Router uten NAT - hvordan kan det funke?

[hallgeirl]

Hei.

 

Hjemme har jeg nå Bluecom ADSL (2048/256). På det abonnementet slipper jeg å bruke router for å dele internett mellom fler PC'er (bruker kun switcher), og alle PCer får da hver sin IP ut mot internett (f.eks. så har jeg 2 pc'er der den ene har IP 217.118.50.67, og den andre 217.118.58.85 ut mot nett).

 

Men.. jeg har tenkt å lage en aldri så liten router PC nå, som skal kjøre smoothwall. Denne skal hovedsaklig brukes som brannmur, samt brukes til pakkeprioritering (QoS?) så jeg f.eks. kan laste ned en del ting samtidig som jeg spiller, uten å få veldig mye lagg ved å prioritere visse pakker.

Det jeg lurer på: Hvis jeg skrur av DHCP og NAT på den routeren... vil da pc'ene bak routeren fortsatt ha hver sin eksterne IP som beskrevet over, eller vil det ikke funke i det hele tatt?

 

Takker for evt. svar.

[Torbjørn]

Ditt problem er at din ruter ikke står på eksternt nett.

 

Det enkleste vil muligens være å sette opp en bridge. Denne opererer som en switch, men har mulighet for filtrering og pakkemanipulering på IP-nivå.

 

Hvis du googler etter "bridge utils" så bør du komme deg videre.

[hallgeirl]

Nå har jeg ingen anelse om hva bridging er, men da vet jeg hva jeg skal lete etter ihvertfall. Takker for tipset.

 

edit: ok, nå har jeg lest litt om bridging, og begynner å forstå litt ihvertfall.

Er det mulig å sette opp bridging i Smoothwall eller annen routersoftware, eller må jeg inn med en fullverdig linuxdistro og legge inn diverse software for å få den til å fungere som en bridge?

Endret 28. januar 2005 av ZiggWarth

[Daemon]

nei,nei,nei...

 

Helt feil beskrivelse av en bridge.

 

En bridge filtrerer ikke på IP-nivå!

 

En bridge fungerer på samme måte som en helt vanlig switch, bortsett fra at den ikke har flere enn 2 porter. med andre ord; en bridge er til for å segmentere/lage to collision domains.

 

en lag 3 switch derimot, kan filtrere på IP (lag3) nivå.

[stb]

Jeg tror det du trenger er en brannmur. Etter egen erfaring så er "den beste" programmvaren monowall. www.m0n0.ch/wall/ . (Har forsøkt en del forskjellige brannmurer, (monowall, clarkconnect, smoothwall, ipcop, ++). (Ingen kommer opp mot monowall, etter min mening og mine behov).

 

 

 

Monowall kan gjøre akkurat det du forsøker å få til. Den er dessuten enkel å sette opp. Prioritering av pakker er kurant å sette opp vha "Magic shaper". (Det er ellers et helvete å manuelt sette opp prioritering av alle lure porter P2P programmer bruker). Dersom du ønsker at enkelte porter på utsiden skal redirigeres til klienter på innsiden så er det også kurant å sette opp innbound NAT. Brannmurregler er også greie å sette opp.

 

HW behov er sparsomlig. Bruker den på P200 og 64 MB ram.

Booter fra cd. Under boot blir konfigurasjonen lest fra diskette. Ingen harddisk trengs, og hele brannmuren kjører fra minnet på pc'n under drift. Dersom du vil kan du også ha remote syslog og SNMP monitorering.

 

 

 

Pc'ene kan ikke stå direkte på internet og bak en brannmur samtidig.

Enten så står de bak brannmur, eller så står de direkte på internett.

 

En liten mellomting er å bruke en filtrerende bridge.

Det finnes kraftige værktøy for bridging. Bla er det en del linux baserte ting som kan utføre mirakler. Utfordringen er at man nesten må ha doktorgrad i operativsystemer og nettverk for å installere og konfigurere værktøyene. Det er heller ikke lett å komme over gode grafiske grensesnitt. Det gjør det jo litt trælete å konfigurere. Har ikke mye erfaring med filtrerende bridge. Mitt inntrykk er at det er en god tanke, men kun for de med spesielle behov..........

(Sammenkobling av nettverk med "rare" og evt ikke rutbare protokoller. Evt brukt til å segmentere nettverk i flere segmenter).

[Torbjørn]

Daemon: Hvis jeg reformulerer meg og sier at "hvis du setter opp en software bridge med en linux 2.6 kernel eller 2.4 med ebtables patch, vil du ha mulighet for å filtrere pakkene på IP-nivå selvom det heter bridge", lar du meg da passere? og kan vi da fortsette med litt konstruktiv problemløsning?

 

stb: Hvorfor (i all verden) kan ikke pc'ene stå bak en brannmur og samtidig være direkte på internett? (hvis du med "direkte på internett" mener globale ipadresser). En firewall vet ikke av globale/lokale ipnett definisjoner, den vet bare av "ip-matematikken", der er en adresse en adresse, og en maske en maske.

 

Det er forøvrig synd å kaste bort broadcast og networkadresser på unødvendig segmentering.

 

I forhold til det du får igjen ved å sette opp en bridge i en noe større linuxdistribusjon, koster det minimalt.

 

EDIT: skriveleif

Endret 28. januar 2005 av Torbjørn

[stb]

Sorry, litt uklar i "direkte på internett".

 

Her er et eksempel på hvordan bridging kan brukes vha monowall.

http://m0n0.ch/wall/docbook/examples-filtered-bridge.html