Versão Imprimível
Boa tarde Pessoal!
estou com o seguinte problema, tenho um /25 e não estou conseguindo repassar para frente, quer dizer até que consigo
mas quando o cliente vai navegar sai pelo IP wam.
distribuo pelo pppoe, alguém tem uma solução para que possa resolver issso.
Obrigado
Caso tenha clientes com ip validos e tbm invalidos voce precisar setar nela que nao quer que seu /25 passe pela nat.Citação:
Postado originalmente por telworld
Regra de exemplo:
/ip firewall nat
add action=masquerade chain=srcnat comment="Mascara IP valido" disabled=yes \
out-interface=ether1 src-address=!192.168.1.1/25
Apenas troque o 192.168.1.1/25 pelo seu bloco!
Boa tarde Jonas.Citação:
Postado originalmente por JonasMT
ja ta feito isso, pra não passar pelo nat, mas mesmo assim quando o cliente vai la e digita meuip.com.br, aparece ´so o ip da Wam.
eu tava empurrando com a barriga faz tempo, mas agora não tem jeito o povo ta me cobrando e eu tenho que resolver.
Voce nao tem mais nenhuma regra de nat que talvez possa esta mascarando os seus ip?Citação:
Postado originalmente por telworld
Pois uso ela aqui para repassar um /22 e funciona perfeitamente
Jonas revisei, não tem nenhuma regra no firewall.Citação:
Postado originalmente por JonasMT
Po entao meu conhecimento more aqui kkkkkkCitação:
Postado originalmente por telworld
Aguardar algum mestre dar um força ai!
Morre não, toda dica é bem vinda.Citação:
Postado originalmente por JonasMT
Bom dia amigo,
Vc usa balance?
Citação:
Postado originalmente por telworld
Citação:
Postado originalmente por Ibrahim
Não uso amigo, vou postar as configurações que tenho aqui.
Bom dia,
Tens que criar algumas regras...
IP público reservado para o cliente 200.3.58.5, respeitando o bloco que vc recebe da sua operadora.
IP do cliente, 10.1.1.50, respeitando sua rede interna, nateada.
A vantagem deste método é que vc não precisa quebrar seu bloco /25 e perder ips.
1. Cadastra em address o IP público que vai para o cliente... 200.3.58.5/25
2. Cadastra em NAT, chain dstnat, Dst-address o IP público cadastrado em address (200.3.58.5), protocol TCP, dst port 0-65535;
3. Action, dst-nat, IP local da sua rede cadastrado para o cliente (10.1.1.50, por exemplo, vai depender do bloco que vc trabalha com sua rede), todas as portas;
4. Copia a regra 3 para o protocolo UDP;
5. Copia a regra para o protocolo GRE sem as portas pois, ele não trabalha portas;
6. Cria uma regra de chain SRCNAT, Src Adrress o IP local do cliente (10.1.1.50), Action SRC-NAT para o IP público reservado para este cliente (200.3.58.5).
Espero ter ajudado.
Fiquei curioso... Você tem apenas o bloco /25 ou você tem o um /30 para Wan (uplink)? Teu negócio é Nat com certeza, não tem erro, só deve ter ter alguma regra no lugar errado e ou feita do modo errado... Posta tuas configurações aí.
Enviado via SM-T705M usando UnderLinux App
acompanhando
Sent from my iPhone using UnderLinux
Ip publico ou valido para cliente final eh muito simples, nao tem q criar regra nenhuma nao, muito menos dstnat, nem de nat vc vai precisar!!
Vc tem q quebrar esse bloco /25 pois um bloco vai ficar para sua rede de servidores e roteadores, ja o outro bloco vai ficar para os clientes.
No roteador principal, vc cria uma rota, apontando o gateway no seu roteador q o cliente conecta, para o bloco q vc quer entregar ao cliente. Pronto!! Soh isso!
Se quiser me procura por mensagem particular que te explico!!
Pessoal algumas pessoas entraram em contato por MP, entao como muitos tem duvidas vo por aqui aos poucos pra nao ficar extenso!!
Seguinte cenario:
Bloco de IPs que a operadora te forneceu: 200.100.1.0/25 ou seja, serao 126 Ips
lembre-se quem em um bloco sempre perde 2 ips, o primeiro e o ultimo, um para network outro para broadcast!!
exemplo:
Rede: 200.100.1.0/25
network: 200.100.1.0
broadcast: 200.100.1.127
Ips disponiveis: 200.100.1.1 a 200.100.1.126
bom blz, entao provavelmente no seu provedor vc vai ter servidores, roteadores NAS e vc vai precisar de ips para vc, entao vc tem que quebrar esse bloco, sendo 1 bloco vai ser do provedor, outro bloco vai ser para clientes!
Vamos quebrar entao em 2 blocos de 62 IPS, vc nao pode sair quebrando que nem loco, vc tem que respeitar o scobo, entao tem que usar uma calculadora de ip, mais vou dar um exemplo aqui:
1 Bloco:
Rede: 200.100.1.0/26
network: 200.100.1.0
broadcast: 200.100.1.63
Ips disponiveis: 200.100.1.1 - 200.100.1.63
2 Bloco:
Rede: 200.100.1.64/26
network: 200.100.1.64
broadcast: 200.100.1.127
Ips disponiveis: 200.100.1.65 a 200.100.1.127
Dessa maneira seus servidores e roteadores ficaram com o bloco 1, os roteadores NAS que vc usa na torre, tbm tudo com ip do bloco 1.
Isso eh importante vc saber, como quebra o bloco, o bloco pode ser quebrado de varias maneiras e varios tamanho, desde que vc respeite o scobo!
Bom vou aos poucos aqui se nao vai ficar muito extenso e vai dar preguica de ler, entao ate ai vc entendeu? Tem alguma duvida ate aqui?
Agora me fala como eh a topografia da sua rede pra eu incluir ela aqui no exemplo de como entregar ip ao cliente final.
Vc falou que o seu cliente sai pelo Ip da WAN, como funciona essa WAN sua?
Sao concentradores pppoe? roteador NAS?
Aguardo. []´s
Amigo do modo como anda a escassez de ipv4 eu não recomendo ficar quebrando blocos de ip. Recomendo fortemente utilizar um bloco privado, mesmo que para servidores, e usar ospf com ips /32 na loopback, assim você não perde nenhum. Por isso da minha pergunta, se o amigo tinha um /30 na interface de uplink, assim o /25 dele seria somente para dentro, evitando o uso de proxy-arp. Sei que esse modo saque sugeri complica um pouco o cenário mas se não pensarmos já nesse problema acabamos gerando mais dificuldades que a gente precisar mais ipv4. Eu, em meus clientes, uso até o ip válido com final 0 e 255 pois são válidos e roteáveis! Desde que usado como /32 em pppoe, porém a prática éa mesma em interface loopback. Fica a dica!Citação:
Postado originalmente por Nks
Enviado via XT1580 usando UnderLinux App
Boa noite!
/ip address
add address=172.31.255.1/30 comment=\interface=\
bridge1 network=172.31.255.0
add address=200.39.19.8/30 comment="IP ENTRADA" interface= network=\
200.39.19.7
add address=200.39.19.129/30 comment="ROTEAMENTO /25" interface=bridge1 \
network=200.39.19.128
add address=172.16.11.1/24 comment="hotspot network" interface=bridge1 network=\
172.16.11.0
/ip pool
add name="PPPOE DHCP" ranges=172.16.1.2-172.16.5.254
add name="PPPOE REMOTO" ranges=172.16.6.2-172.16.10.250
add name=hs-pool-10 ranges=172.16.11.2-172.16.11.254
add name= ranges=200.39.19.133,200.39.19.254
/ip firewall nat
add action=masquerade chain=srcnat
add action=masquerade chain=srcnat comment="masquerade hotspot network" \
src-address=172.16.11.0/24
@andrecarlim sim concordo com vc sobre a escassez do ipv4, e concordo tbm em quebrar o menos possivel sim, mais aqui estou explicando o fundamento da quebra do bloco.
Sabe como eh, primeiro vc aprende a andar de carro, depois vc da cavalo de pau!!
Servidores com ip privado, pode ser sim, mais eh ruim para acesso externos, e liberacao de portas, vc sempre vai ta dependendo de um roteador, eu prefiro ter ip valido!
As vezes vc fecha com um cliente um link dedicado, vc tem que passar um bloco todo pra ele, meus clientes dedicado todos eles tem bloco de ips que eu forneci para ele!!
Ospf eu recomendaria no passado, mais agora com alta demanda de link, provedores com link de 500Mb a 1Gb, Ospf nao eh a melhor opcao, pois depende de um roteador, e roteador processa pacotes e isso aumenta o processamento da CPU, ai que vai acontecer, vc tera que trocar todos os seus roteadores que fazem parte do seu anel ospf.
Eu hoje estou trabalhando com redes metro, com switch metro gerenciavel, tem switch com porta sfp que vc poe modulo gbic de 10Gb e ele passa tudo isso numa boa, e custa metade do preco de uma ccr!
Se quiser fazer a topologia anel, tbm da com switch metro, vc usa a opcao spanning tree.
Antigamente o provedor tinha 100Mb de banda no maximo 200Mb, ai o cara fazia uma rede osfp com RB450 e ia numa boa!! Agora coloca 500Mb de banda ou 1Gb pra vc ver!!!
Nao to falando mal do ospf veja bem, mais acho q no cenario atual nao vale a pena investir em ospf, e sim em switch metro com vlan, no final das contas vc vai ter muito mais banda passando e investimento pela metade!
No final das contas todos nos sabemos que a topologia da rede vai do administrador que esta montando, entao nao existe bem um certo e errado!!!
Vc tem que fazer uma rede que atende a sua demanda e tenha a opcao de crescer no futuro!!
@Nks gostei muito da sua explanação, concordo com seu ponto de vista, talvez pela minha falta de experiência eu ainda não tinha percebido essa limitação do OSPF, hoje só me resta um cliente que ainda usa Mikrotik com concentrador PPPoE nas pontas, usando OSPF para levar os ips até a borda, para "receber" o OSPF eu uso bird - assim consigo ter mais tabelas de roteamento - para BGP utilizo o QUAGGA - por ser cisco like. No horário de pico, nesse cliente, temos aproximadamente 180mbps, tem funcionado muito bem até aqui (não significa que no futuro ainda funciona, haha!)
Tenho outros clientes com banda de mais de 800mbps que não usam Mikrotik para nada, apenas roteadores Linux com OSPF e BGP. E não tive problema ainda, talvez por usar hardware x86 o OSPF não tenha apresentado ainda essa limitação, vejo que a galera usa iBGP para esse trabalho, usando route-reflector (RR).
OBS: não sei se você entendeu bem a técnica de aplicação dos IPs válidos atrás de IP privado, mas você pode usar roteamento estático, até mesmo VRRP para ter redundância, elimina o OSPF.
Enviado via SM-T705M usando UnderLinux App
@andrecarlim eu entendi sim, essa tecnica que vc usa, realmente economiza muitos ips, eu recomendo totalmente, da pra fazer essa mesma tecninca usando redes switchs vlan!!!
eu conheco provedores que faz isso tbm, nao tem mikrotik pra nada, faz BGP em linux, e dai pra frente tudo metro ethernet com vlans
eu aqui uso uma ccr pra roda a bgp, apenas para bgp tenho 2 links e 1 ptt, totalizando 800Mb e ela ta tocando numa boa, da 24% de processamento, em compensasao a memoria fica na tampa, dos 2Gb usa 1.3Gb por causas das rotas full.
bom mais vamos voltar ao assunto pra ajudar o nosso colega, acredito que provedor que nao entrega ip valido nos dias de hj esta por fora, eu aqui mesmo tenho mais de 200 clientes com cameras, imagina eu ter q ficar abrindo porta pra todos aqui,,,, affff.... passa o ip valido pro cliente e ele mesmo vai abri as portas la na antena dele, ou deixa a antena em bridge ele faz o pppoe direto no roteador e abre as portas tudo no roteador dele!
@telworld vc soh tem 1 roteador para todos os clientes, ou vc tem 1 roteador por torre!?? me explica melhor pra eu poder te ajudar, se vc poder desenhar a topologia da sua rede atual no papel, tira uma foto e envia aqui, ou pode ser por MP que eu te ajudo se vc tiver afim!!
[]´s
sugestão:
Vlan na interface aonde você tem o bloco Ip. coloca ela na bridge de onde tem o bloco, vai na rb do cliente, seta o ip manualmente e aponta o gateway pro default gateway da operadora emcima da vlan tambem. ( não vou entrar no mérito de como se configura Vlan aqui) feito isso seu cliente vai passar transparente na sua rede, sem precisar de toneladas de regras, e/ou mágicas de nat pra entregar o ip.
Você seta o Ip público direto no sistema de gerência? Se sim não há ora quê se preocupar em quebrar bloco de IP uma regra como foi falado chain src-nat resolve seu problema no seu Nat masquerad provavelmente não está excluindo a sua faixa de IP público basta você ir na regra que provavelmente não está setada pelo ip e sim de forma geral, é só colocar seu /25 e pronto seus clientes com ip público não irão passa pelo Nat (Nat é para ips de classes provadas logo os ips públicos não devem e não precisam passar pelo Nat já que não necessitam de tradução ipprivado/público
Enviado via Moto G (4) usando UnderLinux App
Apenas uma Pergunta,Citação:
Postado originalmente por Nks
Se precisar quebrar os blocos em /30 ou /29
Apenas quebramos 187.84.215.193/30 no mk colocamos ele na bridge ou na vlan que vai chegar até o cliente e pronto, ele seta o ip no roteador/firewall dele lá e era isso ?
Aí perde mais ips ainda, se você tiver algum sistema de autenticação como mk auth pode setar direto no PPPoE do cliente ou no Secrets (se não tiver sistema de autenticação externo)nele e definir a rota pra esse ip de forma estática ou dinâmica
Enviado via Moto G (4) usando UnderLinux App
Quanto a perder ip's não há problema, precisava de uma coisa mais "limpa" do que ficar enchendo o mk de regras, aplicações e etc.Citação:
Postado originalmente por franciskv
Cara roteamento ou atribuição automático do IP desejado é mais limpo que sair quebrando bloco, agora esse ip perdido pode não fazer falta, mais depois quando a necessidade apertar aí vai ter q fazer um trabalho de correção.
Enviado via Moto G (4) usando UnderLinux App
Amigo, você ainda não explicou e pergunta que te fiz outro dia. Te perguntei se você recebe apenas o /25 ou antes você recebe um /30 para o uplink?
Enviado via XT1580 usando UnderLinux App
bom ai depende da sua rede, se ela tiver apenas 1 unico roteador sim, eh soh fazer isso que vc falou!
agora se a sua rede for descentralizada, com varios roteadores, como por exemplo concentradores de PPPoE em cada torre, ai vc tem que apontar a rota para ele, ou seja, abrir a rota no seu roteador principal na faixa de ips que vc vai distribuir na quele concentrador pppoe!
Citação:
Postado originalmente por daniellannes