anahaym
Full Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Цитата:| теперь микротики воткнуты в один свич, |
свитч - это тупая железка, которая никак не влияет на маршрутизацию IP сетей, потому что работает на уровне ARP (+- broadcast)
Цитата:| Рисуйте полную схему как всё устроено. |
переделал сеть. теперь один МК, на котором:
Код: [admin@MT-GW] /ip address> print
Flags: X - disabled, I - invalid, D - dynamic
# ADDRESS NETWORK INTERFACE
1 192.168.28.1/24 192.168.28.0 ether2
2 192.168.29.1/24 192.168.29.0 ether3
8 10.254.1.1/24 10.254.1.0 ether4
[admin@MT-GW] /ip route> print
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme,
B - blackhole, U - unreachable, P - prohibit
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
4 ADC 10.254.1.0/24 10.254.1.1 ether4 0
10 ADC 192.168.28.0/24 192.168.28.1 ether2 0
11 ADC 192.168.29.0/24 192.168.29.1 ether3 0
[admin@MT-GW] /ip firewall nat> print
Flags: X - disabled, I - invalid, D - dynamic
0 chain=srcnat action=masquerade src-address=192.168.28.0/24 log=no log-prefix=""
1 chain=srcnat action=masquerade src-address=192.168.29.0/24 log=no log-prefix=""
2 chain=srcnat action=masquerade src-address=10.254.1.0/24 log=no log-prefix=""
|
28 сетью пользуюсь только я, для подключения к МК.
Все порты подключены к одному свитчу. VLAN нет.
но проблема таже (проблема с пингом решена):
когда с 192.168.29.142 подключаюсь к linux серверу 10.254.1.13, то этот линукс видит сессию не из 192 сети, а с МК:
Код: root@nf1ber:~# who
root pts/0 2016-09-22 17:05 (10.254.1.1) |
первый вопрос:
правильно ли я понял, что если включить правило NAT, как у меня написано выше, то натирование будет в любых направлениях (с любого на любой интерфейс) ?
второй вопрос, немного не по этой теме:
сейчас у меня включен только NAT. Какие правила мне написать в firewall, чтобы закрыть подключения из вне? сейчас правил вообще никаких нет... доступ закрыл пока только так (разрешил доступ только с внутренних ип)
Код: [admin@MT-GW] /ip service> print
Flags: X - disabled, I - invalid
# NAME PORT ADDRESS CERTIFICATE
0 XI telnet 23
1 XI ftp 21
2 www 80 192.168.28.0/24
192.168.29.0/24
10.255.0.0/16
3 ssh 22 192.168.29.0/24
192.168.28.0/24
4 XI www-ssl 443 none
5 api 8728 192.168.29.0/24
192.168.28.0/24
6 winbox 8291 192.168.29.0/24
192.168.28.0/24
7 api-ssl 8729 192.168.29.0/24 none
192.168.28.0/24
|
на сколько я понял МК, то он не содаёт правило по умолчанию - блокировать всё на внешнем порту, т.к. для него не существует таких понятий, как "внешний" и "внутренни" порт.
Очень прошу помочь с этим вопросом.
вот этого будет достаточно? |
Всего записей: 586 | Зарегистр. 24-03-2007 | Отправлено: 18:23 22-09-2016 | Исправлено: anahaym, 18:57 22-09-2016 |
|
