Перейти к содержимому
Калькуляторы

Настройка маршрутов

Доброго времени суток. Нужен совет. Есть 3 отдела (Отделы "A","B", и "C") со своими со своими компьютерами. Имеется следующая схема:

image.thumb.png.d60f4bb48b9350d1570b9cf9b345f41d.png

 Для каждого из отделов выделены свои vlanы (10, 20, 30). У клиентов в компах прописаны статические ip адреса с 30-й маской подсети (то есть, один ip-шник для компа, второй как шлюз прописан в RB1100), например, для:

- отдела "A" : комп1 - 192.168.10.0/30, комп2 - 192.168.10.4/30 и так далее...

- отдела "B" : комп1 - 192.168.20.0/30, комп2 - 192.168.20.4/30 и так далее...

- отдела "C" : комп1 - 192.168.30.0/30, комп2 - 192.168.30.4/30 и так далее...

 

Этим компам нужно организовать доступ к различным сервисам через роутер RB1100. Каждый сервис находится в отдельной сети и в отдельном vlane.

 

Нужен совет с Вашей стороны:

1) как правильно настроить маршруты (где и как их настроить) именно в роутере RB1100 с подробным описанием?? Желательно через winbox.

2) как несколько сервисов из схемы объединить в группу по Vlanам, чтобы к этой группе сервисов привязать конкретный отдел?

Просьба помочь. Заранее благодарю))

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Если все терминируется на одном маршрутизаторе, то маршруты настраивать не нужно.

Доступ к сервисам регулируется ACL, а не маршрутами.

 

41 минуту назад, svyaznoy сказал:

У клиентов в компах прописаны статические ip адреса с 30-й маской подсети

Если цель — чтобы враг ничего не смог понять, то нужно поверх натянуть PPPoE и OSPF.

Но обычно чем проще, тем надежней. А проще — маску /24 и подсеть на отдел.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

1 hour ago, alibek said:

Если все терминируется на одном маршрутизаторе, то маршруты настраивать не нужно.

Доступ к сервисам регулируется ACL, а не маршрутами.

укажите, пожалуйста, где и как настраивается ACL? Чуточку развернуто плиз))

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

On 12.03.2018 at 4:12 PM, alibek said:

Но обычно чем проще, тем надежней. А проще — маску /24 и подсеть на отдел.

Могли бы вы подсказать простой способ, как сделать так, чтобы пользователи одного отдела не видели друг друга в сети с маской/24 с средствами Микротик? Поэтому я указал маску/30. 

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

За Микротик не скажу, не знаю.

Обычно подобная функция называется "Изоляция портов".

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

On 15.03.2018 at 5:19 PM, alibek said:

За Микротик не скажу, не знаю.

Обычно подобная функция называется "Изоляция портов".

спасибо)

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Посоветуйте как правильно настроить ACL (filter reles и nat) для ниже указанной схемы, если пользователи привязаны к железке со статическими айпинишками с маской/30? Кстати, в состав департамента входят множество отделов в разных офисах. Каждый департамент заводится в отдельный маршрутизатор с отдельным vlanом. Также нужно уточнить, что для разных пользователей в пределах одного департамента нужны доступы к разным сервисам, а не нужные необходимо закрыть. Настроить нужно закрытый файрвол. Для некоторых пользователей нужен выход в инет. Жду от вас более расширенного ответа или как минимум ссылку)) 

 

image.png.631281b4405966cea3049ee80785eb6a - копия.png

Изменено пользователем svyaznoy

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

создаете адрес листы service1, service2, serviceN, internet и т.д., добавляете ip адреса в листы, далее в ip firewall filter создаете сначала разрешающие правила (action=accept) forward src address list = service1 out-interface=vlan101

и так для каждого листа и каждого сервиса

а потом запрещаете весь остальной forward actoin=drop

 

почему не хотите выделить сеть на каждый отдел? /30 обязательное условие? ПК в одном отделе не должны иметь доступ друг к другу?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

45 минут назад, ne-vlezay80 сказал:

А можно через netns.

В ТЗ я вижу микротик. Какое нет неймспейс?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

15 hours ago, .None said:

ПК в одном отделе не должны иметь доступ друг к другу?

Да вы правы, такое условие

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

16 hours ago, .None said:

создаете адрес листы service1, service2, serviceN, internet и т.д., добавляете ip адреса в листы, далее в ip firewall filter создаете сначала разрешающие правила (action=accept) forward src address list = service1 out-interface=vlan101

в service1 какие адреса добавлены??? Адрес сервиса или адреса клиентов с маской/30??? Уточните пожалуйста

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

34 minutes ago, .None said:

адреса клиентов

спасибо, попробую и напишу.  А в нате как прописать правила? Тоже поделитесь пож.))

 

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

НАТ для интернета?

 

chain=srcnat out-interface=интерфейс-WAN action=masquerade

 

и еще не забудьте создать правила для обратного прохождения пакетов

 

я бы сделал так, добавил в список интерфейсов interfaces -> interfaces list все интерфейсы сервисов vlan101 vlan102 и т.д. и интерфейс WAN а потом в filters правило 

action=accept chain=forward connection-state=established,related in-interface-list=имя_списка_интерфейсов

и двинуть это правило выше запрещающего, или в самый верх

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

24 minutes ago, .None said:

НАТ для интернета?

 

chain=srcnat out-interface=интерфейс-WAN action=masquerade

 

и еще не забудьте создать правила для обратного прохождения пакетов

 

я бы сделал так, добавил в список интерфейсов interfaces -> interfaces list все интерфейсы сервисов vlan101 vlan102 и т.д. и интерфейс WAN а потом в filters правило 

action=accept chain=forward connection-state=established,related in-interface-list=имя_списка_интерфейсов

и двинуть это правило выше запрещающего, или в самый верх

Большое спасибо. С ACL нормально заработал. А обратное правило для чего нужно указать в фильтрах с established,related???

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

для того, что бы обратный пакет от сервисов не был дропнут правилом, которое все запрещает

forward actoin=drop

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

1 hour ago, .None said:

НАТ для интернета?

 

chain=srcnat out-interface=интерфейс-WAN action=masquerade

 

и еще не забудьте создать правила для обратного прохождения пакетов

 

я бы сделал так, добавил в список интерфейсов interfaces -> interfaces list все интерфейсы сервисов vlan101 vlan102 и т.д. и интерфейс WAN а потом в filters правило 

action=accept chain=forward connection-state=established,related in-interface-list=имя_списка_интерфейсов

и двинуть это правило выше запрещающего, или в самый верх

Спасибо, пока работает как часы)). И еще, посоветуйте как защитить сам роутер RB, если на нем висит белый ip  на внеш. интрефейсе (стоит также задача, чтобы именно на белый ip не было пинга с паблик сети). Интересно узнать Ваши рекомендации.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

в filter

 

chain=input in-interface=интерфейс-WAN connection-state=established,related action=accept

chain=input in-interface=интерфейс-WAN action=drop

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

1 hour ago, .None said:

в filter

 

chain=input in-interface=интерфейс-WAN connection-state=established,related action=accept

chain=input in-interface=интерфейс-WAN action=drop

 

спасибо брат

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Гость
Ответить в тему...

×   Вставлено в виде отформатированного текста.   Вставить в виде обычного текста

  Разрешено не более 75 смайлов.

×   Ваша ссылка была автоматически встроена.   Отобразить как ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставить изображения напрямую. Загрузите или вставьте изображения по ссылке.