Назад | Перейти на главную страницу

Маршрутизация между несколькими межсетевыми экранами Mikrotik

У меня 2 Miktorik RouterBoards, RB1100 и RB951G. 951G действует как мой беспроводной бокс и имеет гостевые, внутренние и беспроводные сети только через Интернет. RB1100 имеет 3 подключения к глобальной сети (2 кабельных модема 150/10 Мбит и модем VDSL 70/20 Мбит) и выполняет балансировку нагрузки, межсетевой экран и т. Д. Для всей сети.

RB1100 находится в сети 192.168.0.0/24 и 951 имеет 3 диапазона адресов:

Идея состоит в том, что гость имеет большой брандмауэр (ограниченная пропускная способность, ограниченные сайты и т. Д.), И я работаю с ним с помощью точки доступа.

У меня была часть работы только с Интернетом, но я случайно очистил конфигурацию моего маршрутизатора (дох), но мне так и не удалось правильно настроить внутреннюю сеть ...

В настоящее время у меня включен NAT, и это позволяет мне видеть все машины в сети 192.168.0.0/24 из сети 88.0 / 24, но 0.0 / 24 не может видеть сеть 88.0 / 24 ...

Я знаю, что мне нужно что-то сделать с маршрутами, но даже когда у меня это было, что-то не позволяло мне видеть машины (ноутбук по Wi-Fi не мог видеть рабочий стол по проводной сети).

Итак, где я ошибаюсь?

Опять же, извините, я не могу опубликовать точную конфигурацию ... потерял ее в правиле брандмауэра, облажался ...

Для своей группы, работающей только в Интернете, вы должны создать правило брандмауэра, в котором говорится, что весь трафик из этой «гостевой» сети, предназначенный для ваших внутренних сетей, должен быть отброшен. Обязательно создайте правило, чтобы отбрасывать весь входящий трафик из этой подсети, так как вы не хотите, чтобы люди обманывали ваш маршрутизатор (или, по крайней мере, пытались ...)

Что касается вашей беспроводной сети, вы можете сделать это двумя способами.

  1. Вы можете настроить маршрут, который соединяет две сети (беспроводных и доверенных проводных клиентов) - аналогично VPN-маршруту между сайтами. Недостатком этого является то, что вы потеряете свой исходный адрес, и весь трафик будет приходить из «маршрутной» сети.
  2. Вы можете настроить беспроводной маршрутизатор для получения адресов DHCP от RB1100 в качестве ретранслятора DHCP. Это позволит вам сохранить исходные адреса и предоставить доступ к вашей беспроводной сети. Затем вы можете управлять трафиком по своему усмотрению.

Если я правильно понимаю вашу проблему, вам не понадобится NAT для выполнения того, что вы надеетесь сделать, поскольку MikroTik позаботится о маршрутах за вас.

Хорошо, спасибо DKNUKLES за его ответ, но проблема была больше в проблеме конфигурации с моей стороны ... В итоге я добавил 2 элемента маршрутизации к маршрутизаторам, один на 1100 и один на 951. 951 сказал, что маршрутизирует все трафик (0.0.0.0/0) на RB1100. У RB1100 был маршрут для направления всего трафика 192.168.88.0/24 на IP-адрес 951. но все равно без радости ...

проблема заключалась в моем предварительном маршрутизации. поскольку у меня есть несколько подключений к глобальной сети и поскольку моя предварительная маршрутизация выполнялась с циклическим перебором, весь трафик в моей сети направлялся на один из портов WAN, если это не было для сети 192.168.0.0/24. Итак, в конце моего блока предварительной маршрутизации я добавил правило, что любой трафик, идущий на 192.168.88.0/24 с меткой подключения, очищается от метки подключения. это обошло правила балансировки нагрузки и позволило трафику идти в правильную область ... Я понял, что это может быть что-то вроде этого при запуске traceroute. с одной из машин, не подключенных к Wi-Fi, на машину, подключенную к WiFi, меня перенаправляли на один из моих модемов ... В любом случае, все исправлено ... Теперь я могу получить доступ к машинам из сети 192.168.88.0, и они могут видеть машины в сети 192.168.0.0. счастливые дни!