проблем с NAT

[bozio]

Здравейте

От няколко дена се боря с с ros-2-9-27 с 3 мрежови карти и НАТ

1 WAn - входящ

2 Lan -  пуснат хотспот

3 Lan - закачен един рутер

Lan 2 , Lan 3  са в общ суич

[admin@XboX] > /ip firewall nat print

Flags: X - disabled, I - invalid, D - dynamic

0  ;;; masquerade hotspot network

    chain=srcnat out-interface=Wan src-address=192.168.88.0/24

    action=masquerade

1  chain=srcnat out-interface=Wan src-address-list=InternetRuTeRS

    action=masquerade

в адрес листа съм описал 192.168.99.2 и 192.168.99.3 - така четос че се пуска нет само на тези 2 ИП-та

проблемът е че интернет на Lan3 с закачения рутер тръгва и спира когато си поиска пробвах вместо рутер да закача едно XP  но там изобщо не тръгна нет а на Lan2-хотспота нета си върви.

[111111]

src-address=192.168.88.0/24

го махни

[bozio]

src-address=192.168.88.0/24 е мрежата на хотспота която е пусната на на Лан 2

ако я махна каде да се укаже за нат ИП-тата на хотспота?

[danielskiii]

единственото правило което ти трябва за нат-а е

add chain=srcnat action=masquerade out-interface=xxxxxx

като xxxxxx  е интерфаце-а от който идва нета

[bozio]

единственото правило което ти трябва за нат-а е

add chain=srcnat action=masquerade out-interface=xxxxxx

като xxxxxx  е интерфаце-а от който идва нета

ако правилно съм те разбрал в НАТ трябва да е само това add chain=srcnat action=masquerade out-interface=xxxxxx  ,а ИП-тата и мрежата които трябва да имат нет се описват в Address List

[danielskiii]

не се описват няма нужда

[danielskiii]

правиш правилото после

на Local- интерфаце-а

му добавяш някакво ип в ип/адресес примерно 192.168.2.254/24

може да погледнеш този гайд !

http://www.linux-bg.org/cgi-bin/y/index.pl?page=article&key=414931934&list=all&id=advices

[bozio]

а какво става ако ПЦ с ИП-192.168.99.3  от мрежа 192.168.99.0/24 която е вдигната на Лан3  и си сложи съответната маска и гейт

според мен ще има нет а не би трябвало при положение че искам само мрежа 192.168.88.0/24 да има защото се ауторизира по усер и пасс  прес хотспот на Лан2  а на Лан3 искам да пусна нет само на 192.168.99.2 и 192.168.99.3 от мрежа 192.168.99.0/24 защото в тази мрежа ще имам само 2 рутерчета с описани по мак Ван портове. 

под debian i slack e лесно дигаш правило за всяко отдело ип ако не искаш да цепиш мрежи  но под MT ми е сложничко

 

[danielskiii]

на лан3 му правиш лан порта на arp-reply only И ще имат нет само хората който са с описан мак адрес на този лан във ип/арп

[bozio]

мммм.....  не ме задоволява това трябва да има начин да се пуска нет в firewall  само на определени ип адреси

гледах това но там го прави само през 1 интерфейс с една мрежа 

[111111]

елементарно е изискването ти сложи второ правило

правилото src-address=192.168.88.0/24

се чете така

"ако идва заявка от мрежа 192.168.88.0/24 то тя да бъде обслужена по действие"

в твоя случай маскарадиране

[bozio]

ето какво се получи

в НАТ сложих само това add chain=srcnat action=masquerade out-interface=Wan

хотспота 192.168.88.0/24  си работеше нямаше грижа -Lan2

на Lan3 сложих мрежа 192.168.99.0/24 която също е закачена на същия суич кадето е и Лан2

на 3 и 4 порт на суича закачих 2 пц-та едното с Win7 другото с WinXP  съответно с ип 99.2/24 и 99.3/24 като за GW им дадох 99.1 и днс 99.1

на win7 нет нетръгна  на XP-то тръгна ,спря, пак тръгна

мисля че явно МТ с пуснат хотспот и друга мрежа на друг интерфейс в един и същи суич нещо неработи коректно НАТ-а

[danielskiii]

работи при мен е така от години

няма проблем със хотспот и друга мрежа

в един суйч

само че при мен мрежите са

за хотспот-а  10.50.5.1/24

за лан-а 192.168.2.254/24

[111111]

или има нещо във фаеруала за което не е споменато

или има грешка в настройването

[ushoplias]

Lan 2 , Lan 3  са в общ суич

Не си спомням в микротика дали arp_ignore и arp_announce бяха пуснати по подразбиране,

ама все пак, два интерфейса към един и съши суич - се създават предпоставки за объркване и замотаване с настройките,

и според мен точно от това прекъсва.

[111111]

да не искаш да кажеш че си пуснал 2 физически порта на едно устройство към един суич ?

защото тогава с гаранция не правиш нищо свързано с ЦНС

проучи какво е captive portal и след това ще ти се изяснят работите