Какую модель выбрать?

Обсуждение общих вопросов, не касающихся настройки оборудования и ОС
Ответить
mr_dima
Сообщения: 41
Зарегистрирован: 05 авг 2020, 09:53

xvo писал(а): 05 авг 2020, 20:03 Нужно будет правило подменяющее адрес источника для всех пакетов, которые будут приходить от сервера и в сторону контроллеров.

Да, любой роутер это сможет.
Стали известны некоторые подробности ..
Диапазон адресов сети 3: 10.17.211.129 - 10.17.211.254
Маска: 255.255.255.128
Шлюз по умолчанию: 10.17.211.129 (соответственно, в этой подсети есть роутер)

1. Возьму, к примеру RB2011IL-RM
ether1 - сервер,
ether2 - подсеть 3
ether3 - подсеть 2
ether4 - подсеть 1

2. Помещу, пожалуй, сервер в одну из подсетей. Я волен азначать любой IP своему серверу.
Порты 1 и 2 объединить в бридж?
Ok, создаю bridge12

3. Создаю VLANы, чтобы лишний трафик не ходил по портам.
VLAN1 - bridge12
VLAN2 - ether3
VLAN3 - ether4

4. Далее задаю IP адреса VLANам.
Вот что получается (картинка)

Что-то не так?

Что дальше нужно сделать?
Идти в IP\Wirewall\NAT? И что там?


Изображение


bst-botsman
Сообщения: 189
Зарегистрирован: 13 окт 2018, 20:53
Откуда: Беларусь

mr_dima писал(а): 06 авг 2020, 00:02
3. Создаю VLANы, чтобы лишний трафик не ходил по портам.
VLAN1 - bridge12
VLAN2 - ether3
VLAN3 - ether4

4. Далее задаю IP адреса VLANам.
Вот что получается (картинка)

Что-то не так?

Изображение
Скажите, а для чего Вам VLAN? У вас по одному физическому линку ходит трафик нескольких сетей?

да и бриджи Вам не нужны... Один порт - одна сеть... а потом уже и маршрутизация и NAT и Firewall...


RB3011UiAS x 1
RB4011iGS+5HacQ2HnD x 3
951Ui-2nD x 2
hAP ac^2 x 24
CheckPoint 1590 x 1
Ca6ko
Сообщения: 1484
Зарегистрирован: 23 ноя 2018, 11:08
Откуда: Харкiв

mr_dima писал(а): 06 авг 2020, 00:02 Диапазон адресов сети 3: 10.17.211.129 - 10.17.211.254
Маска: 255.255.255.128
Шлюз по умолчанию: 10.17.211.129 (соответственно, в этой подсети есть роутер)
Да нет там обычно роутеров и адрес шлюза обычно совпадает с адресом PLC, на L2 всё работает.

Вы вместо теоретических изысканий подключитесь в сеть отсканируйте её и составьте карту сети L1, L2. Отпадет куча вопросов сейчас и в будущем.
И не заморачивайтесь с VLANами. Порты у Микротика и так изолированы, если не объединены в бридж.
mr_dima писал(а): 06 авг 2020, 00:02 2. Помещу, пожалуй, сервер в одну из подсетей. Я волен азначать любой IP своему серверу.
Порты 1 и 2 объединить в бридж?
Ok, создаю bridge12
...
Что дальше нужно сделать?
Идти в IP\Wirewall\NAT? И что там?
Порты в бридж не объединяем сервер ставим за НАТом. На каждый порт вешаем адрес из его сети. как бы всё.


1-е Правило WiFi - Везде где только можно откажитесь от WiFi!
2-е Правило WiFi -Устройство, которое пользователь не носит с собой постоянно, должно подключаться кабелем!!

Микротики есть разные: черные, белые, красные. Но все равно хочется над чем нибудь заморочится.
xvo
Сообщения: 4204
Зарегистрирован: 25 фев 2018, 22:41
Откуда: Москва

VLANы не нужны.

Сервер в одну из подсетей контроллеров определять имеет смысл только если доступ на него нужен снаружи и этот доступ должен быть именно через эту сеть.
Только не забудьте, что на нем тогда надо прописать маршруты до остальных двух сетей через микротик.

Но я бы вынес его в свою отдельную сеть и ходил бы к нему по адресу микротика из первой сети, прокинув на микротике нужные порты.

Дальше нат:

Код: Выделить всё

/ip firewall nat
add chain=srcnat action=src-nat dst-addreess=192.168.2.0/24 to-addresses=192.168.2.170
add chain=srcnat action=src-nat dst-addreess=140.80.0.0/24 to-addresses=140.80.0.170
В третьей сети, по вашей схеме получается сервер напрямую будет ходить.


Telegram: @thexvo
mr_dima
Сообщения: 41
Зарегистрирован: 05 авг 2020, 09:53

Ca6ko писал(а): 06 авг 2020, 10:00
mr_dima писал(а): 06 авг 2020, 00:02 Диапазон адресов сети 3: 10.17.211.129 - 10.17.211.254
Маска: 255.255.255.128
Шлюз по умолчанию: 10.17.211.129 (соответственно, в этой подсети есть роутер)
Да нет там обычно роутеров и адрес шлюза обычно совпадает с адресом PLC, на L2 всё работает.

Вы вместо теоретических изысканий подключитесь в сеть отсканируйте её и составьте карту сети L1, L2. Отпадет куча вопросов сейчас и в будущем.
И не заморачивайтесь с VLANами. Порты у Микротика и так изолированы, если не объединены в бридж.
mr_dima писал(а): 06 авг 2020, 00:02 2. Помещу, пожалуй, сервер в одну из подсетей. Я волен азначать любой IP своему серверу.
Порты 1 и 2 объединить в бридж?
Ok, создаю bridge12
...
Что дальше нужно сделать?
Идти в IP\Wirewall\NAT? И что там?
Порты в бридж не объединяем сервер ставим за НАТом. На каждый порт вешаем адрес из его сети. как бы всё.
Роутер точно есть.
Мне прислали перечень устройств в сети. По адресу 10.17.211.129 именно роутер Cisco стоит.


mr_dima
Сообщения: 41
Зарегистрирован: 05 авг 2020, 09:53

bst-botsman писал(а): 06 авг 2020, 08:07
mr_dima писал(а): 06 авг 2020, 00:02
3. Создаю VLANы, чтобы лишний трафик не ходил по портам.
VLAN1 - bridge12
VLAN2 - ether3
VLAN3 - ether4

4. Далее задаю IP адреса VLANам.
Вот что получается (картинка)

Что-то не так?

Изображение
Скажите, а для чего Вам VLAN? У вас по одному физическому линку ходит трафик нескольких сетей?

да и бриджи Вам не нужны... Один порт - одна сеть... а потом уже и маршрутизация и NAT и Firewall...
Ca6ko Говорит, что порты у Микротика изолированы по умолчанию. Не знал. Я пока много чего не знаю про Микротики.
Я думал как раз VLANами изолирую прохождение случайного трафика из одного порта в другой.


mr_dima
Сообщения: 41
Зарегистрирован: 05 авг 2020, 09:53

Ca6ko писал(а): 06 авг 2020, 10:00
mr_dima писал(а): 06 авг 2020, 00:02 Диапазон адресов сети 3: 10.17.211.129 - 10.17.211.254
Маска: 255.255.255.128
Шлюз по умолчанию: 10.17.211.129 (соответственно, в этой подсети есть роутер)
Да нет там обычно роутеров и адрес шлюза обычно совпадает с адресом PLC, на L2 всё работает.

Вы вместо теоретических изысканий подключитесь в сеть отсканируйте её и составьте карту сети L1, L2. Отпадет куча вопросов сейчас и в будущем.
И не заморачивайтесь с VLANами. Порты у Микротика и так изолированы, если не объединены в бридж.
mr_dima писал(а): 06 авг 2020, 00:02 2. Помещу, пожалуй, сервер в одну из подсетей. Я волен азначать любой IP своему серверу.
Порты 1 и 2 объединить в бридж?
Ok, создаю bridge12
...
Что дальше нужно сделать?
Идти в IP\Wirewall\NAT? И что там?
Порты в бридж не объединяем сервер ставим за НАТом. На каждый порт вешаем адрес из его сети. как бы всё.

Спасибо за подсказки..
К сожалению, к сети сейчас нет доступа. В скором будущем случится выез на пусконаладку. Вот как раз и занимаюсь подготовкой.. хочу быть максимально готов к ней.
Не знал, что порты изолированы. Значит VLAN не нужны? Ok.


xvo
Сообщения: 4204
Зарегистрирован: 25 фев 2018, 22:41
Откуда: Москва

mr_dima писал(а): 06 авг 2020, 11:18 Не знал, что порты изолированы. Значит VLAN не нужны? Ok.
В отличие от коммутатора, где все порты по-умолчанию в одном L2-сегменте, в ROS у каждого порта свой L2-сегмент, пока они не добавлены в бридж. Добавление в бридж по сути и является созданием программного коммутатора.

Но это касается именно L2.
На L3 по-умолчанию никакой изоляции наоборот нет и если нужно хождение из одной сети в другую как-то ограничивать - эти ограничения надо тем или иным способом настраивать.
То же самое верно и VLAN'ов: будучи разделенными на L2-уровне, L3 трафик между ними роутер никак не ограничивает, пока это в явном виде не указано например в firewall'е.


Telegram: @thexvo
Аватара пользователя
Vlad-2
Модератор
Сообщения: 2531
Зарегистрирован: 08 апр 2016, 19:19
Откуда: Петропавловск-Камчатский (п-ов Камчатка)
Контактная информация:

mr_dima писал(а): 06 авг 2020, 11:18 К сожалению, к сети сейчас нет доступа. В скором будущем случится выез на пусконаладку. Вот как раз и занимаюсь подготовкой.. хочу быть максимально готов к ней.
Не знал, что порты изолированы. Значит VLAN не нужны? Ok.
А я правильно понял, что Вы на базе микротика (который Вы плохо знаете)
хотите на предприятии сделать пуско-наладку сети?
Аж странно это звучит, особенно читая Ваши сообщения!

Также в первом посту Вы написали что сети объединять не надо,
а сами бриджуете порты. Это просто дико воспринимается
(условия одно, на деле делаем другое)

Опять же, модель роутера должна будет обеспечивать производительность,
то есть роутер должен выдержать трафик, а так как Вы хотите (будете использовать
NAT-правила), то это нагрузка.
Поэтому вопросы:
а) какой трафик суммарный на вход/выход у сервера
б) какой суммарный трафик может создать одна под-сеть.
в) сети равнозначны (хотя бы условно, то есть и там 50 клиентских устройств и
в другой сети скажем 48 устройств?)

Нюансы:
1) Также надо понимать, гигабитный порты в роутере, это их название, по факту и
прочим данным, до гигабита там далеко.
2) РБ2011 - морально (по процессору) "старый" роутер, у него в пике NAT будет максимум
100мбит, плюс тут ещё (как я выше написал) зависит от типа трафика.
3) если трафик с каждой сети будет близок к гигабиту, три сети по гигабиту, ну даже
скажем каждая по 700мбит Х 3 сети = 2,1 гигабита, а сервер у Вас по гигабиту зацеплен,
сами понимаете, уже мало. Поэтому нагруженные сервера, NAS'ы делают их сетевые порты
в агрегацию, 2 порта объединяют и формируется единый виртуальный канал данных.
Поэтому портов надо с запасом и больше. И кол-во ядер в роутере тоже пусть будет с запасом.

P.S.
Когда читал Ваше первое сообщение, на первых секундах как будто я читаю условие
к технической задаче и якобы надо это решить. То есть сложилось отдалённость
Вас от темы маршрутизации и коммутации, тем более это особенно выделялось,
когда Вы у xvo попросили пояснить про NAT.



На работе(ах): 2xCCR1016-12G, RB3011UiAS и hAP lite (RB941)
Дома: CCR1016-12G, RBcAP2n (standalone), RB wAP LTE kit
Для тестов(под рукой): RB3011UiAS, hAP mini (RB931) и что-то ещё по мелочи
MTCNA
MTCRE
mr_dima
Сообщения: 41
Зарегистрирован: 05 авг 2020, 09:53

xvo писал(а): 06 авг 2020, 10:16 VLANы не нужны.

Сервер в одну из подсетей контроллеров определять имеет смысл только если доступ на него нужен снаружи и этот доступ должен быть именно через эту сеть.
Только не забудьте, что на нем тогда надо прописать маршруты до остальных двух сетей через микротик.

Но я бы вынес его в свою отдельную сеть и ходил бы к нему по адресу микротика из первой сети, прокинув на микротике нужные порты.

Дальше нат:

Код: Выделить всё

/ip firewall nat
add chain=srcnat action=src-nat dst-addreess=192.168.2.0/24 to-addresses=192.168.2.170
add chain=srcnat action=src-nat dst-addreess=140.80.0.0/24 to-addresses=140.80.0.170
В третьей сети, по вашей схеме получается сервер напрямую будет ходить.
Спасибо за подсказки.. Но сразу прошу извинить, не слишком владею темой.. воспринимаю с трудом ) По порядку..

Доступ снаружи "именно через network 3" не нужен конечно.
Ok. Выделяю сервер в отдельную сеть. Выделяю ему IP 192.168.3.171, на Микротике порт 192.168.3.170
VLANы убрал т.к. порты и так изолированы. Ok.
Бриджи не нужны.
Для удобства восприятия переиграл номера сетей и перерисовал.. каждая подсеть теперь сидит на одноименном порту. Network 1 на порту 1 итд. (см. новую картинку)

Теперь NAT... переписываю ваш пример под 3 подсети..

Код: Выделить всё

/ip firewall nat
add chain=srcnat action=src-nat dst-addreess=140.80.0.0/24 to-addresses=140.80.0.170
add chain=srcnat action=src-nat dst-addreess=192.168.2.0/24 to-addresses=192.168.2.170
add chain=srcnat action=src-nat dst-addreess=10.17.211.0/24 to-addresses=10.17.211.170
Поправляйте меня, т.к. материалом владею слабо..
1. Сети 1,2,3 это внешние по отношению к серверу сети.
2. Делаем замену адреса источника (src-nat), если адрес назначения (dst-address)- это адрес из диапазона 140.80.0.0/24,
Новый адрес источника - (to-address) to-addresses=140.80.0.170
4. А можно не прописывать весь диапазон сетей? Мне же с сервера надо читать только по одному устройству. Например, вот так..

Код: Выделить всё

/ip firewall nat
add chain=srcnat action=src-nat dst-addreess=140.80.0.1 to-addresses=140.80.0.170
add chain=srcnat action=src-nat dst-addreess=192.168.2.1 to-addresses=192.168.2.170
add chain=srcnat action=src-nat dst-addreess=10.17.211.160 to-addresses=10.17.211.170
3. Ок, IP подменили, но роутер поймет, что пакет надо кидать именно в порт 3?
Изображение


Ответить