Základní architektura - nat nebo routing?

[pekr]

Zdarec,

tak jsem tu zase a doufám pak dám chvíli pokoj :-) Mám zde některé otázky a vyrobený slajd pro lepší představivost :-)

My jsme (z historických důvodů) kdy jsme v naší lokalitě začínali s přeprodejem ADSL v oddělených buňkách, abychom si to ulehčili a nemuseli překonfigurovávat klienty, šli do natovaných buněk, které jsme na pětkové síti propojili na hlavní přístupový bod, který jsme později získali. Tím ovšem z pohledu routeru, nevidíme na jednotlivé uživatele, ale pouze vidíme dané pětkové uzly.

Dá se říct, že tento přístup je nějak vyloženě špatný? Nebo to i někdo používá? Nebo bychom spíše měli raději rychle přebudovat tu sí tak, aby prostě ti koncoví uživatelé zkončili až na hlavním routeru? Mělo by to nějakou výhodu? Stejně bychom je asi šejpovali už na nejbližším uzlu, a se traffic zbytečně nepřenáší až k routeru, pokud nemusí ...

Mám zde tuto malůvku a v ní následující dotazy:

http://www.xidys.com/xidysnet-cz.jpg

1) Je obecně vhodným designem sítě budovat natovanou místo routované sítě?
- co kdyby dva klienti v sousedních subsítích chtěji komunikovat? Co když mají stejná IP? Nasadit separátní IP adresy? Tunely?

2) Jak můžu pingnout z J/10.0.0.60 na N/10.0.5.2? (Chceme používat winbox v našem PC shopu (10.0.0.60 IP)
- potřebuji statickou routu? Jak by měla vypadat?
- existuje zde možnost, že se nemůžeme propingat na N/10.0.5.2 např., protože se ping na tomto uzlu ztratí, když svou odpověï chce poslat na 10.0.0.60, tedy rorsah, který existuje i na N uzlu samotném? Dá se to ošetřit?

3) Jak forwardovat (routovat) Public IP od ISP2 na např. N/10.0.5.2 network interface?

4) dva sousedící interfejsy nemůžou mít kompatibilní IP, správně? Jak dosáhnout toho, aby M network uzel byl také na 10.0.5.x síti?

Díky moc pánové (doufám že tady není nějaká dáma :-)
Cheers,
-pekr-

[Lukas Vacek]

Opravdu nevidím jediný důvod dávat na různé segnmenty sítě stejné rozsahy vnitřních IP. Bylo to krátkozraké řešení i při použití několika ADSL konektivit na různých bodech protože už mohly nastat problémy již při použití například tunelů.

Doporučoval bych nastavit na každý sector sítě samostatný subnet který nebude nikde jinde v síti použit. Až to překonfigurujete tak postupně přesunout všechy maškarády na hraniční router a dopsat statické routovací cesty. Díky tomu se ve finéle dostanete z kteráhokoliv segmentu vnitřní sítě kamkoliv.....

Pokud nevíte jak vytvořit statické routovací cesty doporučuji nastudovat něco o základech sítí případně navštívit nějaké školení zabívající se mikrotikem.
Doporučil bych vám například pana Klímu který je oficielní konzultant mikrotiku pro ČR a je schopen vám udělat školení i přímo u Vás na firmě. Více na: http://mikrotik.dobri.net/

PS: ta topologie je moc pěkná V čem to ne dělaný ??

[pekr]

No tak ty diagramy, to je typicky MS Visio. Já to musel používat u jednoho projektu v podniku, kdy jsme kreslili procesy :-) Problém je, že defaultně Visio nemá moc pěkné sety ikon, tak jsem seděl u inetu a postupně to skládal dokupy, akorát to není ještě moc konzistentní. Jsou firmy, co se tímto živí a dělají různé sety. Já měl jeden screenshot při jedné prezentaci ohledně e-podpisu co jsem dělal, a místo aby mi potom lidi volali k tématu, tak jsem měl 3 telefony, kde se lidi ptali, kde jsem vzal ty ikony :-))

Teï zpátky k mému tématu - ty desítkové sítě jsou samo špatně - asi si dáme tu práci a předěláme to, ale to bylo dáno historicky, my jsme původně netušili, že bychom někdy vůbec poskytovali :-)

Ke školení - chlapi, udělejte taky nějaké školení pro nás moraváky :-) My jsme skoro u slovenských hranic a jezdit pořád do prahy se mi taky nechce :-)

Jinak myslím že jsem statické routy už začal chápat, po té co jsem si pohrál s přidáním rout ve Windows, ale mám tady ještě tři "krátké" dotazy, pokud možno :-)

1) K čemu je dobrý parametr preferred-source. Statickou routu můžu přidat i bez toho. Znamená to, že tato routa se uplatní jen tehdy, když je zdrojová adresa v paketu rovna preferred-source?

2) distance - čili něco jako ve Windows metrika - uplatní se routa s menší definovanou vzdáleností, right?

3) V manuálu k ECMP (equal cost multipath routing), kde je uveden příklad fail-overu - tedy že můžu mít dvě wan brány, markovat v prerouting chainu pakety a ty pak použít pro stanovení, co půjde ven přes kterou gw, jsem si všimnul, že tam není žáden NAT. Možná to tam jen nepotřebovali, ale pro pořádek se zeptám - NAT je uplatňován po routování, right? Mě totiž napadá, že vlastně jestli neděláme NAT na našich uzlech zbytečně, že by masquarading stačil jen na výstupu u public IP. Tím bychom teoreticky dosáhli toho, že pak jednotlivé koncové uživatele uvidíme až na hlavním routeru, kdežto když tam aplikujeme NAT, tak na hlavním routeru vidíme jako by provoz šel jen z jednoho IP toho uzlu ... jest tak?

-pekr-