+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Решение проблемы PROXY-ARP – руководство.

Решение проблемы PROXY-ARP – руководство., RouterOS

spire2z

Guest

06.09.2005 15:48:00

Привет! Возможно, вы видели мои предыдущие посты с просьбой о помощи с proxy-arp, ну что, остались без ответа, но, как обычно, я разобрался и решил поделиться: это действительно полезно, если у вас настроен NAT и вам нужно назначить некоторые публичные IP-адреса внутри NAT, не знаю, зачем они вам, но это довольно просто, когда знаешь, как, но может быть сложно настроить из-за нехватки информации, особенно если речь идет о MikroTik, потому что, хотя это по сути маршрутизатор на базе Linux, он довольно закрытый с точки зрения настройки по сравнению с обычным Linux.

1/ Включите proxy-arp на обеих публичных и приватных интерфейсах.
2/ Выберите публичный IP-адрес в вашем публичном блоке, который еще не используется.
3/ Перейдите в IP Routes в MT и добавьте запись следующим образом:
Destination = желаемый публичный IP-адрес
Gateway = IP-адрес вашего приватного интерфейса MT
Pref Source = IP-адрес вашего приватного интерфейса MT
4/ В ПК, к которому вы хотите назначить публичный IP-адрес, настройте его так, как будто он находится на публичной стороне маршрутизатора, с шлюзом и DNS вашего основного провайдера, но используя новый IP-адрес. Simple queues нужно только указать IP-адрес и они будут работать как обычно, то же самое с mangle, как будто это приватный IP-адрес – это хорошо.

sublimespot

Guest

26.10.2005 07:57:00

Я всё настроил, как ты говорил, и возникла одна проблема. Если я пытаюсь подключиться к компьютеру за хотспотом (у которого публичный IP), подключение устанавливается, но компьютер не отвечает. Я вижу входящее подключение в личном брандмауэре на этом компьютере. SYN-запрос отправляется. Какое правило мне нужно добавить, чтобы разрешить этому компьютеру за хотспотом (с публичным IP) отвечать?

jaytcsd

Guest

26.10.2005 08:11:00

На моем хотспоте настроены правила mangle, иначе пакеты будут отклоняться, потому что роутер требует их аутентификации через страницу входа.
;;; исходящие пакеты для NATTED PC src-address=192.168.0.173/32 action=accept mark-flow=hs-auth
;;; входящие пакеты для NATTED PC dst-address=192.168.0.173/32 action=accept mark-flow=hs-auth

sublimespot

Guest

26.10.2005 08:27:00

Хм. У меня немного другая настройка. Хочу, чтобы они аутентифицировались на экране входа, но при этом имели публичный IP-адрес, чтобы могли запускать сервисы и прочее. Может, я не туда смотрю. Раньше я оставлял им приватный IP-адрес, а затем настраивал SRC и DST NAT, чтобы перенаправлять публичный IP-адрес к ним. Хотя, если есть более простой способ, я только за.

jaytcsd

Guest

28.10.2005 06:18:00

У нас всего несколько пользователей, которым нужно подключаться к определенному ПК на стороне роутера, поэтому я использую авторизацию по MAC-адресам, чтобы они не тратили время на ввод логина. Я использовал это и для IP-видеокамер.

sublimespot

Guest

02.11.2005 20:47:00

Блин, чувствую себя полным идиотом! Я проверил Интерфейсы, и там оказалась настройка "ARP: enabled". Я подумал, что это значит, что прокси ARP включен. А оказалось нет. Пришлось изменить настройку на "ARP: proxy arp" – и тогда у меня всё заработало.

nbson

Guest

29.09.2005 20:13:00

Назначение = общедоступный IP-адрес, который вы хотите использовать
Шлюз = IP-адрес вашего MT (Multiprotocol Tunneling) приватного интерфейса
Pref Source = IP-адрес вашего MT приватного интерфейса

Мы это делаем, и у нас не включён proxy-arp. И работает. Хотя не работает на роутерах Linksys (ну, по крайней мере, на befsr41).

spire2z Guest	#8 0 14.10.2005 10:03:00 Может, заработает, если включишь proxy-arp?

Ronnie123 Guest	#9 0 15.10.2005 00:59:00 Пытаюсь добавить IP-маршрут в WinBox, но не могу ввести адрес назначения. Он принимает только 0.0.0.0. Есть какие-нибудь предложения?

wildbill442 Guest	#10 0 15.10.2005 17:48:00 Ты включаешь маску сети? Если ты вводишь 32-битный адрес, то в конце адреса нужно поставить /32. Например: 66.45.223.12/32.

Ronnie123 Guest	#11 0 16.10.2005 00:59:00 Вот и всё. Спасибо вам обоим за помощь. Кстати, не по теме… с двумя WAN-портами, как настроить так, чтобы трафик с конкретного NAT-адреса на LAN всегда выходил через определённый WAN-порт?

moya

Guest

#12

16.10.2005 05:01:00

Я тоже сделал как в примере, и у меня получилось. Но когда я захожу на http://www.whatismyip.com, там показывает публичный IP от роутера. Как сделать так, чтобы там отображался IP, который я назначил клиенту? Спасибо, -Cesar.

jaytcsd Guest	#13 0 16.10.2005 06:03:00 Думаю, тебе нужно настроить правило src-nat, не уверен, это будет "маскировка" или nat из вкладки "Действия". По-моему, у форумного пользователя Cameron была такая же проблема, и он решил её именно так.

spire2z Guest	#14 0 18.10.2005 21:07:00 Ты используешь веб-прокси? Если да, то он будет показывать IP-адрес MT.

moya Guest	#15 0 19.10.2005 03:30:00 Spire2z, веб-прокси не используется вообще. Кстати, я использую MT 2.9.6, может, это что-то изменит. Jaytcsd, спасибо за твой вклад, но мне нужно выдать клиенту публичный IP. Спасибо, -Cesar

wildbill442

Guest

#16

19.10.2005 04:17:00

Моя, тебе нужно просто создать правило src-nat. Выбери цепочку src-nat и добавь новое правило, которое будет перенаправлять весь трафик с этого локального IP (10.10.10.10) в этот публичный IP (24.32.3.220), например (2.8.x): / ip firewall src-nat add src-address=10.10.10.10/32 action=nat to-src-address=24.32.3.220. Это по сути означает, что весь трафик, приходящий с локального IP 10.10.10.10, будет транслироваться в 24.32.3.220…

Ronnie123 Guest	#17 0 19.10.2005 04:41:00 Будет ли какая-нибудь возможность организовать прозрачное перенаправление трафика? Чтобы существующие клиенты со статическими реальными адресами не нуждались в каких-либо изменениях конфигурации.

moya Guest	#18 0 19.10.2005 07:12:00 Спасибо, WilBill, попробую завтра утром.

spire2z

Guest

#19

20.10.2005 16:40:00

Я использовал 2.8 для своей настройки. Но тот факт, что у тебя установлен адрес и всё работает, всё равно указывает на то, что ты почему-то маскируешь всё. Проверь свои правила исходного NAT и укажи там адреса приватной сети, чтобы маскировались только они, а не публичный адрес. Я знаю, что документация MT говорит о том, чтобы просто указывать 0.0.0.0/0, что будет маскировать всё на WAN-адрес. Используй лучше что-то вроде 192.168.1.0/24 (или какой у тебя локальный диапазон?) чтобы маскировались только приватные адреса. Это должно всё исправить, чувак… Если ты делаешь 1-к-1 NAT, ты не сможешь дать клиентам реальный IP, и хотя у них будет работающая настройка, они подумают, что она хуже, чем ADSL, просто потому, что у них приватный адрес??? К тому же, кое-что всё равно не будет работать как надо с 1-к-1 NAT.

moya Guest	#20 0 23.10.2005 09:16:00 Ненавижу, когда ты прав!!! ) Я все это время маскировал IP-адреса, поэтому http://www.whatismyip.com показывал внешний IP-адрес от роутера. В общем, чтобы помочь бедняге не тратить слишком много времени на эту проблему, покажу, как я сделал это в версии 2.9.6. /ip firewall nat add chain=srcnat src-address=192.168.1.50 action=src-nat to-address=xxx.xxx.xxx.1 to-ports=0-65535 /ip firewall nat add chain=dstnat dst-address=xxx.xxx.xxx.1 action=dst-nat to-address=192.168.1.50 to-ports=0-65535 Если ты выведешь это, то должно получиться что-то вроде этого: 0 ;;; X Server chain=srcnat src-address=192.168.1.50 action=src-nat to-addresses=xxx.xxx.xxx.1 to-ports=0-65535 1 ;;; X Server chain=dstnat dst-address=xxx.xxx.xxx.1 action=dst-nat to-addresses=192.168.1.50 to-ports=0-65535 3 chain=srcnat out-interface=wan action=masquerade Главное, убедись, что ты разместил эти правила (1 и 2) до маскирования (3). Надеюсь, это поможет. Огромное спасибо за всю помощь, которую вы мне оказали. Без нее я бы до сих пор боролся с этим. С уважением, -César

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры