Tillate kommunikasjon mellom 2 subnet

[netphreak]

Jeg har har 5 statiske IPadresser tilgjengelig av et /29 subnet. IP#1 blir sendt til en pfsense BSD router, som deler ut subnet 192.168.1.0/24. Disse adressene blir brukt av mine maskiner/utstyr. IP#2 blir sendt til en Linksys WRT54GS, med dd-wrt firmware. Den er konfigurert som bridge, med WLAN antenne for kommunikasjon med en annen WRT54GS, konfigurert som router. Denne routeren deler ut subnet 192.168.2.0/24

                      | --- pfsense (IP#1) --> 192.168.1.0/24
ADSL - Managed Switch -
                      |--- dd-wrt (IP#2) --- dd-wrt --> 192.168.2.0/24

Hvordan skal jeg kunne få tilgang fra det ene subnettet til det andre? Det er en PC i hvert subnet som skal ha tilgang til hverandre, de andre skal ikke ha tilgang.

 

Skal jeg bruke IPsec? OpenVPN?

Endret 5. desember 2006 av netphreak

[xcomiii]

VLAN er jo praktisk til dette.

[netphreak]

  xcomiii skrev:

VLAN er jo praktisk til dette.

7405158[/snapback]

Ja, tenkte meg vel nesten det svaret... Vil VLAN gi meg hva jeg ønsker? Vil de 2 PC'ene kunne snakke med hverandre nøyaktig som om de var i samme subnet?

 

OK, jeg har en managed switch som deler ut statiske IP'er fra ADSL modemet. Denne har support for 802.1q - kan dette hjelpe meg?

 

Beklager, men jeg har prøvd å forstå hvordan VLAN virker, men får ikke helt taket på det

[Dal]

Dette skal vel løses fint med å sette en statisk rute i hver av de pc'ene som skal snakke med hverandre.

La oss si at routerne har ip-adresse 1, og pc'ene har ip-adresse 2, altså 192.168.1.2

 

I IP#1 skriver du:

route -p add 192.168.2.2 mask 255.255.255.255 192.168.1.1

I IP#2 skriver du:

route -p add 192.168.1.2 mask 255.255.255.255 192.168.2.1

[CrZy_T]

  Dal skrev:

Dette skal vel løses fint med å sette en statisk rute i hver av de pc'ene som skal snakke med hverandre.

La oss si at routerne har ip-adresse 1, og pc'ene har ip-adresse 2, altså 192.168.1.2

 

I IP#1 skriver du:

route -p add 192.168.2.2 mask 255.255.255.255 192.168.1.1

I IP#2 skriver du:

route -p add 192.168.1.2 mask 255.255.255.255 192.168.2.1

7406899[/snapback]

 

Dette er ikke sikkert vil funke fordi:

 

pfsense ikke kjenner til ip-adressen 192.168.2.1 eller 192.168.2.0-nettet da dette er det interne interfacet på dd-wrt #2. Den vil derfor kun route dette videre ut til sin default gateway.

 

Det som derimot kan løse problemet er å legge inn en route på pfsense som sier at 192.168.2.0-nettet finnes bak DD-WRT sin eksterne ip. Ettersom trådstarter ikke sier noe om hvilke ip'er som brukes der så er det litt vanskelig. En slik route vil åpne opp for alle, så man må da sette regler i firewall enten på maskin eller routere at kun den/de gitte ip-adresser får komme igjennom.

Endret 2. desember 2006 av CrZy_T

[Dal]

Ok, det var nok jeg som misforstod tegningen.

[netphreak]

  CrZy_T skrev:

Det som derimot kan løse problemet er å legge inn en route på pfsense som sier at 192.168.2.0-nettet finnes bak DD-WRT sin eksterne ip. Ettersom trådstarter ikke sier noe om hvilke ip'er som brukes der så er det litt vanskelig. En slik route vil åpne opp for alle, så man må da sette regler i firewall enten på maskin eller routere at kun den/de gitte ip-adresser får komme igjennom.

7406982[/snapback]

 

Hm, er ikke sikker på at jeg blir forstått helt riktig her... Både pfsense og dd-wrt får tildelt hver sin public IP fra ISP. Jeg disponerer mit eget /29 subnet, altså med 8 statiske adresser. 3 av disse blir benyttet i ADSL modemet, mens de resterende 5 er frie for meg å benytte til det jeg vil. Jeg har forbedret tegningen min i første post noe for å gjøre det klarere.

 

Må jeg ikke gi tilatelse for kommunikasjon mellom subnet under *HVER SIN PUBLIC* IP adresse i leddet før pfsense og dd-wrt - altså ADSL modem eller managed switch?

 

Hm...

Endret 5. desember 2006 av netphreak

[CrZy_T]

  netphreak skrev:

  CrZy_T skrev:

Det som derimot kan løse problemet er å legge inn en route på pfsense som sier at 192.168.2.0-nettet finnes bak DD-WRT sin eksterne ip. Ettersom trådstarter ikke sier noe om hvilke ip'er som brukes der så er det litt vanskelig. En slik route vil åpne opp for alle, så man må da sette regler i firewall enten på maskin eller routere at kun den/de gitte ip-adresser får komme igjennom.

7406982[/snapback]

 

Hm, er ikke sikker på at jeg blir forstått helt riktig her... Både pfsense og dd-wrt får tildelt hver sin public IP fra ISP. Jeg disponerer mit eget /28 subnet, altså med 8 statiske adresser. 3 av disse blir benyttet i ADSL modemet, mens de resterende 5 er frie for meg å benytte til det jeg vil. Jeg har forbedret tegningen min i første post noe for å gjøre det klarere.

 

Må jeg ikke gi tilatelse for kommunikasjon mellom subnet under *HVER SIN PUBLIC* IP adresse i leddet før pfsense og dd-wrt - altså ADSL modem eller managed switch?

 

Hm...

7421750[/snapback]

 

Dersom du ikke har fast adresser på de eksterne interfacene på pfsense-greien og dd-wrt så blir det vanskelig. Hvis du sitter på en maskin bak pfsense og prøver å pinge en ip bak dd-wrt, så vil icmp-pakken går fra pc -> pfsense -> adsl-router hvor den blir droppet fordi den ikke kjenner til det ip-nettet du prøver å pinge. Det du må gjøre er å sette opp en statisk route på pfsense-maskinen som sier at dd-wrt kjenner til 192.168.2.0-nettet slik at pakkene blir routet dit i stedet for til default gateway (adsl router). Det samme må gjøres på dd-wrt.

 

Dersom dd-wrt og pfsense ikke har fast adresser på sine eksterne interface (alt mot det nettet hvor adsl routeren står) så kjenner ikke jeg til noen løsning på problemet.

 

 

PS: 192.168.2.0/32 er ikke et nett, jeg antar dette kanskje er en skrivefeil og skulle vært /24?

[netphreak]

  CrZy_T skrev:

Dersom du ikke har fast adresser på de eksterne interfacene på pfsense-greien og dd-wrt så blir det vanskelig.

7422879[/snapback]

Hva mener du? Static Public IP fra ISP? Ja. Eller mener du noe annet?

 

  CrZy_T skrev:

Hvis du sitter på en maskin bak pfsense og prøver å pinge en ip bak dd-wrt, så vil icmp-pakken går fra pc -> pfsense -> adsl-router hvor den blir droppet fordi den ikke kjenner til det ip-nettet du prøver å pinge.

7422879[/snapback]

Helt riktig det...

 

  CrZy_T skrev:

Det du må gjøre er å sette opp en statisk route på pfsense-maskinen som sier at dd-wrt kjenner til 192.168.2.0-nettet slik at pakkene blir routet dit i stedet for til default gateway (adsl router). Det samme må gjøres på dd-wrt.

7422879[/snapback]

Ant that's it? Høres da nesten for enkelt ut? Skal teste i morgen

 

  CrZy_T skrev:

PS: 192.168.2.0/32 er ikke et nett, jeg antar dette kanskje er en skrivefeil og skulle vært /24?

7422879[/snapback]

Off da, flaue greier... Du har selvsagt rett, skjønner ikke hvor jeg fikk /32 fra. Og så skal det stå at jeg har /29 subnet, ikke /28! Jeg har jo ikke 16 statiske IP'er da, men 8! Jeg er da også som nybegynner å regne Har editert feilene.