Mikrotik RouterBoard in moj scenarij

Racunalnik v svoj port v rb, nov subnet zanj (samo en ip) + aclji za routing na routerboardu.

twom je 11. jul 2011 ob 11:08 izjavil:

Moj scenarij:
Računalnik z eno NIC (nastavljeno na multiple IP: dhcp, 192.168.1.2, 192.168.8.2)
RouterBoard RB750
Več različnih naprav na 192.168.1.1/24 in 192.168.8.1/24 mrežah

Povezava:
RB750 port A: backbone (192.168.80.XXX, DHCP server, intranet, internet, ftp, ...)
RB750 port B: switch za 192.168.1.1/24 naprave
RB750 port C: switch za 192.168.8.1/24 naprave

Rad bi da računalnik vidi vse tri mreže, mreže pa da se med seboj ne vidijo.

Trenutno sploh ne vem kaj naj iščem med množico kratic in nastavitev na MikrotTik support straneh (manuali in forum)

Če me kdo lahko usmeri v pravo smer ...

Lep pozdrav,
Peter

To ni tako zelo komplicirano. Privzeto na Mikrotiku za t.i. connected subnete (torej te, ki jim nastaviš IP na portih) že deluje forwarding, tako da moraš v tvojem scenariju le preprečiti pretok paketov v smeri B-A, C-A in B--C.
To narediš v IP/Firewall in dodaš v Forward chain drop roule, ki pobije paketke, ki izvirajo iz B in gredo v A itd.
Še bolje je, če narediš ALLOW pravilo in dovoliš le A v vse, ostalo pa dropneš. Tako boš mel večji nadzor nad tem, kaj se dejansko dogaja. POMEMBNO: ker je zadeva statefull firewall, moraš dovoliti seje, ki so že vzpostavljene. Sicer bo prvi paket denimo iz A prišel bo B, odgovor nazaj pa ne. Torej dodaj nekam zgoraj še pravilo ALLOW CONNECTED in za čudne protokole ALLOW RELATED.

Mogoče je smiselno reči še kakšno o NAT v tem scenariju. SRC-NAT lahko narediš za cel 192.168.0.0./16 subnet, izbereš kar akcijo Masquerade. Nisem čist prepričan, ampak lahko da je treba tudi v FW chain potem dovolit promet v internet. Da ne bi posebej navajal kaj se sme in kaj ne, lahko specificiraš kar izhodni port. Tako bo router dovolil vse povezave, ki gredo proti internetu in se ti ne bo treba ukvarjati s tem, da dovoliš cel internet (0.0.0.0/0) in hkrati prepoveš en del tvoje mreže..


Pa še za napredne: Če imate NAT naluknjan "nazaj", torej DST-NAT, in želite, da so storitve, ki jih gostujete doma, dostopne tudi iz notranjih mrež (torej nekakšen loop-back), se je treba za to nekoliko bolj potruditi. Tule je en moj blog kako: http://blog.virtua.si/2010/08/loopback-...

lp,
nejc