+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

proxy-arp assistance.

proxy-arp assistance., RouterOS

marvin

Guest

22.07.2005 21:23:00

У нас такая вот схема. Двухпроводной роутер с блоком из 5 IP-адресов. Mikrotik RouterOS со следующими бриджами: Bridge1: ether0, wlan1, wlan2, wlan3, wlan4, wlan5, bridge1: 192.168.0.70/16. Нам нужно предоставить внешние IP-адреса 3 клиентам, которым мы будем предоставлять каналы связи, и им действительно необходимо решение без NAT, чтобы их программное обеспечение для безопасных платежей работало как надо.

Единственный способ, который я знаю, как это сделать через несколько беспроводных мостов — использовать proxy-arp. Я собирался настроить так: провайдер к коммутатору, Xincom двухпроводной роутер к коммутатору, Mikrotik RouterOS к коммутатору с включенным proxy-arp на всех беспроводных интерфейсах. Что мне нужно настроить для proxy-arp? Нужны ли какие-то форвардеры? Помимо включенного proxy-arp на бридже к клиенту? У первого клиента вот что:

Mikrotik RouterOS: 192.168.0.70/16
Бридж к первой вышке по WDS с RouterOS: 192.168.0.71/16
Бридж к вышке клиента с RouterOS: 192.168.0.73/16
У коммутатора клиента внешний адрес, например: 66.15.99.195/24

Я понимаю, что роутеру ether0 придется иметь внешний IP-адрес, например, 66.15.99.194/24, но он будет только на ether0 или это будет IP-адрес бриджа? И будет ли это мешать всем остальным беспроводным подключениям на этом сервере, которые переводятся через NAT, раз всё это один бридж, идущий к точкам-точкам и AP-линкам? Кто-нибудь может помочь с proxy-arp?

GJS

Guest

24.07.2005 03:09:00

Ну, во-первых, чтобы передать IP-адрес через бридж, делать что-то особенное не нужно. Бридж — это устройство второго уровня и передаёт данные независимо от протокола, будь то IP или что-то ещё. IP-адреса назначаются бриджу только для управления им. Кроме того, я не понимаю вашу конфигурацию. Можете ли вы объяснить её ещё раз, может быть, игнорируя бриджи, чтобы упростить? Proxy ARP просто заставляет интерфейс роутера отвечать на ARP-запросы для любого IP-адреса, который есть в его таблице маршрутизации. Так что, если вы хотите, чтобы адрес просто прошёл через роутер, добавьте статическую запись маршрутизации для этого адреса и интерфейс, через который он должен выйти, а затем включите proxy ARP. Надеюсь, это поможет.

marvin

Guest

24.07.2005 06:49:00

Окей, у нас есть двухканальный роутер. У каждого свой блок IP-адресов, поэтому я выставил статический IP для самого роутера 66.15.99.x на wan 2.
wan 2 роутера: 66.15.99.192/24
lan роутера: 192.168.0.1/16
Микротик роутер: 192.168.0.70/16
Клиенту нужен IP 66.15.99.195 как статический. Судя по моему пониманию, мне нужно присвоить, скажем, 66.15.99.193/24 к стороне ethernet и включить proxy-arp. И, насколько я понимаю, опираясь на твой пример, дальше нужно выставить статический роутер, указывающий, что 66.15.99.195 выходит, скажем, через wlan1, и попросить клиента указать этот IP в их оборудовании. Верно?

А вот вопрос. wlan1, wlan2, wlan3, wlan4, wlan5, ether0 все объединены в bridge1 с одним IP 192.168.0.70/16. Теперь, когда я использую proxy-arp, мне нужно proxy-arp весь bridge1 или только отдельные wlan?

tneumann

Guest

24.07.2005 09:48:00

Марвин, ну не можешь ли ты просто подразделить 66.15.99.0/24, который сейчас полностью находится на стороне WAN твоего роутера? Давай, например, раздели его на 66.15.99.0/25 и 66.15.99.128/25 и используй только 66.15.99.0/25 на стороне WAN, а адреса из 66.15.99.128/25 направляй на LAN/беспроводную сторону? Так ты избавишься от всей этой возни с proxy-arp. Я вот никогда не понимаю, почему люди так много ковыряются с NAT и proxy-arp и прочей ерундой. Если клиент хочет статические, официальные адреса, направляй ему статические официальные адреса, ради бога... –Том

marvin Guest	#5 0 24.07.2005 19:15:00 У нас нет всего класса C, это просто особенность маршрутизации у нашего провайдера. Но у нас есть небольшой блок IP-адресов с подсетью класса C.

tneumann

Guest

24.07.2005 20:32:00

Окей, попросите своего провайдера выделить вам ещё одну сеть (нужного размера, чтобы ваши беспроводные клиенты могли её использовать) и настроить маршрутизацию через ваше текущее подключение, используя ваш роутер в качестве шлюза (с точки зрения провайдера). –Том

GJS

Guest

25.07.2005 13:13:00

Да, это верно, хотя вы не указали, к какому интерфейса MT назначен 192.168.0.70/16. Я полагаю, это восходящий порт (кстати, зачем вы используете /16, у вас 65 000 устройств в сети?). Я не думаю, что можно добавить wlan1 в таблицу маршрутизации, если он назначен мосту. Интерфейс моста нужно добавить в таблицу маршрутизации в качестве шлюза. ARP-запрос для отправляемого пакета будет идти ко всем интерфейсам, назначенным мосту. По поводу вашего последнего вопроса, насколько я понимаю, proxy-arp можно включить только на интерфейсе моста, а не на отдельных физических интерфейсах, подключенных к мосту, хотя я не уверен.

marvin

Guest

26.07.2005 14:10:00

ГДЖС, нет, дело не в том, что нам пришлось использовать /16. У нас есть блок BMU, у которого отдельные IP-адреса класса C для инфраструктуры, внутренней сети, шлюза точки доступа и клиентов. Чтобы связать их вместе, компании пришлось сделать BMU /16, а чтобы роутер мог нормально общаться со всеми 4 IP-адресами, тоже пришлось сделать /16. Powernoc, компания, производящая BMU, сначала пыталась использовать 4 отдельных класса C с /24, но у них возникли серьезные проблемы, и им пришлось объединить их в диапазон класса B. Изначально я назначил IP-адрес 192.168.0.70/16 на ether0, но поскольку сейчас всё объединено в один мост, он назначен непосредственно на мост. Это неправильно, или лучше оставить его на ether0?

wildbill442 Guest	#9 0 27.07.2005 07:09:00 Нам нужно выдать внешние IP-адреса 3 клиентам, которым мы будем предоставлять backhaul-соединения, и им действительно требуется не-NAT-решение, чтобы их безопасное биллинговое программное обеспечение работало корректно. 1:1 NAT должно работать хорошо: клиент настраивает статический частный IP-адрес, а публичный IP-адрес отображается на этот частный адрес. Нужно правильно настроить SRC и DST NAT, чтобы это работало. Биллинговое программное обеспечение клиентов будет отправлять/получать запросы с публичного IP-адреса, и ему это будет не важно. Можно также использовать PAT и просто перенаправлять необходимые порты. Если вы используете 1:1 NAT, пакеты все равно будут обрабатываться правилами вашего брандмауэра, поэтому убедитесь, что вы не блокируете порты, которые им нужны, или просто настройте правило, чтобы разрешить весь трафик для этого конкретного клиента, и оставьте их заниматься собственной брандмауэрной защитой. Proxy ARP изначально не предназначен для использования так, как вы пытаетесь, и это больше риск безопасности, потому что позволяет пользователям использовать неавторизованный IP-адрес для доступа к вашей сети. Proxy ARP был разработан для упрощения миграции больших сетей на новые схемы IP, например, если вашему провайдеру пришлось перевести вас с 121.52.39.0/24 на 121.52.40.0/24… тогда вы могли бы включить proxy arp, чтобы постепенно переводить вашу сеть на новую схему IP с минимальным временем простоя.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры