Frame Relay 128 IP's

[Thiagocpv]

Bom dia Pessoal,

Vamos ver se podem me ajudar.....

Cenário: Frame Relay Embratel com 2 blocos de 64 IP's válidos.

Problema/Dúvida: Como eu faria para distribuir esses IP's para alguns servidores ?

Exemplo:
200.200.10.1 - Server WEB
200.200.10.2 - Server Email
200.200.10.3 - Server DNS

E por ai vai.....

Já ouvi dizer que pode ser feito da seguinte maneira:
roteador--------switch--------servidores

e ai colocaria manualmente os IP's nos servidores.


Mas já ouvi dizer que pode ser assim:
roteador--------Servidor/Firewall---------Switch-------Servidores

Dessa forma, no meu modo de ver, me parece mais seguro, porém como eu entregaria os IP's válidos para os outro servidores ??

Oque voces acham??

Abracos

Thiago

[alexandrecorrea]

bom.. seu router eh cisco ?

se for.. tem como fazer dos 2 jeitos.. o primeiro eh simples.. sem maiores problemas.. o segundo ja precisa fazer algumas alterações na conf do roteador...

se voce preferir a segunda.. responde ai que te mostro o caminho das pedras :P

[Thiagocpv]

Caro Alexandre,

Meu router é um Cisco 1700....!!!

Se for possível, eu gostaria de saber sobre a segunda opção, ou seja:

Roteador--------Servidor/Firewall-------Switch--------Servidores

Grato,

Thiago

[alexandrecorrea]

supondo que voce tenha 2 blocos de 64 ips assim:

200.200.200.0/26
200.200.200.64/26


supondo q seu roteador seja o ip 200.200.200.1
e o seu firewall/servidor seja 200.200.200.2

o primeiro bloco vai ficar intacto..

digite este comando no roteador:

Router01> 
Router01> en
Password: 
Router01#
Router01#conf t
Router01#ip route 200.200.200.64 255.255.255.192 200.200.200.2
Router01#copy run start

feito isto, configure o seu firewall/servidor assim:

ligue o roteador em um switch.. e do switch ligue na eth0 do firewall e coloque o ip 200.200.200.2 com mascara 255.255.255.192 e o gateway padrao 200.200.200.1

na interface que vai para dentro da rede (para os outros servidores) voce coloca o ip 200.200.200.65 mascara 255.255.255.192 (sem gateway)

nos outros servidores voce usa os ips:

200.200.200.66 ateh o 127

apontando o gateway padrao para 200.200.200.65

basta ligar o cabo de rede que sai da eth1 em outro switch e ligar TODOS os servidores nesse segundo switch

pronto

[Thiagocpv]

Caro Alexandre,

Entendi como vai ficar a estrutura...porém outra dúvida!!!

Agora seu eu ligar o router direto na eth0, nao seria melhor/mais seguro ??

Ficaria assim:

router------etho
eth1-------switch-------servidores

E ai eu poderia usar um CBQ/HTB para cada IP, poderia ter um apache reverso, Protecao vai iptables, etc ?

E nao preciso fazer nenhum NAT/DNAT/SNAT para esses servidores, apenas configurar ???

Abracos

Thiago

[alexandrecorrea]

ligar direto ou nao .. tanto faz..

o que vc vai limitar é apenas uma entrada.. se no futuro voce quiser ter 2 firewall´s .. vc precisa de um switch .. mas.. sem problemas ligar direto

[alexandrecorrea]

outra coisa.. nao precisa de DNAT/SNAT nao..

deste jeito.. seu firewall vai atuar como roteador do segundo bloco.. e vai direcionar pra onde ele sabe

[alexandrecorrea]

se quiser uma proteção extra

entre o router e o firewall coloque um servidor em bridge.. rodando o HLBR

hlbr.sourceforge.net

fica bem seguro


estou modificando algumas coisas para fazer o hlbr funcionar redondinho no openbsd ...

[Thiagocpv]

Caro Alexandre,

Sobre ter 2 firewalls seria interessante, mas no momento, seria apenas 1, entao eu ligaria direto, blz !!!

E a protecao desses servidores, como seria feito ??

Por exemplo, vamos supor que em um dos servidores eu tenha um serviço de VPN rodando, como eu faria pra liberar apenas o serviço de VPN, e bloquear o resto como ping, porta 80, etc....???

E a ultima pergunta, porque meu 1º bloco de IP´s nao seria usado??

É por que ele seria os IPs de gateways do 2º bloco ??

Desculpe tanta pergunta....rsrs

Obrigado

Abraços

[alexandrecorrea]

o primeiro bloco eh da parte "frontal" (contato direto com roteador)

o segundo.. eh a parte interna sua (servidores atraz do firewall) ...

vc configura/libera/bloqueia os servicos direto no firewall..

usando iptables mesmo ..