokalnet. Den anden mulighed er hvis de inderste routere har indbygget funktionalitet som f.eks. DNS server, som kræver at de sender pakker ud på Internettet.

Dette kan enten løses ved at konfigurere de inderste routere til at bruge deres interne adresse til pakker de sender udad. (Dette vil for time exceeded ICMP pakker være en overtrædelse af standarden, så det er nok svært at finde en router der kan konfigureres til at gøre det). Alternativt kan den yderste router sættes til at masquerade for pakker sendt fra de to inderste routeres eksterne adresser. Det kræver at den yderste router kan konfigureres til at masquerade nogle pakker mens andre sendes igennem uden masquerading. En løsning med at dele jeres /28 op i tre dele til de to LANs og netværket mellem inderste og yderste routere tror jeg ikke ville virke fordi det ville gøre to af netværkene til /30 og det er for lille til noget som helst brugbart. Når man har taget netværks adresse, router adresse og broadcast adresse fra et /30 er der kun en eneste host adresse tilbage.

Løsningen med de tre routere har den fordel at to forskellige netværksadministratorer kan være ansvarlig for de to inderste routere, hvis man ikke kan blive enige om en person til at varetage administrationen.

Den tredje løsning er at sætte en switch på ydersiden af de to routere og få en ekstern IP mere fra jeres Internetudbyder og få dem til at route de to /29 netværk til hver sin IP adresse.

Med denne løsning kunne første router have 198.51.100.2 på WAN siden og 192.0.2.0/29 på LAN siden. Anden router kunne have 198.51.100.3 på WAN siden og 192.0.2.8/29 på LAN siden. Begge routere ville have 198.51.100.1 som deres default gateway.

Den fjerde løsning er at sætte en hub mellem WAN interfacene på de to routere og Internetadgangen ud af huset og så lave en meget usædvanlig konfiguration af de to routere.

Begge routere konfigureres med samme MAC adresse og IP adresse på deres WAN interfaces. I dette eksempel bruger jeg fortsat 198.51.100.2 som WAN IP og 198.51.100.1 som default gateway.

Første router konfigureres med 192.0.2.0/29 på LAN siden samt et pakkefilter der dropper alle pakker med destination 192.0.2.8/29 som modtages fra WAN siden. Den anden router konfigureres omvendt. Det er vigtigt at pakkerne droppes uden at generere nogen fejl og uden forsøg på at forwarde pakkerne.

Fordi dere anvendes en hub i stedet for en switch vil alle pakker udefra automatisk leveres til begge routere. Den ene vil droppe pakken, den anden vil levere den videre til sit lokalnet.

Jeg synes selv den fjerde løsning er problematisk af flere grunde. Det er svært at finde en hub. Det er svært at finde en router der kan konfigureres som beskrevet (men kan lade sig gøre med en PC med f.eks. Linux installeret). Desuden kan en fejl i konfigurationen af den ene router nemt resultere i at det andet LAN får en ustabil forbindelse til Internettet. Endeligt mangler man stadig at finde en løsning på hvordan man får pakker imellem de to LAN.

Personligt vil jeg anbefale løsningen med en enkelt router med tre interfaces.
Gravatar #7 - freesoft
27. aug. 2011 16:59
Måske jeg lige skal forklare lidt nærmere, vi har et range ala:
200.100.100.32 /28
De brugbare IP'er er så 200.100.100.33 - 200.100.100.46
.33 er vores gateway.

Vores router/firewall er en Cisco ASA, deres bliver en eller anden Zyxel.
Bag ved vores router har vi pt. 4-5 forskellige lokalnet/vlan.

I den nærmeste fremtid skulle vi gerne få et /26 range ekstra også. Der kommer til at blive routet som sekundære adresser (ISPs ord).

#6 skrev:
Den tredje løsning er at sætte en switch på ydersiden af de to routere og få en ekstern IP mere fra jeres Internetudbyder og få dem til at route de to /29 netværk til hver sin IP adresse.


Altså jeg skal dele vores /28 i 2 /29:
200.100.100.32/29
+
200.100.100.40/29
?

Eller mener du hver router skal sættes op på wan siden ala:
Router 1:
IP: 200.100.100.34
GW: 200.100.100.33
Subnet: 255.255.255.240

Router 2:
IP: 200.100.100.41
GW: 200.100.100.33
Subnet: 255.255.255.240

Og så skal vi have vores ISP til at route til den anden routers IP, for de adresser de bruger?
Gravatar #8 - kasperd
27. aug. 2011 17:00
Jeg kom i tanke om en femte mulighed. Det afhænger af hvad målet med opdelingen er. Spørgsmålet er så, hvorfor vil du dele de to netværk op og ikke blot forbinde dem med et passende antal switches på indersiden af routeren?

Hvis formålet er en separation af de to netværk af hensyn til en sikkerhedspolitik, så kan det gøres på et andet niveau. Man kan sætte en enhed op til at opføre sig som en switch, men alligevel inspicere pakkerne på IP niveau og filtrere pakker i henhold til politikken.

Jeg ved ikke om der sælges udstyr med den funktionalitet indbygget. Men Linux med ebtables kan i hvert fald klare opgaven.

I denne løsning placeres to filter bokse på hver sit LAN stik på den eksisterende router. På den anden side af fliter boksen placeres en (8-ports) switch til det respektive LAN.

Så længe pakkerne der sendes er i overensstemmelse med sikkerhedspolitikken, så vil netværket opføre sig fuldstændigt som om det var et netværk bestående af fem switches (en switch i routeren plus de to filter boxes plus de to unmananged switches).

Sendes der pakker som ikke accepteres af politikken er hver af de to filter boxe ansvarlige for at blokere dem.

Hvis formålet er at garantere at hvert af de to LAN får deres andel af de interne IP adresser kan ovenstående setup også anvendes. Blokker DHCP pakker til og fra routeren i filter boxene (slå evt. også DHCP serveren helt fra i routeren).

Lav en fast fordeling af IP adresser til de to halvdele af netværket.

Hvis der er brug for DHCP, så sæt en DHCP server op til hver af de to halvdele. DHCP server kan evt. køre på filter boxen. Filter boxens IP adresse til konfiguration og DHCP kan være en RFC 1918 adresse.

Under alle omstændigheder vil en fast fordeling af IP adresser til de to halvdele af netværket gøre konfiguration af filtrene nemmere.

I forhold til alle de andre løsninger giver denne løsning mulighed for mere effektiv udnyttelse af IP adresserne. Du behøver ikke fordele dem med 8 adresser til hver halvdel af netværket. Du kan f.eks. give 9 til det ene og 4 til det andet. Desuden sparer du 3 adresser da der kun skal afsættes et sæt netværksadresse, broadcast adresse og gateway adresse i stedet for et sæt til hver halvdel.
Gravatar #9 - freesoft
27. aug. 2011 17:10
Planen var lidt at de fx kunne få de sidste 5-6 adresser vi ikke bruger af vores range:
200.100.100.33 - 200.100.100.46

Så de bare kunne sættes deres router på og så bruge fra fx. .41 til .46
Jeg ved godt der intet er til hindre for at de så bare kan bruge nogle af de IP'er vi bruger, og det vil give problemer, men det må vi jo have tillid til de ikke gør.
Gravatar #10 - kasperd
27. aug. 2011 17:16
freesoft (7) skrev:
vi har et range ala:
200.100.100.32 /28
I har valgt en brasiliansk internetudbyder? Hint: Hvis du ikke vil skrive de faktiske adresser i eksemplerne, så anvend dem der er reserveret til eksempler. Det er 192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24 og 2001:db8::/32.

freesoft (7) skrev:
I den nærmeste fremtid skulle vi gerne få et /26 range ekstra også. Der kommer til at blive routet som sekundære adresser (ISPs ord).
Hvad vil sekundære adresser sige?

Der er noget galt med dit eksempel. WAN adressen til routeren skal ikke tages fra den pool der er allokeret til LAN siden.

Hvis jeg skal forstå jeres nuværende setup er jeg først nødt til at vide hvor langt et prefix der er på både indersiden og ydersiden af jeres router.
Gravatar #11 - freesoft
27. aug. 2011 17:23
Fra vores hosting udbyder vi tildelt:

Subnet: 203.0.113.32
Broadcast: 203.0.113.47
Netmaske: 255.255.255.240

Brugbare IP adresser: 203.0.113.34 – 203.0.113.46

Default gateway: 203.0.113.33

På indersiden af vores router har vi forskellige private (192.168.3.0, 10.10.1.0 osv) subnets.
Gravatar #12 - kasperd
27. aug. 2011 17:57
Vil det sige at ydersiden af jeres router er tildelt mere end en IP adresse?

Hvordan håndteres indgående trafik? Udfra ovenstående beskrivelse kan jeg forestille mig fire mulige opsætninger.

1. I tillader ingen indgående trafik. I anvender kun de eksterne IP adresser som en pool for NAT til udgående trafik.

2. I har NAT regler til at forwarde specifikke IP/port kombinationer til interne IP/port kombinationer. F.eks. kunne 203.0.113.34:80 forwardes til 192.168.0.1:80 mens 203.0.113.34:25 forwardes til 172.16.2.3:25 og 203.0.113.35:80 forwardes til 10.4.5.6:8080.

3. I har tildelt eksterne IP adresser til nogle computere på lokalnettet og fået jeres router til at sende ARP svar på det eksterne net på vegne af computere på det interne net og så route IP pakkerne til den respektive computer når de er blevet sendt til routeren.

Altså routeren er måske kun tildelt 203.0.113.34, men den svarer på ARP forespørgsler for alle adresser i intervallet 203.0.113.34 – 203.0.113.46.

4. Alle eksternt tilgængelige servere er placeret udenfor routeren.
Gravatar #13 - freesoft
28. aug. 2011 06:08
Vores WAN interface har den først ip .34
Så har jeg en global nat pool til resten af ip'erne og natter ud.

Må være din nr. 2.
Gravatar #14 - kasperd
28. aug. 2011 07:49
freesoft (13) skrev:
Vores WAN interface har den først ip .34
Så har jeg en global nat pool til resten af ip'erne og natter ud.

Må være din nr. 2.
Du er nødt til at tildele alle adresserne til interfacet for at du kan bruge dem til NAT.

Jeg er stadig ikke helt sikker på hvordan jeres opsætning fungerer. Men det lyder som om det er en opsætning som godt ville kunne fungere som du skitserede i den første figur. Det kræver selvfølgelig at den anden Zyxel router kan konfigureres på en lignende måde.

Lav om på konfigurationen af den eksisterende router så den ikke anvender alle IP adresserne og konfigurer den anden router til at anvende dem der blev frigjort fra den første.

Uanset hvad features den anden router har, så burde du i hvert fald kunne tildele den en af IP adresserne på den måde. Om den understøtter flere adresser på sit eksterne interface ved jeg ikke.
Gravatar #15 - freesoft
28. aug. 2011 10:16
#14
Tak det var også min tanke, kunne bare ikke lige greje det i mit hoved, hvis det ikke skulle virke.
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login