Частные и реальные IP-адреса в одной сети

[Gennady82]

Ситуация: есть сеть из 10ти компьютеров. Компьютеры объеденены одним хабом. Среди них есть компьютер с двумя сетевыми картами, который является прокси-сервером интернет-услуг (Win2003Std КД). Выход в Инет через ADSL-модем, который подключён к хабу. На прокси одна сетевая карта имеет адрес 192.168.1.1, вторая - 213.145.151.162 / 255.255.255.248 (реальный). В локальной сети компьютеры имеют адреса 192.168.1.0/255.255.255.0 * *Один компьютер в локальной сети имеет реальный адрес 213.145.151.164 / 255.255.255.248
Между "частниками" и "реальными" нет пинга и компы друг друга не видят в Сетевом окружении. Что делать, чтобы видели и пинговались? Маршрутизацю прописать или что-то ещё?

[Andy_user]

Прежде чем ответить на Ваши вопросы, хочу заметить, что топология построения Вашей сети очень плоха.
Может сначала попробуем перестроить сеть ?

[Gennady82]

Да, согласен, с точки зрения безопасности (и думаю, не только безопасности) не фонтан. Но я только учусь. Я с радостью рассмотрю любые предложения по модернизации сетки.

[Andy_user]

Предлагаю такой вариант построения Вашей сети:
Интернет-провайдер
!
ADSL-модем
!
Хаб --- Комп с реальным адресом
!
Ком (прокси)
!
Хаб
!
Все остальные компьютеры сети (с "частными" адресами)
--------------------------
Хочу заметить, идея использовать один комп и как контроллер домена, и как прокси, и как маршрутизатор (у Вас пока этого нет, но возможно будет в будущем) - это не есть хорошо. Лучше, чтобы контроллер домена был внутри частной сети.


Исправлено: Andy_user, 14:47 20-05-2004

[Gennady82]

Про схему: так оно и было. От провайдера трафик шёл на модем, с модема на сетевую сервера с реальным адресом, затем посредством WinRoute (через вторую сетевую карту сервера с частным адресом и хаб) трафик шёл к клиентскому месту в локальной сети. Но возникла необхоимость в реальном адреме на одном из компьютеров. И пришлось модем "втыкать" в хаб, сетевую карту сервера с реальным адресом - тоже в хаб. А иначе тот "реальный" компьютер (это у шефа) не выходил в Инет. Но поменять обратно - это не проблема. Для меня проблема в том, как его потом в Инет вывести.

Добавлено:

Идея использовать один комп и как контроллер домена, и как прокси, и как маршрутизатор  - не есть хорошо, но вот нет денег на выделенные серверы/компьютеры (по той же причине, я думаю, у них работаю я, а не админ-профи).

[Lamo]

но вот нет денег на выделенные серверы/компьютеры
короче понятно знакомая ситуевина...
и при этом еще и хотят спутники запускать.

теперь вопрос критичный - адреса статичные
или пров их из пула раздает - кто успел тот и съел ?

у тебя только один выход - дать остальным машинам
адреса из диапазона 213.145.151.*
просто прокси теперь не актуален, любой ломак
сервера с реальным адресом - тоже в хаб.
может его обойти и ломануться в ИНет прямиком...
сервер ничего не контролирует.

вот только что пров на все это скажет... интересно даже...
я бы вломил за сие...

Можно поробовать трансляцию по портам сделать,
но не уверен что сработает... да и там своего гемора хватает...

Чтобы хоть как-то привести сие безобразие в порядок
нуно еще свич один...

[Gennady82]

теперь вопрос критичный - адреса статичные
или пров их из пула раздает - кто успел тот и съел ?

Реальные - статика. Они фиксированные на модеме, на "внешней" сетевой карте. На сетевой карте (у шефа) реальный адрес - тоже статика (хотел через DHCP привязать к MAC, но что-то не получается). Так что, все реальные - статика. А вот частные 192.168.x.x - через DHCP с привязкой по MAC (тоже, можно сказать, статичные)






у тебя только один выход - дать остальным машинам
адреса из диапазона 213.145.151.*
просто прокси теперь не актуален, любой ломак
может его обойти и ломануться в ИНет прямиком...
сервер ничего не контролирует.

Да, но это приведёт к безконтрольному доступу в Инет, а мне за трафиком следить надо. Может лучше вернём топологию "на место"?





вот только что пров на все это скажет... интересно даже...
я бы вломил за сие...

У нас маска для реальных адресов - 255 255 255 248 - и восемь адресов, а компов больше. Лучше им реальные не ставить, я думаю - из соображений безопасности, например.





Чтобы хоть как-то привести сие безобразие в порядок
нуно еще свич один...

Так, а по-подробнее?

[Andy_user]

To Lamo:
"теперь вопрос критичный - адреса статичные или пров их из пула раздает - кто успел тот и съел ? "
Интересный вопрос. Вы обратили внимание на то, что Автор топика сообщает о связи с интернет через ADSL-модем ??

"у тебя только один выход - дать остальным машинам адреса из диапазона 213.145.151.* "
Из маски 255.255.255.248 и из того факта, что один адрес нужен для ADSL-модема, вытекает, что "остальных машин" с реальными адресами может быть всего 5 (пять) штук.

[Lamo]

Gennady82
И пришлось модем "втыкать" в хаб, сетевую карту
сервера с реальным адресом - тоже в хаб
Да, но это приведёт к безконтрольному доступу в Инет
Ты меня не понял - это не предложение,
а констатация свершившегося.
Да это уже к нему привело - что удержит узера
сменить IP своей машины на 213.145.151.* и ломануться
в ИНет - да ничего !
Твой PDC ничего не контролирует.
а мне за трафиком следить надо.
а как трафик "шефа" учитывать собираешься ?
он ведь мимо прокси идет...
или просто валить все левое на него будешь ?
Так, а по-подробнее?
постом выше
Предлагаю такой вариант построения Вашей сети:
Интернет-провайдер
!
ADSL-модем
!
Хаб --- Комп с реальным адресом
!
Ком (прокси)
!
Хаб
!
Все остальные компьютеры сети (с "частными" адресами)

Хочу заметить, идея использовать один комп и как
контроллер домена, и как прокси, и как маршрутизатор
(у Вас пока этого нет, но возможно будет в будущем) - это не есть хорошо.
Лучше, чтобы контроллер домена был внутри частной сети.
Прим слишком уязвим из-за запущеных на нем сервисов,
дыр больше чем в решете.
Наилучшее решение поставить на прокси отдельный комп
с минимумом сервисов - только необходимые.
(Лучший вариант для этого вообще бисди/юних,
но меня собссно и мелкие устраивают)


Добавлено:

Andy_user

Из маски 255.255.255.248 и из того факта, что один адрес нужен для ADSL-модема, вытекает, что "остальных машин" с реальными адресами может быть всего 5 (пять) штук.

в курсе
вот только что пров на все это скажет... интересно даже...
я бы вломил за сие...
надеюсь понятно выразился ;)
Все сводиться к тому что отсутствие финансирования и
"куча желаний шефа" приводит к бардаку в сети.
вот что ты посоветуешь, если ему на свич бабок не дадут ?
мне очень интересно...
только грабли

[Gennady82]

У меня вопрос был несколько в другом. Как настроить маршрутизацию (и что-то ещё, если нужно), чтобы две сети (с реальными и частными адресами), подключенные к одному хабу видели друг друга (например, пинговались). Это вообще возможно?

[Andy_user]

Есть 2 способа: правильный и кривой.
1. Правильный способ
Один из компов должен быть маршрутизатором между Вашими 2-мя IP сетями. У него должно быть 2 (два)  IP адреса, по одному из каждой IP подсети. На нем должен быть разрешен форвардинг IP пакетов. На каждом из компов в качестве основного шлюза надо указать IP адрес этого маршрутизатора, принадлежащий подсети, в которой находится комп.

2. Кривой способ
На каждой из машин, подключенных в хаб, независимо от того, к какой подсети они принадлежат, в качестве основного шлюза указать свой собственный адрес IP интерфейса.
Еще раз предупреждаю, второй способ плохой и есть случаи, когда его применить нельзя...

[Gennady82]

По поводу второго - я очень сомневаюсь, что он будет работать.

Первый. Я так и делал (см. пост о видимости сегментов http://www.forum.oszone.net/topic.cgi?forum=33&topic=1873) пакеты не проходят. Пинга нет.

[Andy_user]

Насчет второго способа.
И более знающие сомневались. Однако...
Сходите по ссылке, очень поучительно:
http://forum.citforum.ru/viewtopic.php?t=25742
--------------------
По поводу отсутствия пингов:
Выбираете 2 машины, между которыми нет пингов.
Даете route print  с каждой и результат в студию.

Добавлено:

Судя по некоторым признакам, по ссылке ходили.
И каковы впечатления ?

[Gennady82]

Удивился. :)

Но ведь это мне не поможет. Я спрашивал о том, каким образом настроить маршрутизацию, чтобы хосты в разных сетях (но физически в одном хабе) видели друг дрга?
"Само-шлюз" мне не поможет, так как шлюзом для рабочих станций явл-ся сервак, через него они выходят в Инет.

[Andy_user]

1. Вам предлагалась другая топология сети. Итак, какая сейчас топология ?
2. Предлагалось дать результаты выполнения команд route print с 2-х компов, между которыми нет пинга. Где они ?

[Gennady82]

Давайте пока топологию трогать не будем (модем всё ещё в хабе) и поставим такую задачу (исходя из текущей топологии, той её части, которая останется после изменения):

Хаб (или свитч - разница для маршрутизации большая?)
В хаб включены два (реально - больше) компьютера с адресами 192 168 1 х / 255 255 255 0 и 213 145 151 х / 255 255 255 248

Они не пингуются. И в Сетевом окружении их не видно. Сейчас привиду print route для них.

Добавлено:

Это для компьютера с реальным адресом.

C:\>route print
===========================================================================
Список интерфейсов
0x1 ........................... MS TCP Loopback interface
0x2 ...00 72 af 00 00 66 ...... Realtek RTL8139 Family PCI Fast Ethernet NIC - P
acket Scheduler Miniport
===========================================================================
===========================================================================
Активные маршруты:
Сетевой адрес * * * * * Маска сети * * *Адрес шлюза * * * Интерфейс *Метрика
* * * * *0.0.0.0 * * * * *0.0.0.0 *213.145.150.161 *213.145.150.164 * * *20
* * * *127.0.0.0 * * * *255.0.0.0 * * * *127.0.0.1 * * * 127.0.0.1 * * * 1
*213.145.150.160 *255.255.255.248 *213.145.150.164 *213.145.150.164 * * *20
*213.145.150.164 *255.255.255.255 * * * *127.0.0.1 * * * 127.0.0.1 * * * 20
*213.145.150.255 *255.255.255.255 *213.145.150.164 *213.145.150.164 * * *20
* * * *224.0.0.0 * * * *240.0.0.0 *213.145.150.164 *213.145.150.164 * * *20
*255.255.255.255 *255.255.255.255 *213.145.150.164 *213.145.150.164 * * *1
Основной шлюз: * * 213.145.150.161
===========================================================================
Постоянные маршруты:
*Отсутствует

C:\>








Это для компьютера с частным адресом.

C:\>route print
===========================================================================
Список интерфейсов
0x1 ........................... MS TCP Loopback interface
0x2 ...00 ee b1 04 28 f8 ...... Realtek RTL8139 Family PCI Fast Ethernet NIC - P
acket Scheduler Miniport
===========================================================================
===========================================================================
Активные маршруты:
Сетевой адрес * * * * * Маска сети * * *Адрес шлюза * * * Интерфейс *Метрика
* * * * *0.0.0.0 * * * * *0.0.0.0 * * *192.168.1.1 * 192.168.1.104 * * * 20
* * * *127.0.0.0 * * * *255.0.0.0 * * * *127.0.0.1 * * * 127.0.0.1 * * * 1
* * *192.168.1.0 * *255.255.255.0 * *192.168.1.104 * 192.168.1.104 * * * 20
* *192.168.1.104 *255.255.255.255 * * * *127.0.0.1 * * * 127.0.0.1 * * * 20
* *192.168.1.255 *255.255.255.255 * *192.168.1.104 * 192.168.1.104 * * * 20
* * * *224.0.0.0 * * * *240.0.0.0 * *192.168.1.104 * 192.168.1.104 * * * 20
*255.255.255.255 *255.255.255.255 * *192.168.1.104 * 192.168.1.104 * * * 1
Основной шлюз: * * * * 192.168.1.1
===========================================================================
Постоянные маршруты:
*Отсутствует

C:\>

Добавлено:

Но вот на мой взгляд, таблицы маршрутизации на этих компьютер трогать не ужно. Прописывать маршруты нужно на сервере, ведь только он сразу в обеих сетях, благодаря двум сетевым картам.

[Andy_user]

Давайте сначала определимся какая у Вас реальная подсеть.
Варианты:
213.145.150.160 (255.255.255.248)
или
213.145.151.160 (255.255.255.248)

[Gennady82]

150 (была изменена из соображения безопасности - форум публичный)

Фактически: 213 145 150 160 / 255 255 255 248

[Andy_user]

Если сервер-маршрутизатор имеет два IP адреса:
213.145.150.162
192.168.1.1
то на компе с реальным IP в качестве основного шлюза укажите
213.145.150.162

[Gennady82]

Угу. По идее. Пинг внешних узлов (www.kg, например) пропадает.