LINUX.ORG.RU
ФорумAdmin

Как сделать чтобы две подсети видели друг друга?


0

2

Предыстория

В городе N в одном из многочисленных офисов была сеть (см. рисунок). ADSL-модем от местного провайдера раздает «интернет» в режиме роутера. Он в качестве DHCP-сервера создал локальную офисную сеть. На схеме условно представлены компьютеры сети с выданными IP-адресами. Модем имеет довольно ограниченные возможности в области настройки ограничений и запретов. Но в один прекрасный день руководство решает, что сотрудники сидящие во вконтактиках и одноглазниках нарушают режим и расписание. Ставится задача: рядовому персоналу запретить доступ в различные социальные сети, в то время как пользователям из числа руководящего состава посещение социальных сетей должно быть разрешено.

Было придумано решение. Высказывания, характеристики и ругательства по поводу которого конечно приветствуются, но желательно с прилагающейся консультацией :) Причина принятия именно такого решения складывается из желания руководства - сделать бесплатно, и из уровня компетентности нас «админов локалхоста».

Собственно решение (см. рисунок), поставить в сеть дополнительный роутер. И через него осуществить запреты. Иными словами те, кто подключен в интернет напрямую через модем имеет неограниченный доступ к сайтам. А те кто будет подключен к роутеру, будут иметь запреты настраиваемые в самом роутере. В сеть 192.168.0.0 входит новое устройство, роутер. Он получает от модема адрес 192.168.0.4 и становится одним из участников сети. А к нему подключаются еще несколько компьютеров, которым он, как DHCP-сервер выдает адреса 192.168.1.2 (3 и так далее).когда такое подключение было реализовано, но никакие маршруты нигде не прописывались, а как модем так и роутер имеет настройки статических маршрутов. Оказалось что:

1) все компьютеры с адресами 192.168.0.* имеют доступ в интернет; 2) все компьютеры с адресами 192.168.1.* также имеют доступ в интернет; 3) компьютеры с адресами 192.168.1.* видят своих собратьев из диапазона 192.168.0.*; 4) компьютеры с адресами 192.168.0.* видят только сами себя, в смысле своих непосредственных соседей, но с компьютера с адресом 192.168.0.2 нельзя увидеть компьютер с адресом 192.168.1.2.

Последнее обстоятельство и требует помощи в решении. Я предполагаю, что в модеме надо прописать дополнительные маршрут(ы). Но правильно ли я предполагаю? И какие именно?

Дополнение: когда я говорю, что с одного компьютера не виден другой, то имею ввиду невозможность его пинга. И предполагаю, что раз в сети его нет «физически», то и настройки всяких шар в компьютерах преждевременны.

Дополнение 2: включив в эту сеть два компьютера с Ubuntu на борту. Первый получил адрес от модема 192.168.0.5, а второй от роутера 192.168.1.5. И со второго компьютера я могу зайти на первый по SSH, а вот зайти также с первого на второй соответственно не получается. Это к вопросу причем тут Linux.

Вроде в Admin можно было поместить, но ни в модеме, ни в роутере нет Linux. Поэтому тут...

Перемещено Shaman007 из talks

★★★

Зайдите в настройки модема и добавьте там маршрут в подсеть 192.168.1.0/24 через 192.168.0.4.

ни в модеме, ни в роутере нет Linux

Скорее всего, именно он там и есть.

AITap ★★★★★
()

Надо сказать модему что сеть 192.168.1.* находится за 192.168.0.4
Т.е. добавить маршрут
ip route add 192.168.1.0/24 via 192.168.0.4

zolden ★★★★★
()
Ответ на: комментарий от AITap

Скорее всего, именно он там и есть.

Возможно, я только думал, что на такие дешевые коробочки его не ставят :)

valich ★★★
() автор топика

Выкинуть роутер и поставить шлюз на списанном писюке. На писюке поставить squid и не мучиться потом, когда начальство скажет добавить фичу, которой в роутере нет.

kompas
()
Ответ на: комментарий от zolden

Т.е. добавить маршрут

В настройке модема есть раздел настройки статических маршрутов. Добавили новый маршрут. Там поля:

IP-адрес места назначения - 192.168.1.0
IP-маска подсети - 255.255.255.0
IP-адрес шлюза - 192.168.0.4

При такой настройке проблема остается прежней. Но тут попробовали с настроенным маршрутом в модеме из компьютера с адресом 192.168.0.2 выполнить:

traceroute 192.168.1.2
и она начинает лезть по адресам провайдера. Получается игнорируя наш маршрут.

valich ★★★
() автор топика
Ответ на: комментарий от zolden

полную таблицу маршрутизации с модема давайте посмотрим

Я даже не представляю как это сделать. Но та табличка со статическими маршрутами пуста, т. е. этот маршрут, который мы добавляем - в ней единственный.

valich ★★★
() автор топика
Ответ на: комментарий от kompas

Выкинуть роутер и поставить шлюз на списанном писюке.

Боюсь такой вариант в ближайшей перспективе даже не рассматривается.

valich ★★★
() автор топика
Ответ на: комментарий от valich

если связка «ты-модем» не хочет функционировать как надо, тогда добавь статические маршруты на компьютеры сети 192.168.0.0/24.

spunky ★★
()
Ответ на: комментарий от valich

Выкинуть роутер и поставить шлюз на списанном писюке.

Боюсь такой вариант в ближайшей перспективе даже не рассматривается.

Я тебе больше скажу, это единственный вменяемый вариант. То, что вы сделали, - это потный утренний кошмар.

nbw ★★★
()

До конца не дочитал, но IMHO это чушь какая-то. неужели нельзя найти старенький системник где-нибудь за полтораху пива? squid+iptables и будет счастье.

ZoltonMD
()
Ответ на: комментарий от kompas

Выкинуть роутер и поставить шлюз на списанном писюке. На писюке поставить squid и не мучиться потом, когда начальство скажет добавить фичу, которой в роутере нет.

абсолютно поддерживаю оратора

gserg ★★
()

вопрос по теме:
При идентичной схеме подключения как настроить второй роутер так, чтобы у меня не было других подсетей, а осталась одна, но чтобы я мог также блокировать нежелательный трафик после второго роутера?

minakov ★★★★★
()
Ответ на: комментарий от sin_a

да хоть миллион - в большинстве бюджетных организаций даже списанную технику трогать нельзя

minakov ★★★★★
()
Ответ на: комментарий от mumpster

тебе же скащали

:)

Конечно у себя в сети, или там где я работаю так и сделаю. Здесь же, где у чела занимающегося задачей нет познаний для настройки сквида. Плюс имеется роутер класса «для дома для семьи»... И сервер они будут ставить, но позже и виндовый, потому как присмотрели крутую клиент-серверную CRM привязанную яйцами к винде...

В данном случае было бы еще проще поставить один двухдиапазонный роутер бизнес-класса. Но к сожалению наша вселенная не идеальна.

Через денёк попробуем еще маршруты прописать на компиках. А уж что они в итоге сделают, их проблемы.

valich ★★★
() автор топика
Ответ на: комментарий от valich

И сервер они будут ставить, но позже и виндовый, потому как присмотрели крутую клиент-серверную CRM привязанную яйцами к винде...

Ну вот пусть у них голова и болит.

sin_a ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.