Не хватает пула ip адресов для всех пользователей?
Что делать в ситуации когда пула ip адресов на всех не хватает, и интернет начинает работать с перебоями?
94731 / 64177 / 26122
Регистрация: 12.04.2006
Сообщений: 116,782
Ответы с готовыми решениями:
Расширение пула адресов DHCP
Здравствуйте! Закончились адреса в 1 области DHCP. Создал суперобласть и добавил еще одну. Клиенты.
Добавление большого пула айпи адресов в блок лист
здравствуйте, так уж получилось что на один из моих серверов идет атака,есть список айпи адресов с.
Ошибка HTTP 403.14, смена пула адресов не помогает
Здравствуйте. Написал ASP.NET MVC приложение. Затем опубликовал его на тестовом сервере Windows.
2008R2 NAT + настройка пула адресов, резервирование ip, статический маршрут
Добрый день, Сервер 2008 R2 std Работает как шлюз, две сетевые. Одна смотрит в интернет, вторая.
11417 / 6987 / 1900
Регистрация: 25.12.2012
Сообщений: 29,394
1. Менять маску сети
2. Делить сеть на подсети, vlan
4717 / 2094 / 448
Регистрация: 17.10.2015
Сообщений: 8,977
Сообщение от iamolivia 
пула ip адресов на всех не хватает
244 адреса и всё на RB951? Может там ip-видеонаблюдение, которое можно вывести в другую подсеть?
2447 / 913 / 130
Регистрация: 29.01.2013
Сообщений: 5,442
iamolivia, сколько всего сетевых устройств получает адреса с этого DHCP?
Регистрация: 03.04.2019
Сообщений: 175
Alli_Lupin, ну все ip адреса заняты из выделенного диапазона. ПК — 98, 50 ноутбуков, остальное смартфоны
Добавлено через 6 минут
insect_87, можете на пальцах объяснить, как это сделать пожалуйста? и тот и другой вариант.
На домашнем роутере попробовал, поставить маску, 255.255.254.0. и пул установил 192.168.1.100-192.168.2.254. Пишет, что пул ip адресов указан неверно.
2 способ в принципе не знаю как делать.
11417 / 6987 / 1900
Регистрация: 25.12.2012
Сообщений: 29,394
Разделите на две сети: проводные клиенты и беспроводные, или корпоративные устройства и личные.
Или на три: проводные, беспроводные корпоративные, беспроводные личные.
И тд
2447 / 913 / 130
Регистрация: 29.01.2013
Сообщений: 5,442
iamolivia, используй это
Регистрация: 03.04.2019
Сообщений: 175
Можете посоветовать какое время аренды лучше поставить? Сейчас стоит: 1d
11417 / 6987 / 1900
Регистрация: 25.12.2012
Сообщений: 29,394
Да не верно: при такой маске пулы будут или 192.168.0.1-192.168.1.254 для сети 192.168.0.0/23
Или 192.168.2.1-192.168.3.254 для сети 192.168.2.0/23
В первом: поменять сеть/маску в dhcp- networks, адрес/маску локального бриджа в ip adresses, пул для клиентов в ip pool
Во втором — тут два варианта с vlan и без. Так как у вас неуправляемые свитчи, то деление на vlan не для такой ситуации, и всe клиенты за одним свитчем будут в одной сети. Есть конечно вариант с созданием отдельной сети за каждым портом роутера — но он не совсем корректный.
Можно wireless интерфейс убрать из портов локального бриджа и повесить на него в ip address адрес из отдельной сети:192.168.0./24 например. Потом добавить новый пул для беспроводных клиентов 192.168.0.10-192.168.0.254, произвести настройки по аналогии с уже созданными в DHCP server networks и сам dhcp привязать к wireless интерфейсу.
Для выхода в интернет: создать отдельное правило snat на wan интерфейсе для этой сети или добавить её в уже существующее правило.
И тд.
Если надо открыть/закрыть доступ между проводной и беспроводной сетями: настраивайте правила в ip firewall chain=forward.
Добавлено через 4 минуты
Можете посоветовать какое время аренды лучше поставить? Сейчас стоит: 1d
Для каждого случая свои аренды:
Например, если корпоративные компьютеры вечно стоят в офисе, то там аренду менее недели нет смысла делать.
А если представить клиентов гостевой сети в аэропорту или на вокзале — то здесь наоборот, один клиент может попользоваться сетью 10 минут и больше никогда не зайти в эту сеть. Но для таких сетей и пулы больше (от 2-4К) и изоляция клиентов друг от друга обычно присутствует
Записки IT специалиста — Форум
Вернуться в блог 
30 октября 2023, 14:50
Цитата дня:
Сложнее всего начать действовать, все остальное зависит только от упорства. Амелия Эрхарт
- Записки IT специалиста — Форум
- ► Сети и инфрастуктура
- ► Компьютерные сети
- ► IP адресация лольканой сети
IP адресация лольканой сети
Автор samotlor, 21 марта 2018, 22:18
0 Пользователей и 1 Гость просматривают эту тему.
Сети для начинающего IT-специалиста. Обязательная база
Примерно 80% из нас, кто заканчивает университет с какой-либо IT-специальностью, в итоге не становится программистом. Многие устраиваются в техническую поддержку, системными администраторами, мастерами по наладке компьютерных устройств, консультантами-продавцами цифровой техники, менеджерами в it-сферу и так далее.
Эта статья как раз для таких 80%, кто только закончил университет с какой-либо IT-специальностью и уже начал мониторить вакансии, например, на должность системного администратора или его помощника, либо выездного инженера в аутсорсинговую фирму, либо в техническую поддержку 1-й/2-й линии.
А также для самостоятельного изучения или для обучения новых сотрудников.
За время своей трудовой деятельности в сфере IT я столкнулся с такой проблемой, что в университетах не дают самую основную базу касательно сетей. С этим я столкнулся сначала сам, когда, после окончания университета, ходил по собеседованиям в 2016 году и не мог ответить на простые (как мне сейчас кажется) вопросы. Тогда мне конечно показалось, что это я прохалтурил и не доучил в университете. Но как оказалось дело в образовательной программе. Так как сейчас, я также сталкиваюсь с данным пробелом знаний, когда обучаю новых сотрудников.
И что тогда, мне пришлось изучить множество статей в интернете, прежде чем я понял базовые моменты, и что сейчас, задавая молодым специалистам темы для изучения, они с трудом находят и усваивают необходимое. Это происходит по причине того, что в Интернете огромное количество статей и все они разрозненны по темам, либо написаны слишком сложным языком. Плюс большинство информации в начале своих статей содержат в основном просто научные определения, а дальше сразу сложные технологии использования. В итоге получается много того, что для начинающего пока совсем непонятно.
Именно поэтому я решил собрать основные темы в одну статью и объяснить их как можно проще «на пальцах».
Сразу предупреждаю, что никакой углубленной информации в статье не будет, только исключительно самая база и самое основное.
Темы, которые рассмотрены:
- Глобальные и локальные сети
- Белые и серые IP-адреса
- NAT
- DHCP-сервер и подсети
- Устройства маршрутизации сети (маршрутизатор, коммутатор, свитч, хаб)
- Основные команды анализа сети
- Транспортные протоколы UDP и TCP
1. Глобальные и Локальные сети
Вся интернет сеть подразделяется на глобальную (WAN) и локальную (LAN).
Все пользовательские устройства в рамках одной квартиры или офиса или даже здания (компьютеры, смартфоны, принтеры/МФУ, телевизоры и т.д.) подключаются к роутеру, который объединяет их в локальную сеть.
Участники одной локальной сети могут обмениваться данными между своими устройствами без подключения к интернет провайдеру. А вот чтобы выйти в сеть (например, выйти в поисковик Яндекс или Google, зайти в VK, Instagram, YouTube или AmoCRM) необходим доступ к глобальной сети.
Выход в глобальную сеть обеспечивает интернет провайдер, за что мы и платим ему абонентскую плату. Провайдер устанавливает на своих роутерах уровень скорости для каждого подключения в соответствии с тарифом. Провайдер прокидывает нам витую пару или оптику до нашего роутера (нашей локальной сети) и после этого любое устройства нашей локальной сети может выходить в глобальную сеть.
Для аналогии, сети, можно сравнить с дорогами.
Например, дороги вашего города N это локальная сеть. Эти дороги соединяют вас с магазинами, учреждениями, парками и другими местами вашего города.
Чтобы попасть в другой город N вам необходимо выехать на федеральную трассу и проехать некоторое количество километров. То есть выйти в глобальную сеть.
Для более наглядного представления, что такое глобальная и локальная сеть я нарисовал схематичный рисунок.
2. Белые и серые IP-адреса
Каждое устройство в сети имеет свой уникальный IP-адрес. Он нужен для того, чтобы устройства сети понимали куда необходимо направить запрос и ответ.
Это также как и наши дома и квартиры имеют свой точный адрес (индекс, город, улица, № дома, № квартиры).
В рамках вашей локальной сети (квартиры, офиса или здания) есть свой диапазон уникальных адресов. Я думаю многие замечали, что ip-адрес компьютера, например, начинается с цифр 192.168.X.X
Так вот это локальный адрес вашего устройства.
Существуют разрешенные диапазоны локальных сетей:
Думаю из представленной таблицы сразу становится понятно почему самый распространенный диапазон это 192.168.X.X
Чтобы узнать, например, ip-адрес своего компьютера (на базе ос windows), наберите в терминале команду ipconfig
Как видите, ip-адрес моего компьютера в моей домашней локальной сети 192.168.88.251
Для выхода в глобальные сети, ваш локальный ip-адрес подменяется роутером на глобальный, который вам выдал провайдер. Глобальные ip-адреса не попадают под диапазоны из таблички выше.
Так вот локальные ip-адреса — это серые ip-адреса, а глобальные — это белые.
Для большего понимания рассмотрите схему ниже. На ней я подписал каждое устройство своим ip-адресом.
На схеме видно, что провайдер выпускает нас в глобальные сети (в интернет) с белого ip-адреса 91.132.25.108
Для нашего роутера провайдер выдал серый ip-адрес 172.17.135.11
И в нашей локальной сети все устройства соответственно тоже имеют серые ip-адреса 192.168.Х.Х
Узнать под каким ip-адресом вы выходите в глобальную сеть можно на сайте 2ip.ru
Но из всего этого стоит помнить один очень важный фактор!
В настоящее время обострилась проблема нехватки белых ip-адресов, так как число сетевых устройств давно превысило количество доступных ip. И по этой причине интернет провайдеры выдают пользователям серые ip-адреса (в рамках локальной сети провайдера, например в пределах нескольких многоквартирных домов) и выпускают в глобальную сеть под одним общим белым ip-адресом.
Чтобы узнать серый ip-адрес выдает вам провайдер или белый, можно зайти к себе на роутер и посмотреть там, какой ip-адрес получает ваш роутер от провайдера.
Например я на своем домашнем роутере вижу серый ip-адрес 172.17.132.2 (см. диапазаон локальных адресов). Для подключения белого ip-адреса провайдеры обычно предоставляют доп. услугу с абон. платой.
На самом деле, для домашнего интернета это совсем не критично. А вот для офисов компаний рекомендуется покупать у провайдера именно белый ip-адрес, так как использование серого ip-адреса влечет за собой проблемы с работой ip-телефонии, а также не будет возможности настроить удаленное подключение по VPN. То есть серый ip-адрес не позволит вам вывести в интернет ваш настроенный сервер и не позволит настроить удаленное подключение на сервер из другой сети.
3. NAT
В предыдущем разделе я отметил, что “в настоящее время обострилась проблема нехватки белых ip-адресов” и поэтому распространенная схема подключения у интернет провайдеров сейчас, это подключать множество клиентов серыми ip-адресами, а в глобальный интернет выпускать их под одним общим белым ip.
Но так было не всегда, изначально всем выдавались белые ip-адреса, и вскоре, чтобы избежать проблему дефицита белых ip-адресов, как раз и был придуман NAT (Network Address Translation) — механизм преобразования ip-адресов.
NAT работает на всех роутерах и позволяет нам из локальной сети выходить в глобальную.
Для лучшего понимания разберем два примера:
1. Первый случай: у вас куплен белый ip-адрес 91.105.8.10 и в локальной сети подключено несколько устройств.
Каждое локальное устройство имеет свой серый ip-адрес. Но выход в интернет возможен только с белого ip-адреса.
Следовательно когда, например, ПК1 с ip-адресом 192.168.1.3 решил зайти в поисковик Яндекса, то роутер, выпуская запрос ПК1 в глобальную сеть, подключает механизм NAT, который преобразует ip-адрес ПК1 в белый глобальный ip-адрес 91.105.8.10
Также и в обратную сторону, когда роутер получит от сервера Яндекса ответ, он с помощью механизма NAT направит этот ответ на ip-адрес 192.168.1.3, по которому подключен ПК1.
2. Второй случай: у вас также в локальной сети подключено несколько устройств, но вы не покупали белый ip-адрес у интернет провайдера.
В этом случае локальный адрес ПК1(192.168.1.3) сначала преобразуется NAT‘ом вашего роутера и превращается в серый ip-адрес 172.17.115.3, который вам выдал интернет-провайдер, а далее ваш серый ip-адрес преобразуется NAT’ом роутера провайдера в белый ip-адрес 91.105.108.10, и только после этого осуществляется выход в интернет (глобальную сеть).
То есть, в этом случае получается, что ваши устройства находятся за двойным NAT’ом.
Такая схема имеет более высокую степень безопасности ваших устройств, но также и имеет ряд больших минусов. Например, нестабильная sip-регистрация VoIP оборудования или односторонняя слышимость при звонках по ip-телефонии.
Более подробно о работе механизма NAT, о его плюсах и минусах, о выделении портов, о сокетах и о видах NAT я напишу отдельную статью.
4. DHCP — сервер и подсети
Чтобы подключить устройство, например, компьютер к интернету вы обычно просто подключаете провод (витую пару) в компьютер и далее в свободный порт на роутере, после чего компьютер автоматически получает ip-адрес и появляется выход в интернет.
Также и с Wi-Fi, например со смартфона или ноутбука, вы подключаетесь к нужной вам сети, вводите пароль, устройство получает ip-адрес и у вас появляется интернет.
А что позволяет устройству получить локальный ip-адрес автоматически?
Эту функцию выполняет DHCP-сервер.
Каждый роутер оснащен DHCP-сервером. IP-адреса, полученные автоматически являются динамическими ip-адресами.
Потому что, при каждом новом подключении или перезагрузки роутера, DHCP-сервер тоже перезагружается и может выдать устройствам разные ip-адреса.
То есть, например, сейчас у вашего компьютера ip-адрес 192.168.1.10, после перезагрузки роутера ip-адрес компьютера может стать 192.168.1.35
Чтобы ip-адрес не менялся, его можно задать статически. Это можно сделать, как на компьютере в настройках сети, так и на самом роутере.
А также, DHCP-сервер на роутере вообще можно отключить и задавать ip-адреса вручную.
Можно настроить несколько DHCP-серверов на одном роутере. Тогда локальная сеть разделится на подсети.
Например, компьютеры подключим к нулевой подсети в диапазон 192.168.0.2-192.168.0.255, принтеры к первой подсети в диапазон 192.168.1.2-192.168.1.255, а Wi-Fi будем раздавать на пятую подсеть с диапазоном 192.168.5.2-192.168.5.255 (см. схему ниже)
Обычно, разграничение по подсетям производить нет необходимости. Это делают, когда в компании большое количество устройств, подключаемых к сети и при настройке сетевой безопасности.
Но такая схема в компаниях встречается довольно часто.
Поэтому обязательно нужно знать очень важный момент.
Внимание!
Если вам необходимо с ПК зайти на web-интерфейс, например, принтера или ip-телефона и при этом ваш ПК находится в другой подсети, то подключиться не получится.
Для понимания разберем пример:
Допустим вы работаете за ПК1 с локальным ip-адресом 10.10.5.2 и хотите зайти на web-интерфейс ip-телефона с локальным ip-адресом 192.168.1.3, то подключиться не получится. Так как устройства находятся в разных подсетях. К ip-телефона, находящиеся в подсети 192.168.1.X, можно подключиться только с ПК3 (192.168.1.5).
Также и к МФУ (172.17.17.10) вы сможете подключиться только с ПК4 (172.17.17.12).
Поэтому, когда подключаетесь удаленно к пользователю на ПК, чтобы зайти на web-интерфейс ip-телефона, то обязательно сначала сверяйте их локальные ip-адреса, чтобы убедиться, что оба устройства подключены к одной подсети.
5. Устройства маршрутизации сети (маршрутизатор, коммутатор, свитч, хаб)
Как ни странно, но есть такой факт, что новички в IT (иногда и уже действующие сис.админы) не знают или путают такие понятия как маршрутизатор, коммутатор, свитч, сетевой шлюз и хаб.
Я думаю, причина такой путаницы возникла из-за того, что наплодили синонимов и жаргонизмов в названиях сетевого оборудования и это теперь вводит в заблуждение многих начинающих инженеров.
а) Роутер, маршрутизатор и сетевой шлюз
Все знают что такое роутер. Что это именно то устройство, которое раздает в помещении интернет, подключенный от интернет провайдера.
Так вот маршрутизатор и сетевой шлюз это и есть роутер.
Данное оборудование является основным устройством в организации сети. В инженерной среде наиболее используемое название это “маршрутизатор”.
Кстати маршрутизатором может быть не только приставка, но и системный блок компьютера, если установить туда еще одну сетевую карту и накатить, например, RouterOS Mikrotik. Далее разрулить сеть на множество устройств с помощью свитча.
б) Что такое Свитч и чем он отличается от Коммутатора и Хаба
Свитч и Коммутатор это тоже синонимы. А вот хаб немного другое устройство. О нем в следующем пункте (в).
Коммутатор (свитч) служит для разветвления локальной сети. Как тройник или сетевой фильтр, куда мы подключаем свои устройства, чтобы запитать их электричеством от одной розетки.
Коммутатор не умеет маршрутизировать сеть как роутер. Он не выдаст вашему устройству ip-адрес и без помощи роутера не сможет выпустить вас в интернет.
У стандартного маршрутизатора обычно 4-5 портов для подключения устройств. Соответственно, если ваши устройства подключаются проводами и их больше чем портов на роутере, то вам необходим свитч. Можно к одному порту роутера подключить свитч на 24 порта и спокойно организовать локальную сеть на 24 устройства.
А если у вас завалялся еще один роутер, то можно в его web-интерфейсе включить режим коммутатора и тоже использовать как свитч.
в) Хаб
Хаб выполняет те же функции, что и коммутатор. Но его технология распределения сильно деревянная и уже устарела.
Хаб раздает приходящие от роутера пакеты всем подключенным устройствам без разбора, а устройства уже сами должны разбираться их это пакет или нет.
А коммутатор имеет MAC таблицу и поэтому распределяет приходящие пакеты на одно конкретное устройство, которое и запрашивало этот пакет. Следовательно передача данных коммутатором быстрее и эффективнее.
В настоящее время уже редко где встретишь использование хаба, но всё таки они попадаются, нужно быть к этому готовым и обязательно рекомендовать пользователю замену хаба на свитч.
6. Основные команды для анализа сети
а) Команда Ping
Чтобы понять активен ли ip-адрес или само устройство, можно его “пропинговать”.
Для этого в командной строке пишем команду ping “ip-адрес”.
Здесь мы “пинганули” dns сервер google и, как видим, сервер активен (отклик на пинги есть и равен 83 мс).
Если адресат недоступен или данный ip-адрес не существует, то мы увидим такую картину:
То есть ответа на пинги не получаем.
Но Ping намного полезней использовать с ключами:
-t -”пинговать” непрерывно (для остановки нажимаем комбинацию Ctrl+С)
-а -отображать имя “пингуемого” узла (сайта/устройства/сервера)
Соответственно ключ “-а” нам показал, что имя пингуемого узла “dns.google”.
А благодаря ключу “-t” ping шел без остановки, я остановил его, нажав Ctrl+C.
При непрерывном пинге можно увидеть адекватно ли ведет себя пингуемый узел и примерное качество работы интернет канала.
Как видим из скриншота, периодически возникают задержки приема пакета аж до 418 мс, это довольно критичное значение, так как скачок с 83 мс до 418 мс отразился бы на видеосвязи торможением/зависанием изображения или в ip-телефонии деградацией качества голоса.
В моем случае, скорей всего штормит мой домашний Интернет.
Но чтобы более детально установить причину, это нужно запускать dump. А это тема для целой статьи.
Внимание! Иногда на роутерах отключена отправка ICMP пакетов (кто-то отключает специально, а где-то не включена по умолчанию), в таком случае на «пинги» такой узел отвечать не будет, хотя сам будет активен и нормально функционировать в сети.
Еще одна возможность “пинга” это узнать какой ip-адрес скрывается за доменом сайта. А именно, на каком сервере установлен хост сайта.
Для этого просто вместо ip-адреса пишем сайт:
Как видите, у хабра ip-адрес 178.248.237.68
б) Трассировка
Иногда очень важно увидеть каким путем идет пакет до определенного устройства.
Возможно где-то есть пробоина и пакет не доходит до адресата. Так вот утилита трассировки помогает определить на каком этапе этот пакет застревает.
На ОС Windows эта утилита вызывается командой “tracert” ip-адрес или домен:
Здесь мы увидели через какие узлы проходит наш запрос, прежде чем дойдет до сервера ya.ru
На ОС Linux эта утилита вызывается командой traceroute.
Утилитой трассировки также и обладают некоторые устройства, маршрутизаторы или голосовые VoIP шлюзы.
в) Утилита whois
Данная утилита позволяет узнать всю информацию об ip-адресе или о регистраторе домена.
Например, проверим ip-адрес 145.255.1.71. Для этого ввожу в терминале команду whois 145.255.1.71
Получили информацию о провайдере ip-адреса, страну, город, адрес, диапазон и т.д.
Я пользуюсь ей только на Linux. Утилита качается и устанавливается легко из стандартного репозитория операционной системы.
Но также читал, что и на Windows есть подобное решение.
7. Транспортные протоколы TCP и UDP
Все передачи запросов и прием ответов между устройствами в сети осуществляются с помощью транспортных протоколов TCP и UDP.
TCP протокол гарантированно осуществляет доставку запроса и целостность его передачи. Он заранее проверяет доступность узла перед отправкой пакета. А если по пути целостность пакета будет нарушена, то TCP дополнит недостающие составляющие.
В общем, это протокол, который сделает все, чтобы ваш запрос корректно дошел до адресата.
Поэтому TCP самый распространенный транспортный протокол. Он используется когда пользователь серфит интернет, лазает по сайтам, сервисам, соц. сетям и т.д.
UDP протокол не имеет такой гарантированной передачи данных, как TCP. Он не проверяет доступность конечного узла перед отправкой и не восполняет пакет в случае его деградации. Если какой-то пакет или несколько пакетов по пути утеряны, то сообщение дойдет до адресата в таком неполном виде.
Зачем тогда нужен UDP?
Дело в том, что данный транспортный протокол имеет огромное преимущество перед TCP в скорости передачи данных. Поэтому UDP широко используется для пересылки голосовых и видео пакетов в реальном времени. А именно, в ip-телефонии и видео звонках.
К примеру, любой звонок через WhatsApp или Viber использует транспортный протокол UDP. Также и при видео звонках, например, через Skype или те же мессенджеры WhatsApp и Viber.
Именно потому что UDP не гарантирует абсолютную передачу данных и целостность передаваемого пакета, зачастую возникают проблемы при звонках через интернет.
Это прерывание голоса, запаздывание, эхо или робоголос.
Данная проблема возникает из-за нагруженного интернет канала, двойного NATа или радиоканала.
Хорошо бы конечно в таких случаях использовать TCP, но увы, для передачи голоса необходима мгновенная передача целостных пакетов, а для этой задачи идеально подходит UDP.
Чтобы не возникало проблем с использованием UDP протокола, нужно просто организовать качественный интернет канал. А также настроить на роутере выделенную полосу для UDP, чтобы нагрузка с других устройств, которые используют TCP не мешала работе транспортного протокола UDP.
На этом всё.
Я не стал нагромождать статью и копипастить сюда научные определения всех используемых терминов, кому это необходимо, просто загуглите.
Я постарался собрать воедино 7 самых важных, на мой взгляд, моментов, знание которых, помогут юному “айтишнику” пройти первые этапы собеседования на “айтишные” должности или хотя бы просто дать понять работодателю, что вы явно знаете больше, чем рядовой юзер.
Изучайте, конспектируйте. Надеюсь, что статья многим принесет пользу.
Как раздать серые ip провайдера в локальную сеть?
Есть провайдер, который раздаёт пул адресов, пусть будет 10.20.30.0-10.20.30.254 (10.20.30.1 шлюз соответственно). Он их не раздаёт по dhcp, их нужно прописывать руками на пк.
Поправил пост:
В тексте ip провайдера — это подсеть которую выделяет провайдер, но это не внешние ip адреса, тут я для простоты писал, ввёл возможно в заблуждение. Да, эти ip серые, но это не так важно
Есть сервер на debian, интернет шлюз в своём роде, с двумя физическими сетевыми картами eth1 и eth2. На eth2 настроены несколько подсетей (10.0.2.0/24 и 10.0.3.0/24), нужны для локальной сети, возможно доступа к файлам на сервере.
Какие произести настройки, что бы на машинах, которые находятся в локальной сети был доступ как до сервера так и интернет от ip который выдал провайдер? На каждую машину нужно присвоить отдельный ip провайдера + дать доступ до локальной сети.
Мне удалось через SNAT и прописыванием ip провайдера в интерфейсе eth1 дать доступ в интернет например всей подсети 10.0.2.0/24, они могут выходить через один ip провайдера. Ну и таким же образом я могу дать второй подсети 10.0.3.0/24 доступ в интернет через другой ip.
А нужно чтобы каждый отдельный ПК выходил через отдельный ip провайдера, какой — совершенно не важно, присвоить любой можно.
На сервере установлены netplan, isc-dhcp-server. Порт форвардинг включен.
Читал про proxy arp и bridge, но так и не понял какой подход лучше да и вообще, какой рабочий, не получается настроить. Неужели придётся каждый ip провайдера прописывать в интерфейсе а потом в iptables прописывать правило?)
За любую помощь буду очень благодарен 🙂
- Вопрос задан 21 нояб. 2022
- 632 просмотра
29 комментариев
Простой 29 комментариев
Остаётся вопрос с интонациями офигения: а зачем каждому компьютеру персональный внешний IP?!
И во-вторых, доступ нужен только наружу, или из Интернета на каждый IP тоже должно работать?
DeNick @DeNick Автор вопроса
AUser0, извините, я не совсем верно выразился в вопросе.
Конечно это не совсем «внешние» ip, точнее не внешние точно)
Но их раздаёт провайдер, как и в других образовательных организациях.
Нужно это для авторизации через госуслуги в системе ЕСИА админ персонала в организации.
Если я всех пущу через один ip, который выдал провайдер и если кто-то в моей сети авторизируется через госулуги, то автоматом сохраняется сессия на этом ip адресе и получается все пользуются свободным доступом, пока сессию не завешат или она сама не закроется.
Внешний доступ из интернета меня не сильно волнует, у провайдера криптошлюз стоит и тд, надеюсь заморочились. Да и честно говоря, если другого выхода нет, то мне всё равно. Это к сожалению никого не волнует, нужно просто организовать доступ с одельными ip, ну и чтоб всё работало как и прежде, мне надо ещё дать доступ до своей локальной сети
> Если я всех пущу через один ip, который выдал провайдер и если кто-то в моей сети авторизируется через госулуги, то автоматом сохраняется сессия на этом ip адресе и получается все пользуются свободным доступом, пока сессию не завешат или она сама не закроется.
Это работает по-другому. IP тут не при чем. Вы можете в этом легко убедиться, открыв госуслуги и затем открыв их еще раз с того же компа и даже браузера, но в режиме инкогнито. Для понимания, гуглить по слову куки
DeNick, в корне неверное понимание доступа к ГосУслугам (и всем другим сайтам). Авторизация делается не для IP-адреса, а для одного конкретного браузера. И IP ничего не рулит.
Думаете если пользователи 98% всех региональных провайдеров ходят в Интернет с одного провайдерского IP, то и на ГосУслугах они все сидят под одной фамилией?! Неа!
DeNick @DeNick Автор вопроса
mureevms, это совершенно не важно, пока сессия не разорвалась — другие пк в локальной сети могут выходить свободно в интернет, без авторизации, потому что кто-то уже авторизировался. Потому что все они выходят по сути через один ip, который прописан статически на сервере.
Проблема в этом. Это решается только присваиванием разных ip, которые и выдал провайдер. Не зря он целую подсеть выделяет
DeNick, Именно это и имеет значение. Вы развиваете идею не в ту сторону. Либо же чего-то важного не сказали. Повторю, авторизация на сайтах работает не по IP, а при помощи кук.
DeNick, вы ещё и настаиваете на своей низкой информированности в этом вопросе? Не конкретный IP авторизуется, а конкретный браузер!
> Есть провайдер, который раздаёт пул адресов, пусть будет 10.20.30.0-10.20.30.254 (10.20.30.1 шлюз соответственно). Он их не раздаёт по dhcp, их нужно прописывать руками на пк.
Вот тут еще сомнительное описание. Скажите подсеть которую провайдер вам выдает, сдается мне, что она серая и задача не верно истолкована. Явное противоречие или не правильное описание
DeNick @DeNick Автор вопроса
mureevms, в комментах отписал и в посте поправил. Да, это не белые ip, выразился так для удобства. Я не думал что это нужная информация, она не важна в принципе, хоть они внешние, хоть нет.
AUser0, В данном случае, хоть и все на меня накинулись, что авторизация не так работает и тому подобное. Я разочарую вас, я в курсе как она работает. Я в курсе про куки.
Тут совсем другой случай, наверно меня не могут понять.
Я пояснял, что эти ip нужны для того чтобы выходить в интернет, как это не странно. Ноо, с помощью них можно выходить как одной категории людей (с помощью прокси, будет контектная фильтрация), так и другой категории людей, тот самый админ персонал. Только чтоб им выйти в интернет, у них в браузере высвечивается страница с кнопкой авторизации, при нажатии вас перекинет на страницу ЕСИА, логин через госулуги. Без авторизации вас не пустит в интернет, либо авторизация, либо прокси.
Опять же есть НО.
ПК1 авторизируется в этой системе, ПК2 в этой же локальной сети просто заходит в браузер — и он свободно попадает в интернет, без авторизации, без прокси и тд. Если зайти по ссылке на страницу авторизации на ПК2, где должна быть кнопка, то напишет, что мы авторизированы, хоия должно быть предложение авторизироваться.
У ПК общая локальная сеть 10.0.2.x, а выходят они через серый ip провайдера который прописан на моём сервере на интерфейсе eth1
То есть, здесь в данном случае, идёт привязка на аппаратном уровне, где-то на железе провайдера. Это Ростелеком, они сейчас тесно с гос структурами переплетены. Во всех образовательных организациях сейчас так, я не первый. Просто почитайте что такое ЕСПД
DeNick, *facepalm*
Вижу, что вас учить — только портить. Спросите у себя. А, нет, спросите у адекватного человека с опытом, которому наконец поверите, как же несколько человек могут авторизоваться на один сайт (ГосУслуги, или онлайн-банкинг) через один и тот же прокси, и ничего у них не портится.
DeNick, я правильно понял, что для выхода в интернет пользователь проходит авторизацию черег Госуслуги, а провайдет привязывает эту сессию к IP машины?
Если да, напишу как пробросить IPшники в локалку. Только не уверен, можно ли при такой схеме заюзать DHCP, но вы вроде как все-равно руками назначаете
DeNick @DeNick Автор вопроса
AUser0, я вижу что вы совсем не понимаете контекста. Вопрос то совсем не в госуслугах был, вы упёрлись в это и стоите на своём. Хорошо, я дальше попробую объяснить. Дело то не в том, что один пользователь авторизируется, а другой со своего компа может увидеть его данные, вовсе нет, другой просто может сидеть в интернете, так как авторизация была на данном ip.
https://espd.wifi.rt.ru/filtering/disable
Возможно хоть это даст вам понять, о чём я
DeNick @DeNick Автор вопроса
mureevms,
Хоть это к вопросу уже не имеет никакого отношения, вот.
https://espd.wifi.rt.ru/filtering/disable
Если что, там пункты с авторизацией есть.
Там просит войти в систему ЕСИА, но да, используются госуслуги. Эта самая авторизация привязывается к серому ip, который выдал провайдер, кто бы и что мне тут не писал и не доказывал про куки и прочее)
Талян @flapflapjack
DeNick, я вот вас сразу понял)
Мы имеем:
Маршрут у провайдера на выданные вам адреса выдаются по маске 24?
Таакс.Получается вам выдан тырнет в один широковещательный домен.
Провайдера втыкаете в свою локалку, и назначаете всем компам вторичный адрес на интерфейсе — айпишник из подсети провайдера, а шлюз тот который выдан провайдером.
Всё. У всех все работает. И локалка и собственный внешний IP.
NAT — это уже горождение SNAT и т.д.,
Если хотите NAT то пожалуйста. НО я бы не городил NAT там где не надо.
NAT тут нужен только если вы совсем не доверяете провайдеру, и боитесь, что он себе пропишет на интерфейсе айпишник вашей подсети и увидит ваши локальные ресурсы. Но мне кажется ему это нафиг не нужно.
В общем — лучше файрвол настроить на рабочих станциях так, чтобы доступ в ваше локалку имели только компы с локалки. Чтобы сделать централизованно, можно через Ansible например.