вопрос по NAT Reflection в 2.2.6

werter

Настройте split dns .

Kuraleb

@Kuraleb:

@PbIXTOP:

А как тогда же работают внешние пользователи если их перекидывает на серые IP?

А их никуда не перекидывает.

Так может стоит настроить сервисы, чтоб и внутренних не перекидывало, а работало для всех одинаково?

У нас попросту нет серых IP)

werter

Т.е. у вас в сети у всех белые ip ?

bill_open

Такая же проблема.
Необходимо предоставить доступ к TCP порту из сети LAN1 в сеть lan2 через белый ip адрес WAN(необходимость такая же как и предыдущего оратора, поэтому прямой доступ между сетям исключен, так же исключен метод через fqdn).
Pure NAT и NAT proxy боюсь использовать так как уже очень много проброшено портов(не знаю к каким последствиям приведет).
Если есть какой нибудь дельный совет, подскажите, а то придется всю топологию сети переделывать, да бы исключить похожие ситуации в будущем.
p.s. pf2.1.2

PbIXTOP

@bill_open:

Такая же проблема.
Необходимо предоставить доступ к TCP порту из сети LAN1 в сеть lan2 через белый ip адрес WAN(необходимость такая же как и предыдущего оратора, поэтому прямой доступ между сетям исключен, так же исключен метод через fqdn).
Pure NAT и NAT proxy боюсь использовать так как уже очень много проброшено портов(не знаю к каким последствиям приведет).
Если есть какой нибудь дельный совет, подскажите, а то придется всю топологию сети переделывать, да бы исключить похожие ситуации в будущем.
p.s. pf2.1.2

Намного проще разрешить трафик на этот порт из LAN1 чем заморачиваться с NAT Proxy
Если сервисы в LAN2 не принимают трафик из подсетей LAN1, тогда можно еще добавить правило NAT'а на интерфейсе LAN2 для подсетей c LAN1

bill_open

@PbIXTOP:

@bill_open:

Такая же проблема.
Необходимо предоставить доступ к TCP порту из сети LAN1 в сеть lan2 через белый ip адрес WAN(необходимость такая же как и предыдущего оратора, поэтому прямой доступ между сетям исключен, так же исключен метод через fqdn).
Pure NAT и NAT proxy боюсь использовать так как уже очень много проброшено портов(не знаю к каким последствиям приведет).
Если есть какой нибудь дельный совет, подскажите, а то придется всю топологию сети переделывать, да бы исключить похожие ситуации в будущем.
p.s. pf2.1.2

Намного проще разрешить трафик на этот порт из LAN1 чем заморачиваться с NAT Proxy
Если сервисы в LAN2 не принимают трафик из подсетей LAN1, тогда можно еще добавить правило NAT'а на интерфейсе LAN2 для подсетей c LAN1

Это уже сделано, но так же как и в предыдущем случае это не нравится руководству)) Единственный вариант который я вижу, ~~это ударить себя в голову~~ и ~~не заниматься ерундой и сменить профессию~~ строить универсальные топологии.

A Former User

Хочу спросить спецов:
Разница между днс форвардером и днс резольвером

pigbrother

DNS Resolver - это Unbound:
https://doc.pfsense.org/index.php/Unbound_DNS_Resolver
https://en.wikipedia.org/wiki/Unbound_(DNS_server)

DNS Forwarder - это dnsmasq
https://doc.pfsense.org/index.php/DNS_Forwarder
https://en.wikipedia.org/wiki/Dnsmasq
https://ru.wikipedia.org/wiki/Dnsmasq

Если грубо:
Dnsmasq не может работать без указания внешнего DNS, которому он направляет запросы для разрешения имен в Интернет.
Вики:
Dnsmasq — легковесный и быстроконфигурируемый DNS-, DHCP- и TFTP-сервер, предназначенный для обеспечения доменными именами и связанными с ними сервисами небольшие сети. Может обеспечивать именами локальные машины, которые не имеют глобальных DNS-записей. DHCP-сервер интегрирован с DNS-сервером и даёт машинам с IP-адресом доменное имя, сконфигурированное раннее в конфигурационном файле. Поддерживает привязку IP-адреса к компьютеру или автоматическую настройку IP-адресов из заданного диапазона и BOOTP для сетевой загрузки бездисковых машин.
Разработчики позиционируют программу для использования в домашних сетях, использующих NAT, однако Dnsmasq также применим в малых сетях организаций.

Unbound - "полноценный" DNS.

PbIXTOP

@bill_open:

@PbIXTOP:

@bill_open:

Такая же проблема.
Необходимо предоставить доступ к TCP порту из сети LAN1 в сеть lan2 через белый ip адрес WAN(необходимость такая же как и предыдущего оратора, поэтому прямой доступ между сетям исключен, так же исключен метод через fqdn).
Pure NAT и NAT proxy боюсь использовать так как уже очень много проброшено портов(не знаю к каким последствиям приведет).
Если есть какой нибудь дельный совет, подскажите, а то придется всю топологию сети переделывать, да бы исключить похожие ситуации в будущем.
p.s. pf2.1.2

Намного проще разрешить трафик на этот порт из LAN1 чем заморачиваться с NAT Proxy
Если сервисы в LAN2 не принимают трафик из подсетей LAN1, тогда можно еще добавить правило NAT'а на интерфейсе LAN2 для подсетей c LAN1

Это уже сделано, но так же как и в предыдущем случае это не нравится руководству)) Единственный вариант который я вижу, ~~это ударить себя в голову~~ и ~~не заниматься ерундой и сменить профессию~~ строить универсальные топологии.

Так объясните руководству, что разницы никакой все равно нету, если требуется какой либо ресурс из сети LAN2. Если вы открываете порт через NAT, то точно также вы можете его открыть и на файрволе

bill_open

@PbIXTOP:

@bill_open:

@PbIXTOP:

@bill_open:

Такая же проблема.
Необходимо предоставить доступ к TCP порту из сети LAN1 в сеть lan2 через белый ip адрес WAN(необходимость такая же как и предыдущего оратора, поэтому прямой доступ между сетям исключен, так же исключен метод через fqdn).
Pure NAT и NAT proxy боюсь использовать так как уже очень много проброшено портов(не знаю к каким последствиям приведет).
Если есть какой нибудь дельный совет, подскажите, а то придется всю топологию сети переделывать, да бы исключить похожие ситуации в будущем.
p.s. pf2.1.2

Намного проще разрешить трафик на этот порт из LAN1 чем заморачиваться с NAT Proxy
Если сервисы в LAN2 не принимают трафик из подсетей LAN1, тогда можно еще добавить правило NAT'а на интерфейсе LAN2 для подсетей c LAN1

Это уже сделано, но так же как и в предыдущем случае это не нравится руководству)) Единственный вариант который я вижу, ~~это ударить себя в голову~~ и ~~не заниматься ерундой и сменить профессию~~ строить универсальные топологии.

Так объясните руководству, что разницы никакой все равно нету, если требуется какой либо ресурс из сети LAN2. Если вы открываете порт через NAT, то точно также вы можете его открыть и на файрволе

Хоть уже и объяснил в кратце. Но разница есть. объясняю: есть моб приложение, ~~оно работает, только шум стоит~~, но есть одна необходимость подтягивать данные в него с сервака который в лан2 стоит. Собственно вот и появилась выше упомянутая необходимость. Пока что, самый правильный вариант, это изменить топологию сети.