Aplikovatelné rozdíly masquerade vs NAT

[Zdeněk.hb]

Zdravim ..

teï budu vypadat asi jako lama, i když nekolikrát tady nekomu i poradím,äle už jsem se párkrát setkal s tím, že někdo rozlišuje NAT a MASQUERADE.

Chtěl bych kdyby tu byl skušený síař, který by objasnil jak to přesně je.

Předpokladem u mikrotiku je, že pokud používám nat s maskaradou defunuju:

Kód: Vybrat vše

/ip firewall nat
add chain=src-nat out-interface=WAN action=masquerade disable=no


ale jak je pak NAT bez MASQUERADE, tak aby mi to prelozilo klenta z Wlan1 na WAN bez toho aby maskoval?

V naší síti jsem v podstatě přišel k již rozjetému modelu sítě na bázi Linuxových routerů, které používali NAT s MASQUERADE a maskovali klienty za své veřejné IP.

Mohl by někdo vytvořit i třeba nejaký konfigurační model jak vypadá taková sí s MASQUERADE a bez MASQUERADE aniž by nekdo někde použil bridge?

[pekr]

tak jestli ty jses lama, ja se jeste nenaucil ani cist :-)

Nicmene - me tahle otazka taky celkem zajima. Co si pamatuju ze skoleni Mikrotiku na MUM v Praze, tak tam typek od Mikrotiku rikal, ze lidem to dela akorat binec v hlave, ze on doporucuje kazdemu pouzivat source nat a destination nat, protoze masquerade a redirect nejsou nic jineho nez prave priklady source a destination natu, ktere pry zavedlo Cisco nebo tak neco :-)

Jak by to mohlo vypadat bez action=masquerade netusim .... ja bezne pouzivam out-interface parametr a masquerade prave. Funguje to. Horsi by bylo, kdybych chtel delat masquerading nejak selektivne podle networku, ale pak by snad slo pouzit parametry source address?

Jinak manual rika:
masquerade is a special form of source NAT without need to specify to-addresses - outgoing interface address is used automatically

Cili mozna by slo misto action=masquerade pouzit action=src-nat a to-address dat adresu vystupniho interface? Nevim, ja si s tim jednou hral a nepovedlo se mi dosta do wanu, tak jsem pouzil proste cestu nejmensiho odporu a nechal tam ten masquerading :-)

-pekr-

[arez]

co rika masquerade HOWTO:

What is IP Masquerade?

IP Masquerade is a networking function in Linux similar to the one-to-many (1:Many) NAT (Network Address Translation) servers found in many commercial firewalls and network routers. For example, if a Linux host is connected to the Internet via PPP, Ethernet, etc., the IP Masquerade feature allows other "internal" computers connected to this Linux box (via PPP, Ethernet, etc.) to also reach the Internet as well. Linux IP Masquerading allows for this functionality even though these internal machines don't have an officially assigned IP address.

MASQ allows a set of machines to invisibly access the Internet via the MASQ gateway. To other machines on the Internet, the outgoing traffic will appear to be from the IP MASQ Linux server itself. In addition to the added functionality, IP Masquerade provides the foundation to create a HEAVILY secured networking environment. With a well built firewall, breaking the security of a well configured masquerading system and internal LAN should be considerably difficult to accomplish.

ve zkratce maskarada je vazana na interface
src-nat a dst-nat jsou vazany na IP

[pao]

Jak by to mohlo vypadat bez action=masquerade netusim .... ja bezne pouzivam out-interface parametr a masquerade prave. Funguje to. Horsi by bylo, kdybych chtel delat masquerading nejak selektivne podle networku, ale pak by snad slo pouzit parametry source address?

Cili mozna by slo misto action=masquerade pouzit action=src-nat a to-address dat adresu vystupniho interface? Nevim, ja si s tim jednou hral a nepovedlo se mi dosta do wanu, tak jsem pouzil proste cestu nejmensiho odporu a nechal tam ten masquerading

Takže, já například používám tohle:

Kód: Vybrat vše

 0   ;;; Default masquerade for ... network
     chain=srcnat out-interface=wan action=src-nat to-addresses=a.b.c.d to-ports=0-65535

nebo také tohle:

Kód: Vybrat vše

0   ;;; SRC-NAT / SAME / Segment-A Client Private Block
     chain=srcnat out-interface=wan src-address=10.1.0.0/24 action=same to-addresses=a.b.c.d-w.x.y.z
     to-ports=0-65535 same-not-by-dst=no


Zjednodušeně řečeno, nehledejte v tom žádné komplikace a vyjděte ze základů. Máte veřejné IP venku a privátní ip uvnitř. Ty tam jsou proto, že jen málokdy se vám podaří získat dostatek veřejných ip, jinak byste měli i na topinkovači veřejnou a vše byste řešili triviálně a přehledně firewallem. Celá záležitost NATu je pak v tom, jakým způsobem překládat adresy a porty (PAT) mezi public-private. Je fuk, jak to kdo pojmenovává, protože dělat to jde v zásadě jen jedním způsobem, při odchozím spojení se vytvoří záznam v nat tabulce a ten "otevírá cestu" pro vracející se pakety.

doporučuji kouknout i sem:

http://en.wikipedia.org/wiki/Network_ad ... ranslation
http://en.wikipedia.org/wiki/Port_address_translation

kde tato věta říká hodně:

... the process of network address translation (NAT, also known as network masquerading or IP-masquerading) involves ...

Takže zpět k věci - v podání MT se jeví "masquerade" jako forma src-nat, která vyžaduje od uživatele pouze určení out adaptéru a už ho nezatěžuje adresami, tedy něco pro američana. Oproti tomu src-nat umožňuje zadat i adresu (sadu adres !!!) na které se má překlad dělat. Někdy je to praktické. Příklad - dostanete od ISP jednu spojovací adresu, na kterou vám je naroutován další rozsah adres. Vy máte na síti klienty, které chcete překládat a dáte si tudíž na wan iface routeru např. 8 adres z routovaného rozsahu. A nyní, pokud byste použil "masquerade", dokážete říct, jakou adresu si MT zvolí pro překlad? Já ne. Pokud použijete src-nat, můžete si to libovolně nastavit, dokonce třeba per-subnet atd.

Pokud byste potřebovali navrhnout, nebo otestovat nějaký složitější setup, tak to v zásadě není problém, mám pár poměrně komplikovaných sítí, kde se s tím dá pohrát.

[pekr]

Diky moc za vysvetleni. Uz jsem chtel napsat, ze vasemu prikladu tak uplne nerozumim, protoze jsem nechapal, k cemu je to dobre, kdyz kazdy paket bude natovan treba na jiny network, ale pak jsem si vsiml parametru 'same, ktery jsem neznal, a po nahlednuti do dokumentace je mi to jasne.

Nicmene presto mam nejake dotazy:

vsiml jsem si, ze pouzivate (stejne jako ja, protoze to proste funguje), parametr out-interface=. Ja jsem tomu rozumel do doby, nez mi jeden clovek na anglickem mikrotik foru rekl, ze o osudu paketu, tedy kudy poleze ven, rozhoduje routing a ne nat. Tak jsem ho odkazal na dokumentaci, kde bylo uvedeno, ze srcnat je pred routingem. On rekl ze je to spatne a mikrotik to skutecne po par dnech opravil. Jestlize je tedy srcnat uplatnovat po routingu, ten paket uz je na out-interface a router uz vi, jak na tomto interfejsu natovat - je tedy ten parametr dulezity? (myslim ze mi to bez out-interface nejelo, ale uz nevim :-) Asi porad neco chapu spatne :-)

Jeste jeden dotaz - muzu u srcnatu pouzit source-address, ze bych treba jako ja sam rozhodl, ze ktereho networku prenatuju na ktery network? Doufam ze jo, protoze takto to chapu ...

-pekr-

[pao]

vsiml jsem si, ze pouzivate (stejne jako ja, protoze to proste funguje), parametr out-interface=. Ja jsem tomu rozumel do doby, nez mi jeden clovek na anglickem mikrotik foru rekl, ze o osudu paketu, tedy kudy poleze ven, rozhoduje routing a ne nat. Tak jsem ho odkazal na dokumentaci, kde bylo uvedeno, ze srcnat je pred routingem. On rekl ze je to spatne a mikrotik to skutecne po par dnech opravil. Jestlize je tedy srcnat uplatnovat po routingu, ten paket uz je na out-interface a router uz vi, jak na tomto interfejsu natovat - je tedy ten parametr dulezity? (myslim ze mi to bez out-interface nejelo, ale uz nevim Asi porad neco chapu spatne

Neříkal bych špatně, spíš možná (pokud to chápu já) máte převrácen pár... hmm... příčina / následek? Jak to popisujete, tak máte (měl jste) za to, že NAT určuje, kudy paket odejde. Nikoli, o to se, jak správně řekl onen člověk, stará routing. Paket přijde, routing se rozmyslí kudy kam patří a odešle jej směrem na daný interface. A teï to právě začne - pokud by tam NAT nebyl, odešle se paket ven (řekněme) WAN rozhraním a ponese informaci o cíli (správnou) a zdroji (špatnou, protože obsahující privátní adresu). Pak mohou nastat dvě věci - buï to dropne rovnou ISP, nebo to dorazí do cíle a už se to nikdy nevrátí zpět, protože nebude vědět kam. Takže příklad - budete mít sí 192.168.0.0/24 s hostem 192.168.0.5, který bude posílat ping na 212.47.1.4, ten ping tam třeba i doletí, ale nebude jej kam vrátit, zdrojová adresa 192.168.0.5 nemá na internetu co dělat.

Proto je tam NAT, který paket vezme a přeloží na vnější adresu. Koukněte se schválně na tohle, je to VELMI VELMI podstatné pro pochopení mikrotiku:

http://www.mikrotik.com/docs/ros/2.9/ip/flow

Tím se dostáváme k parametru out-interface, kde je právě to mírné nedorozumění - ten totiž neříká "natuj to směrem sem", ale "natuj to co míří sem", tedy tím kvalifikujete, které pakety se do natu mají zahrnout. Čili, říká to "chci, abys překládal vše, odcházející do wanu". Pokud tam ten parametr nedáte, tak to TEORETICKY taky bude fungovat, ale vlastně tím říkáte: "Přelož VŠECHNO, odcházející ven z routeru". A to může být problém, protože router nemá jen jeden interface. Například se tak (dle pozice daného pravidla v seznamu) bude překládat vše odcházející dovnitř do lanu atd.

Jeste jeden dotaz - muzu u srcnatu pouzit source-address, ze bych treba jako ja sam rozhodl, ze ktereho networku prenatuju na ktery network? Doufam ze jo, protoze takto to chapu ...

Ano. Když se podíváte do mého minulého příspěvku, do příkladu dva (to je ten s komentářem "SRC-NAT / SAME / Segment-A Client Private Block"), tak přesně to tam dělám. Představte si to třeba takto: mám router s 6 interface, jeden je wan k isp, pět jsou rozhraní do pěti zcela samostatných a oddělených segmentů vnitřní sítě. To pravidlo které je v té ukázce je tedy jedno z pěti, kde každé z nich určuje, jak se bude překládat daný adresový prostor na vnější adresu (v mém případě na sadu adres, aby byl zajištěn dostatek portů pro překlady. Nezatěžuji se limitováním spojení pro uživatele, protože jsem došel k tomu, že je to k ničemu). Zjednodušeně - uživatelé z jednotlivých segmentů (sítí) budou mít dle zdrojové adresy různé adresy pro překlad. Odpověï na vaši otázku je ano. Můžete například určit, že všichni uživatelé budou překládáni jako adresa A až na vaši stanici, která bude překládána jako adresa B. Nebo cokoli jiného.

[pekr]

Tím se dostáváme k parametru out-interface, kde je právě to mírné nedorozumění - ten totiž neříká "natuj to směrem sem", ale "natuj to co míří sem", tedy tím kvalifikujete, které pakety se do natu mají zahrnout. Čili, říká to "chci, abys překládal vše, odcházející do wanu". Pokud tam ten parametr nedáte, tak to TEORETICKY taky bude fungovat, ale vlastně tím říkáte: "Přelož VŠECHNO, odcházející ven z routeru". A to může být problém, protože router nemá jen jeden interface. Například se tak (dle pozice daného pravidla v seznamu) bude překládat vše odcházející dovnitř do lanu atd.

Jasne, mě šlo specificky o to, že jakmile uvedu parametr to-address, tak bych TEORETICKY nemusel uvádět parametr out-interface, protože pokud tam uvedu jednu z adres na wan (odchozím) interface, router by mohl vědět, že se jedná o interface xy, který jinak uvádím v out-interface .... no ale ono proč to tam nedat, že jo .... Spíše se snažím těmito spekulacemi a úvahami zjistit, jak router os "přemýšlí" a jestli jeho logiku dobře sleduju ...

ad ten diagram, přesně totéž mi doporučil ten člověk na anglickém fóru ... :-)

Každopádně - díky moc za rady,
S pozdravem,
-pekr-

[pao]

Jasne, mě šlo specificky o to, že jakmile uvedu parametr to-address, tak bych TEORETICKY nemusel uvádět parametr out-interface, protože pokud tam uvedu jednu z adres na wan (odchozím) interface, router by mohl vědět, že se jedná o interface xy, který jinak uvádím v out-interface .... no ale ono proč to tam nedat, že jo .... Spíše se snažím těmito spekulacemi a úvahami zjistit, jak router os "přemýšlí" a jestli jeho logiku dobře sleduju ...

Ne, bohužel to není správná úvaha. Vy vnímáte wan iface jako "odchozí", ale router nikoli, pro něj je to trubka, kterou tečou data oběma směry. Proto, kdybyste mu chtěl jen říct "přelož vše na adresu a.b.c.d", chybí právě ten podstatný parametr, udávající směr. Proto by se překládaly pakety nejen odchozí (tedy router->wan), ale i příchozí (tedy wan->router) a to je špatně. Takže se nevyhnete buï tomu, že budete zadávat "out interface" (kde router už ví, že směr "out" je to co tím rozhraním teče ven, nikoli dovnitř), nebo by tam musel být nějaký checkbox, který by říkal (in/out). Tomu routeru je vážně jedno, kterým směrem to přeloží.

[rpetrik]

Predem bych chtel tem, co je zajimaji takoveto detaily, doporucit, at si zaplati nejaky kurz nebo si prectou odbornou literaturu, protoze na forech se doctou spoustu polopravd nebo neuplnych informaci. Kdyz uz jsem se sem dostal dam tu par upresneni.

Prvni dulezita vec je, ze source-nat neni schopen nahradit maskaradu, jak by se z teto diskuze dalo usuzovat. Oboji to patri pod natovani, ale hodi se na jine veci. Maskarada totiz preklada na adresu odchoziho rozhrani (bere se primarni IP adresa, nikoli alias), takze tato adresa nemusi byt v case nastavovani routeru znama a hlavne, muze byt pridelovana dynamicky z DHCP a vse bude fungovat. Kdezto pri pouziti source-natu musite znat adresu, na kterou chcete prekladat.

Dalsi, ale mene dulezitou poznamku, bych mel k prikladu pingu poslaneho bez natovani z privatni site. Ten by do cile dorazil pouze v pripade, ze by zadny router po ceste nemel zapnuty rp-filter, coz je v realu temer nemozne. Rp-filter neboli return path filter totiz filtruje (zahazuje) pakety, jejiz adresa zdroje neodpovida interface, ze ktereho paket prichazi. Jednoduse filtruje ty pakety, ktere by na ten interface neposlal, kdyby je mel odesilat na adresu zdroje.

K poslednimu prispevku bych dodal snad uz jen, ze kdybyste si u source-natu zkusili nezadat out-interface, verim, ze by se prikaz vubec neprovedl, protoze je nesmyslny. Zpusobil by totiz preklad vsech prochazejicich paketu ve vsech smerech. Nevim k cemu by to bylo dobre, maximalne na zmateni nepritele .

[Zdeněk.hb]

Prvni dulezita vec je, ze source-nat neni schopen nahradit maskaradu, jak by se z teto diskuze dalo usuzovat. Oboji to patri pod natovani, ale hodi se na jine veci. Maskarada totiz preklada na adresu odchoziho rozhrani (bere se primarni IP adresa, nikoli alias), takze tato adresa nemusi byt v case nastavovani routeru znama a hlavne, muze byt pridelovana dynamicky z DHCP a vse bude fungovat. Kdezto pri pouziti source-natu musite znat adresu, na kterou chcete prekladat.

Dalsi, ale mene dulezitou poznamku, bych mel k prikladu pingu poslaneho bez natovani z privatni site. Ten by do cile dorazil pouze v pripade, ze by zadny router po ceste nemel zapnuty rp-filter, coz je v realu temer nemozne. Rp-filter neboli return path filter totiz filtruje (zahazuje) pakety, jejiz adresa zdroje neodpovida interface, ze ktereho paket prichazi. Jednoduse filtruje ty pakety, ktere by na ten interface neposlal, kdyby je mel odesilat na adresu zdroje.

K poslednimu prispevku bych dodal snad uz jen, ze kdybyste si u source-natu zkusili nezadat out-interface, verim, ze by se prikaz vubec neprovedl, protoze je nesmyslny. Zpusobil by totiz preklad vsech prochazejicich paketu ve vsech smerech. Nevim k cemu by to bylo dobre, maximalne na zmateni nepritele .

Nj takže od dotazu nám sice poskočil už nějký ten rok, ale ..

Něřekl bych, že src-nat není schopen nahradit Maškarádu. Naopak má oproti maškarádě víc možností jak regulovat tok na routeru. Pokud se tu budeme bavit o přípojné konektivitě pomocí ADSL tak tam může samo být WAN adresa přiřazována dynamicky a src-nat se nedá aplikovat, vzhledem k měnící se ip na WAN, ale v případě statických adres, které jsou asi nejrozšířenější je tomu uplně jinak.

Příkladem použití src-nat (a to maškaráda neumí) je, pokud chceme rozdělit klienty na routeru na několik segmentů, kde každý segment bude vystupovat na venek pod jinou veřejnou IP. Ano toto předpokládá sice více veřejných IP na WAN, ale určitým způsobem může poskytovat dobrou dostupnost služeb internetu. Když vezmeme v potaz třeba Rapidshare a další, kteří jsou na tomto zavisli, nebo nějaký IP BAN kterou způsobí klient na nějkém webu. Při použití Masq jsou v tu chvíli od konkrétního webu odříznuti všichni klienti routeru. V případě src-nat jen ti kteří jsou za adresu schováváni a zbytek jede bez problémů.

Shrnutím je:

SRC-NAT je alternativa maškarády (dělá uplně to samé) avšak u SRC-NAT si můžeme určit za jakou IP (která je dostupná WAN) bude zdroj maskován a to skýtá určité výhody

MASQUERADE je alternativa SRC-NAT. Nemůžeme však určit IP za kterou bude zdroj maskován. Zdroj je maskován za primární WAN IP na routeru bez možnosti volby.

[rpetrik]

Takze opet musim reagovat.

Něřekl bych, že src-nat není schopen nahradit Maškarádu. Naopak má oproti maškarádě víc možností jak regulovat tok na routeru. Pokud se tu budeme bavit o přípojné konektivitě pomocí ADSL tak tam může samo být WAN adresa přiřazována dynamicky a src-nat se nedá aplikovat, vzhledem k měnící se ip na WAN, ale v případě statických adres, které jsou asi nejrozšířenější je tomu uplně jinak.

Tady popirate sam sve vlastni tvrzeni - tvrdite, ze src-nat je schopen nahradit maskaradu, ale ze neumi neco, co maskarada umi, takze proto, jak uz jsem rekl, neni schopen nahradit maskaradu. Stejne tak jsem ja nerekl, ze by maskarada byla silnejsim nastrojem nez src-nat, podle me se kazdy z nich hodi na neco jineho (jak uz jsem psal). Src-nat proste v pripade dynamicky pridelovanych adres nemuzete pouzit (ledaze byste si nascriptoval reakci na zmenu IP, coz mi pripada zbytecne). Je jedno, jestli jsou rozsirenejsi dynamicke nebo staticke IP, ale pokud budete veci podavat timto zpusobem, budou se na forech zbytecne objevovat otazky typu: "Proc mi ten src-nat nefunguje, kdyz tam na foru nekdo rikal, ze je to lepsi nez maskarada?".

K dalsimu odstavci neni co dodat, opakujete neco, co uz tady zaznelo a ja jsem podle meho nazoru nerekl, ze to neni pravda.

Shrnutím je:

SRC-NAT je alternativa maškarády (dělá uplně to samé) avšak u SRC-NAT si můžeme určit za jakou IP (která je dostupná WAN) bude zdroj maskován a to skýtá určité výhody

MASQUERADE je alternativa SRC-NAT. Nemůžeme však určit IP za kterou bude zdroj maskován. Zdroj je maskován za primární WAN IP na routeru bez možnosti volby.

Tady bych jen znova zopakoval, ze vyhodou maskarady je prave to, co tady pisete jako jeji nevyhodu, tzn. - ze neni potreba zadavat IP adresa za kterou bude zdroj maskovan a tudiz se da pouzit i v pripade dynamickych IP adres.

Nesnazte se porad maskaradu shazovat - je dobra na uplne neco jineho nez na co je dobry src-nat, nepopiram uzitecnost ani u jednoho. Sam pouzivam vice src-nat, ale to neznamena, ze je maskarada k nicemu, jen je mene prilezitosti pro jeji pouziti.

[Jan Holub]

Tady bych jen znova zopakoval, ze vyhodou maskarady je prave to, co tady pisete jako jeji nevyhodu

Žádného psaní o nevýhodě jsem si nevšiml.

[travel21]

Ahoj všem. Velmi bych chtěl poděkovat, že to tady pan rpetrik tak pěkně a hlavně srozumitelně vysvětlil. Asi se to tady už někdy řešilo ale když už tady o tom takto debatuje rád bych pochopil jednu věc.
Pokud uvažuji použití src-nat na konkrétní local source address a od ISP mám naroutované pro příklad tyto rozsahy na WAN x.x.x.x/30 a y.y.y.y/29 tak v tomto případě už to tak jednoduché není, jelikož jestli tomu dobře rozumím tak mi v této konfiguraci vycházejí dvě default GW a tudíž ještě musím pro dané local subnety nebo jednotlivé IP určit kterou GW mají po NATu použít. Ano v případě že budu používat pro překlad pouze default GW skupiny public IP v rozsahu /29 pak mi src-nat řeší co potřebuji ale jak to řešit když potřebuji jiný local subnet natovat přes tu veřejnou s maskou /30? a jiné adresy zase přes skupinu adres s maskou /29. Kdysi jsem četl nějaký příspěvek že se musejí vytvořit další routovací tabulky ale už si to nepamatuji. Mohl by mi to někdo vysvětlit?

Předem děkuji

[rsaf]

Nejspíše máš od providera /30 "spojovačku" např. 128.66.16.32/30 tzn. že nejspíše na jeho routeru je .33 a na tvém routeru bude .34 a ty na svém routeru budeš mít .33 nastaveno jako default gateway. Potom máš nejspíše třeba rozsah 128.66.98.0/29 který je "zaroutovaný" za tu spojovačku.
Pokud nechceš za routerem na žádná zařízení nastavovat veřejné adresy napřímo (vše chceš NATovat), potom můžeš v definicích src-nat využít libovonou adresu z rozsahu 128.66.98.0 - .7 (ano, dokonce i tu nulu a 7čku) anebo tu svou adresu z WAN interface (128.66.16.34). Je to jedno a chovat se to bude +/- stejně.
Osobně ovšem nedoporučuji používat adresu končící 0 příp. 255. Sice to není nic proti ničemu, ale konkrétně např. Microsoftí firewall (TMG) si s tím prostě nerozumí (a pokud vím, nějak snadno to nelze upravit).
Nějakou dobu jsem za .255 NAToval zákazníky ale musel jsem to změnit potom, co jsem řešil několik nedostupných webů "žákovských knížek" na školách, kde se z nějakých nepochopitelných důvodů občas windowsový server jako firewall používá...

[travel21]

Ahoj, je to takhle. Od providera jsem měl původně jednu public IP např. a.b.c.d/30 schválně jsem chtěl /30 protože jsem tam měl emailový server a nechtěl jsem řešit že mi některý z jeho klientů zaspamuje celý subnet (viz problém z O2, kde jsem přesně toto řešil) Jenže později jsem potřeboval adres více ale tu první jsem potřeboval zachovat. On už mi nemohl přidělit jinou masku na tu první publik IP tak mi dal uplně jiný další rozsah s maskou e.f.g.h/29. V současnosti to mám nastavené takto a vůbec tomu nerozumím . A to jsem si myslel že si s mými vědomostmi už vystačím

Kód: Vybrat vše

chain=srcnat action=src-nat to-addresses=a.b.c.d/30 src-address=10.3.0.0/24 out-interface=wan
chain=srcnat action=src-nat to-addresses=a.b.c.d/30 src-address=10.98.0.128/27 out-interface=wan
chain=srcnat action=src-nat to-addresses=e.f.g.h/29 src-address=10.33.0.0/28 out-interface=wan


Od providera mám dvě dafault GW jednu pro sít /29 a druhou pro síť /30. V MK mám nastavenu pouze jednu default GW pro síť a.b.c.d/30
A teď čemu nerouzím. Cvičně jsem si na jednom stroji za natem nastavil local adresu 10.33.0.2/28 která by podle src-nat měla být maskována za IP adresu e.f.g.h/29. Na tom samém stroji jsem si spustil traceroute a k mému údivu to šlo ven přes default GW té sítě /29. Ale jak to? Když jí nemám v MK nikde definovanou. Dle mého úsudku by to mělo na MK skončit, protože nezná gateway pro síť /29 ale pouze pro síť /30. Na jednu stranu jsem spokojený že to funguje a na druhou stranu zase nervozní protože nevím proč?

Předem děkuji za osvětu...