classic.ISPforum.cz

Ako zakazat viditelnost lokalnych rozsahov navzajom?

Priklad:

RB1 - verejna ip 31.130.100.xx
- lokalny rozsah 192.168.5.0/24

RB2 - verejna ip 31.130.100.xx1
- lokalny rozsah 192.168.6.0/24

Co třeba
ip/firewall/filter

chain=forward action=drop protocol=tcp src-address=192.168.6.0/24
dst-address=192.168.5.0/24

chain=forward action=drop protocol=tcp src-address=192.168.5.0/24
dst-address=192.168.6.0/24

ahoj, diky skor mi slo o to ci je to normalne, ze sa mi to vidi navzajom a ze router ktory v route nema rozsah 6.0/24 ho vie opingovat.

To jsou dvě různá RB na jiných místech a jediné co mají společné je veřejná ip mapovaná z jednoho rozhraní?Divné,ty subnety by se rozhodně mezi sebou vidět neměli.

z boardu ktory ma len 2 IP adresy a to:

verejna: 31.130.16x.xx1
lokalna: 192.168.1.1

bez problemov opingujem niektoru IP z rozsahu 192.168.4.0/24

Zapni si tam NAT pokud jsou to koncovi zakaznici.
Jinak nechapu proc nemaji doma svuj subnet oba dva stejny a za NATem jinak je to plitvani, ale vlastne jen v mistni siti
Na brane ktera to k nim smeruje mas urcite nastavene routy na *.*.5.0 a *.*.6.0 ne?
Pak je jasne ze si to pingnes.

Ahoj Lada

nechapem co myslis? na kazdom RB je iba 1 lokalny rozsah, nie 2. koncovy zakaznik ma v nane (wan IP) z lokalneho rozsahu. Uplne jednoduche rutovanie. Otazka stale znie preco zakaznik dokaze opingovat lokalnu IP na boarde ku ktoremu nie je pripojeny.........je to iny board v inej dedine.

Protoze neni za natem a pravdepodobne s temito subsitemi na hlavnim spoji pocitas a mas je "tam" naroutovane.

Ahoj Lada

praveze nie :

route na hlavnom vyzera takto:

31.130.1xx.0/30 - rozsah od strany mojho poskytovatela
31.130.1x1.0/26 - verejny rozsah pre chrbticu mojej siete
192.168.0.0/16 - filtrovanie (blackhole), lebo rozsah 3.0 bol v konflikte s lokalnym rozsahom mojho poskytovatela (tiez nechapem ako sa cez tie vsetky routy vidi moj lokalny rozsah a jeho lokalny rozsah čo ma o 100km dalej)
192.168.3.0/24 - moj lokalny rozsah pre LAN na hlavnom routry

no, doufám že tam nemáš bridge a nebo doufám že se nenatuje až na hlavní bráně poskytovatele a neposílají se neveřejky přes veřejný rozsahy. Pak se můžou rozsahy navzájem pingat bez problemu.

ziadny bridge nie je .....

To je tvoje sit nebo nekoho jineho? Jestli on nahodou nepouziva stejny rozsah.
Spise tam ale bude problem se spatnyma routama.
Posli vypis address z obou routeru a z hlavniho vcetne route, ale tak jak to tam je bez tech xxx.
Ideal screenshoty.

Ahoj Lada

A pokud bude v těch výpisech, tak ať přihodí i:

/interface ethernet print detail

Pokud tam bude něco jako arp=proxyarp, tak má vyníka. Prakticky aktivovaný pseudo-bridge. Ale pokud si vzpomínám, tak ROS to default nezapíná.

print detail neobsahuje ziadne ARP proxy. ono je to viac menej vsetko v defaulte, su nastavene len zakladne veci

a tim bych to uzavřel