Zugriff / Weiterleitung von Port zu Server im sekundären LAN-zu-WAN-Subnetz vom Hauptsubnetz in einem kaskadierten Netzwerk

822
lanette

Ich habe ein Netzwerkproblem, das der Route zu einem Server im Subnetz ähnelt . Ich habe die Lösung versucht, aber ohne Erfolg.

Hier ist meine Netzwerktopologie:

Internet |  |  ADSL  x.x.x.x (external) Linksys WAG120N (Router1)---------------------+ 255.255.255.0 | 192.168.1.1 (internal) | DHCP active | | | | | | | LAN-to-WAN | 192.168.1.2 (external, static) 192.168.1.100 (DHCP) D-link DSL-2730E (Router2) PC1 Windows 10 255.255.255.0  192.168.2.1 (internal) DHCP active | |  192.168.2.2 (static)  Ubuntu Server 16.04 with node server on Port 3344

Zusätzliche Information:

  • Router1 ist mit Router2 LAN-zu-WAN verbunden
  • Beide Router sind NAT-fähig, das dynamische Routing ist deaktiviert
  • Router2 SPI-Firewall-Schutz deaktiviert, anonyme WAN-Anforderung wurde blockiert
  • Router1-Portweiterleitung an 192.168.1.2 WAN-Port 3344, LAN-Port 3344 TCP
  • Router2-Portweiterleitung an 192.168.2.2 WAN-Port 3344, LAN-Port 3344 TCP
  • Ich kann Router2 192.168.2.1 von meinem PC1 aus anpingen
  • Ich kann den Server 192.168.2.2 nicht von meinem PC1 aus anpingen

Die Portweiterleitung funktioniert und der Server antwortet, wenn der Datenverkehr aus dem Internet kommt, dh wenn ich die externe IP-Adresse des Router1 und den weitergeleiteten Port xxxx: 3344 in einem Browser auf PC1 eingebe, erhalte ich eine Antwort im Browser. Seltsamerweise, wenn ich externe Router-IP-Adresse 192.168.1.2:3344 oder interne IP-Adresse 192.168.2.1:3344 des Routers (über statische Route) in den Browser auf PC1 eingebe, von dem ich erwarte, dass der Router2 den Verkehr an meinen Server weiterleitet (192.168.2.2) : 3344, keine davon funktioniert, in Google Chrome steht "Diese Website ist nicht erreichbar". Fehlt mir etwas? Danke im Voraus.

Edit1:

  • Der Grund, warum ich zwei Subnetze trennen möchte, ist, dass ich den Internetzugang des Subnetzes 192.168.2.0/24 blockieren möchte.
  • Ich habe auch versucht, eine statische Route auf meinem Router1 mit dem Ziel 192.168.2.0, Subnetzmaske 255.255.255.0 und Next-Hop-Adresse 192.168.1.2 einzurichten. Es ist nur eine Schnittstelle verfügbar, nämlich die a1-Schnittstelle und die Metrik auf 1 (nicht sicher, was es macht), aber immer noch kein Glück.

Edit2:

  • Mein Ziel ist es, den Internetzugriff für das Subnetz 192.168.2.0/24 vollständig zu sperren und den Internetzugriff für das Subnetz 192.168.1.0/24 zuzulassen.
  • Im Subnetz 192.168.2.0/24 werden ungefähr 12 Android-Client-Geräte mit dem Server verbunden, die außer dem Server nicht auf das Internet zugreifen dürfen.
  • Ein anderer Grund, aus dem ich ein separates Subnetz verwenden möchte, ist, dass es einfacher ist, den Filter für den Internetzugriff zu verwalten, indem der gesamte IP-Bereich (mit Ausnahme des Servers) im Subnetz durch einen einzelnen Router gefiltert wird.
1

2 Antworten auf die Frage

0
mariaczi

Wenn Sie nicht zwei separate Netzwerke (192.168.1.0/24 und 192.168.2.0/24) benötigen, verbinden Sie Ihren ersten Router über LAN-Ports mit dem zweiten Router. Zweiter Weg - Versuchen Sie, eine statische Route auf Ihrem PC oder dem ersten Router einzurichten: Wenn die Quelle LAN-IP (192.168.1.0/24) ist und das Ziel 192.168.2.0/24 ist, leiten Sie das Paket zur LAN-Schnittstelle (an der ersten Router).

Vielen Dank für den Vorschlag, ich habe diese Option in Betracht gezogen, aber ich möchte das Netzwerk trennen, da ich den Internetzugang des Subnetzes 192.168.2.0/24 blockieren möchte, um eine Überlastung des Internetzugangs zu verhindern. lanette vor 6 Jahren 0
@Tim_Stewart, vielen Dank für Ihre Antwort. Ich sollte erklären, dass ich das Subnetz 192.168.2.x für die interne Berichterstellung meines Unternehmens in der Produktionsumgebung entwerfe. Wir befürchten, dass unsere Mitarbeiter zu viel Zeit im Internet verbringen werden, anstatt zu arbeiten Ich brauche ein separates Subnetz, damit ich die IP / MAC-Adresse für den Internetzugang von meinem Router2 aus filtern kann. Außerdem müssen wir vom 192.168.1.x-Subnetz (meinem Büro) aus auf den Server zugreifen, um die Daten zu erhalten das ist nicht perfekt, oder gibt es einen besseren Weg, dies zu tun? lanette vor 6 Jahren 0
Befolgen Sie die Anweisungen, die ich Ihnen gegeben habe. Wenn Sie die QOS-Einstellungen eingerichtet haben, wechseln Sie zu diesem Link. Mit diesem Link können Sie den Internetzugriff auf jeden PC-Endgerät verweigern, den Sie möchten ... https://www.linksys.com/us/support -ArtikelArtikel = 136710 Tim_Stewart vor 6 Jahren 0
@ Tim_Stewart, bitte erlauben Sie mir, mich selbst zu korrigieren, dass mein Ziel darin besteht, den Internetzugang vollständig zu sperren und die Dienste nicht zu priorisieren. Ich sehe nicht, wie QoS helfen wird. Außerdem verwenden wir eine Android-App, um Daten an den Server zu senden. Daher fällt es mir schwer, die IP- / MAC-Adressen der einzelnen Geräte zu filtern. Deshalb hätte ich gerne ein separates Subnetz, um die IP-Adressen zu verwalten, sodass ich filtern kann der gesamte IP-Bereich im Subnetz mit Ausnahme des Servers (da er auf das Internet zugreifen muss). Dies spart mir mehr Zeit und Mühe, als den IP-Adressfilter für jedes Gerät beizubehalten. lanette vor 6 Jahren 0
Sie sollten die korrigierten Informationen zu Ihrer Frage hinzufügen, wenn Sie Zeit haben. Nur für den Fall, dass jemand anderes eine bessere Antwort darauf hat. Dies wird unter allen Umständen schwierig für Sie sein. Sie verwenden Consumer-Router (Heimrouter) für ein Unternehmensnetzwerk. Und ehrlich gesagt erhalten Sie, wofür Sie in Bezug auf Funktionen bezahlen. Es ist üblich, Mitarbeiter-Macs in einer organisierten Liste zu haben, den Mitarbeitern Anweisungen für das Android-Betriebssystem zu geben, den drahtlosen Mac abzurufen, und ihn per E-Mail an Sie zu senden. Ich bin mir nicht sicher, ob Sie IP-Bereiche mit diesen Filteroptionen ehrlich tun können. Tim_Stewart vor 6 Jahren 0
Es werden ungefähr 12 Clientgeräte mit dem Server verbunden. lanette vor 6 Jahren 0
Sie können immer nach Anwendung sperren, nicht nach IP / Mac-Paaren. Es blockiert nur den Datenverkehr, der versucht, das Gateway zu verlassen. Dh Sie blockieren http / https und blockieren alle VPN- / Proxy-Ports, damit Ihre Mitarbeiter die Richtlinien, die Sie implementieren möchten, nicht umgehen. BTW 12 ist extrem klein zu handhaben! Tim_Stewart vor 6 Jahren 0
0
Tim_Stewart

Sie haben sich widersprochen. Sie versuchen, zum Server weiterzuleiten, um einen Port zum Internet für Ihren Server zu öffnen. Sagen Sie dann jedoch, dass Sie den Internetzugang für das Netzwerk 192.168.2.0 / 24 blockieren möchten.

Um die Überlastung in Ihrem LAN zu kontrollieren, können Sie die Dienstqualität am Hauptrouter verwenden. Wenn Sie qos verwendet haben und die ISP-Verbindung mit qos vollständig nutzen, würden Sie den ISP-Plan auf einen mit mehr Bandbreite aufrüsten.

So würden Sie es einrichten:

ADSL (wag120N).
SSID = "Heimnetz".
LAN-IP-Adresse = "192.168.1.1 255.255.255.0".
DHCP-Pool = "192.168.1.2 - 192.168.1.249".
WPA2-PSK = "MyPass1234!".
Sicherheitstyp = "nur AES".
Firewall = ein!
Kanal 1.

D-Link DSL-2730E.
MODE = AP.
SSID = "Heimnetz".
LAN-IP-Adresse = "192.168.1.254 255.255.255.0".
DHCP = "auf diesem Router deaktiviert!".
WPA2-PSK = "MyPass1234!".
Sicherheitstyp = "nur AES".
NAT & Firewall = AUS!
Kanal - 6 oder 11.
Verbinden Sie die beiden (Router1-Lan-Port) mit (Router2-Lan-Port).

Ubuntu Server 16.04 192.168.2.250 255.255.255.0

Notieren Sie sich die Mac-Adresse der Server nic. Sie werden es für die nächsten Schritte benötigen.

Jetzt ist ein guter Zeitpunkt, um einen speakeasy.net-Geschwindigkeitstest durchzuführen, um den tatsächlichen Durchsatz zu ermitteln, den Sie von Ihrem ISP erhalten. Stellen Sie sicher, dass niemand das Internet nutzt, wenn Sie dies tun, Sie möchten, dass es genau ist. Trennen Sie bei Bedarf die Benutzer. Notieren Sie die Summe nach oben / unten. Gehen Sie zu 192.168.1.1 und melden Sie sich mit Ihrem Admin / Passwort an.

Klicken Sie auf die Registerkarte Anwendungen und Spiele und wählen Sie dann QoS aus den Unterregisterkarten.

HINWEIS: Die Unterstützung für Wi-Fi Multimedia (WMM) ist eine drahtlose QoS-Funktion, die die Qualität von Audio-, Video- und Sprachanwendungen durch Priorisierung des drahtlosen Datenverkehrs verbessert. Es ist standardmäßig aktiviert.

Behalten Sie im Abschnitt Keine Bestätigung die Deaktivierung bei.

Wählen Sie im Feld Internetzugriffsrichtlinienpriorität die Option Aktiviert aus.

HINWEIS: Sie können die Upstream-Bandbreite auf Auto oder Manuell einstellen. Auto setzt die Upstream-Bandbreite auf 512 Kbps. Verwenden Sie das Handbuch, und geben Sie die Summe auf / ab, die Sie zuvor geschrieben haben. Geben Sie es in dieses Feld ein, etwa 10% niedriger für Auf / Ab als das, was Sie notiert haben. Die Idee ist, einen Engpass auf Ihrer Seite der Verbindung zu haben, den Sie kontrollieren können, nicht die ISP-Router.

Klicken Sie auf den Dropdown-Pfeil, um die entsprechende Kategorie auszuwählen, je nachdem, wie Sie die Priorität festlegen möchten. Erstellen Sie einen Namen, um das Gerät leicht zu identifizieren, geben Sie seine MAC-Adresse ein, und wählen Sie die gewünschte Prioritätsstufe aus.

Klicken Sie auf, um Ihre Änderungen zu speichern.

HINWEIS: Die Einstellungen, die Sie vorgenommen haben, werden sofort im Feld Zusammenfassung angezeigt.

Wenn Sie nicht möchten, dass der Serververkehr den Heimnetzwerkverkehr beeinträchtigt, setzen Sie den Server auf eine niedrigere Priorität als der Rest der Heimclients.

Ich hoffe das hilft dir weiter.

Als zusätzlicher Bonus wird durch das Befolgen dieser Anweisungen ein nahtloses Roaming-Netzwerk geschaffen, in dem WLAN-Clients ohne Eingriff auf den AP mit der höchsten Stärke wechseln. Der Schlüssel wpa2 und die SSID müssen identisch sein, damit sie funktioniert. Tim_Stewart vor 6 Jahren 0
Ich habe eine Ausnahme gemacht, um den Internetzugang des Servers nicht zu blockieren, indem ich ihm eine statische IP-Adresse außerhalb des DHCP-Bereichs zuweisen und nur den Internetzugang des IP-Bereichs filtern, der vom DHCP des Routers2 zugewiesen wurde. lanette vor 6 Jahren 0
Ich habe die Portweiterleitung getestet und der Server antwortet, wenn der Datenverkehr aus dem Internet kommt, dh wenn ich die externe IP-Adresse des Router1 und den weitergeleiteten Port xxxx: 3344 in einem Browser auf PC1 eingebe, erhalte ich eine Antwort im Browser. Seltsamerweise, wenn ich externe Router-IP-Adresse 192.168.1.2:3344 oder interne IP-Adresse 192.168.2.1:3344 des Routers (über statische Route) in den Browser auf PC1 eingebe, von dem ich erwarte, dass der Router2 den Verkehr an meinen Server weiterleitet (192.168.2.2) : 3344, keiner von ihnen funktioniert, Google Chrome sagt "Diese Website ist nicht erreichbar". lanette vor 6 Jahren 0
Wenn Sie Blockierungsregeln haben, legen Sie beide in dasselbe Subnetz (überbrücken Sie die beiden). Sie springen durch Reifen für etwas sehr einfaches .... Tim_Stewart vor 6 Jahren 0

Verwandte Probleme