Routing i adresowanie IPv4. Ustawienia IP i DHCP dla sieci LAN

Transkrypt

1 Ustawienia IP i DHCP dla sieci LAN Fizycznie interfejs LAN jest dostępny w postaci 4 portów przełącznika 10/100 Mbit/s, a w wybranych modelach dodatkowo rozszerzony o koncentrator WLAN. Na poziomie protokołu IP interfejs jest wyposażony w dwa niezależne zbiory ustawień. Taka implementacja pozwala na funkcjonowanie w ramach sieci lokalnej urządzeń należących do dwóch różnych logicznych podsieci. Ma to na celu zwiększenie funkcjonalności urządzenia zgodnie z dalszym opisem, każda z podsieci IP jest obsługiwana przez router Vigor w odmienny sposób. Internet IP (WAN): IP: /24 2 IP: /29 NAT Routing dodatkowy switch VLAN VLAN 2 1

2 Podsieć 1 umożliwia komunikację z wykorzystaniem prywatnych adresów IP zdefiniowanych w RFC 1918, w połączeniu z mechanizmem NAT (ang. Network Address Translation). Kiedy pakiet opuszcza podsieć, proces NAT w polu jego adresu źródłowego umieszcza specjalny adres, którym dysponuje router. Adres ten należy zwykle do grupy adresów publicznych, przydzielonych przez operatora. W skrajnym przypadku wiele hostów zaadresowanych prywatnie może komunikować się z maszynami w sieci publicznej, wykorzystując jeden adres IP uzyskany od ISP. Aby obsłużyć wiele niezależnych procesów komunikacji na raz, stosuje się odwzorowywanie portów źródłowych na tzw. pseudo-porty, wybierane przez router z określonego zakresu. W podsieci 1 można przyjąć koncepcję statycznego przydziału adresów dla hostów (konfiguracja ręczna), bądź zastosować mechanizm DHCP (ang. Dynamic Host Configuration Protocol). Można też połączyć oba rozwiązania, przydzielając wybranym maszynom (np. lokalnym serwerom) adresy stałe wybrane spoza puli używanej przez serwer DHCP (patrz dalej konfiguracja DHCP). Co ważne, nawet kiedy router kieruje ruch z podsieci 1 do podsieci 2, stosowany jest NAT z użyciem drugiego adresu IP interfejsu LAN. Podsieć 2 przeznaczona została do realizacji klasycznego routingu IP. Dlatego wszelki ruch wychodzący z tej podsieci jest obsługiwany przy zachowaniu oryginalnych adresów źródłowych oraz numerów portów. Jeżeli więc zachodzi potrzeba przypisania wybranym maszynom (np. serwerom) publicznych adresów IP, dostarczonych przez operatora, można wykorzystać właśnie podsieć 2. Jeden z adresów trzeba przydzielić samemu routerowi jako adres bramy dla hostów. Może on też pełnić rolę adresu NAT dla komputerów z podsieci 1, łącząc je z siecią publiczną. Na rysunku dla przykładu założono posiadanie publicznej podsieci / (użyteczne adresy w tej podsieci to ). Naturalnie w podsieci 2 można także stosować adresację prywatną. Jednak pamiętać trzeba o nieobecności mechanizmu translacji adresów, przez co bezpośrednia komunikacja z Internetem nie będzie możliwa, nawet jeżeli od strony interfejsu WAN przydzielono adres publiczny. Można sobie jednak wyobrazić router Vigor, który pracuje jako jeden z wielu routerów w sieci Intranet, i pełni rolę bramy VPN do odległych sieci LAN. Wówczas za pomocą ustawień podsieci 2 możliwa jest integracja z innymi routerami poprzez zarówno routing statyczny, jak i dynamiczny. Podobnie jak w podsieci 1, i tu możliwa jest automatyczna konfiguracja hostów. Mechanizm DHCP dla drugiej podsieci konfiguruje się jednak nieco inaczej (patrz dalej). Podsieć 1 jest zawsze włączona, natomiast podsieć 2 jest opcjonalna (domyślnie jej obsługa jest wyłączona). Natomiast rysunek ilustruje aktywne użycie obu podsieci. Obsługa dwóch osobnych podsieci IP (w tym zwłaszcza w trybie pełnego routingu) w ramach LAN jest poważną zaletą routerów DrayTek. Niemal zawsze w tego typu urządzeniach producenci oferują wyłącznie jedną podsieć z mechanizmem NAT, nie zapewiając opcji jego ominięcia. Stwarza to liczne ograniczenia w momencie posiadania wielu publicznych adresów IP, gdyż i tak nie eliminuje procesu translacji adresów na drodze pakietów. Komputery można też grupować w osobne segmenty VLAN (patrz opis możliwości przełącznika), co odbywa się niezależnie od podziału na podsieci IP. Dla obu podsieci można uruchomic osobne serwery DHCP. Serwer dla podsieci 1 konfiguruje się w oknie glównym TCP/IP (poprzedni rysunek). Aby uruchomic drugi serwer, należy poinformować router które interfejsy (adresy MAC) mają otrzymywać adresy z drugiej podsieci (komputery nieobecne na liscie będą domyślnie konfigurowane z puli dla podsieci 1). 2

3 Oto lista drugiego serwera DHCP: Cenną zaletą routera jest zdolność trwałego kojarzenia MAC-IP przez oba serwery DHCP, tak aby dana stacja otrzymywała zawsze zarezerwowany dla niej adres. Jest to pomocne np. podczas konfiguracji Filtru Pakietów w sieci gdzie adresy są przydzielane dynamicznie. Rezerwacje MAC-IP wykonuje się za pomocą specjalnej komendy Telnet. Tryb Proxy DNS/ DNS Cache W ramach konfiguracji DHCP router przydziela hostom także adresy serwerów DNS (podstawowy i dodatkowy-zapasowy). Adresy te są w pełni konfigurowalne (rysunek). Otrzymując od routera Vigor powyższe dwa adresy, hosty będą kierować żądania DNS bezpośrednio z sieci lokalnej do serwera podstawowego. Jeżeli nie otrzymają odpowiedzi, np. z powodu awarii lub przeciążenia serwera, wykorzystają adres serwera dodatkowego. Jeżeli oba pola pozostaną puste, router przydzieli hostom własny adres IP jako adres serwera DNS i będzie działał jako serwer proxy DNS. Żądania hostów będą przekazywane do serwerów udostępnionych przez operatora (ISP). Jednocześnie w pamięci podręcznej (ang. DNS cache) będą zapamiętywane poznane nazwy i odpowiednie adresy IP. Jeżeli nastąpi ponowna prośba o adres dla danej nazwy, router odpowie natychmiast, bez odwoływania się do odległych serwerów DNS. Pamięć podręczna zwiększa efektywność mechanizmu DNS dla lokalnych hostów, znacznie skracając średni czas odpowiedzi. 3

4 Ustawienia IP i DHCP dla interfejsu WAN Interfejs WAN typu Ethernet można podłączyć bezpośrednio do modemu operatora, do innego routera czy przełącznika, a nawet do karty sieciowej pojedynczego komputera lub serwera. Interfejs ten nie musi posiadać publicznego adresu IP, uzyskiwanego bezpośrednio od operatora, aby działać poprawnie. Szczegóły przydzielania konfiguracji IP zależą tutaj od trybu dostępu stosowanego przez operatora. W trybie PPPoE i PPTP router inicjuje połączenie PPP do urządzenia po stronie operatora, skąd uzyskuje pojedynczy adres IP za pomocą tzw. negocjacji IPCP tak jest np. w przypadku usług Neostrada (TP) i Net24 (Netia). Połączenie PPP jest przekazywane przez modem z interfejsem Ethernet. Po uzyskaniu adresu router wykorzystuje go do komunikacji z innymi urządzeniami w Internecie. Ades IP może też być przypisany statycznie, choć rzadko operatorzy stosują te opcję w trybie PPP. Specyfika trybu PPTP polega na tym, że sesja PPP na odcinku router-modem jest przenoszona w sieci Ethernet nie bezpośrednio (warstwa druga), lecz za pomocą protokołu TCP/IP: 4

5 W trybie klienta DHCP adres IP jest przydzielany przez serwer DHCP. Na przykład w sieci telewizji kablowej modem kablowy transmituje żądanie DHCP do serwera operatora i tą samą drogą router otrzymuje adres własny, maskę podsieci i inne parametry. Serwer DHCP może wymagać podania zarejestrowanego adresu MAC, a czasem również nazwy DNS hosta. Wszystkie te wymogi realizuje router Vigor. Wystarczy rejestracja jednego adresu MAC u operatora kablowego, aby zapewnić dostęp wielu komputerom w oparciu o uzyskany adres IP. Interfejs WAN można też skonfigurować statycznie, przysując parametry typu adres IP, maska podsieci i brama domyślna, lokalizujące go w konkretnej podsieci prywatnej lub publicznej: Dzięki opcji WAN IP Alias, mamy możliwość przypisania dodatkowych adresów publicznych do interfejsu WAN (do 8), jeżeli operator zechce przydzielić nam takie dodatkowe adresy. Wówczas router jest osiągalny pod każdym z nich, dzięki czemu może realizować tzw. Multi- NAT, tzn. niezależne otwieranie portów dla połączeń kierowanych na różne adresy WAN (zobacz opis funkcji NAT). 5

6 Routing do innych podsieci Router Vigor potrafi realizować routing statyczny i dynamiczny zarówno od strony interfejsu LAN, jak i WAN, a nawet, co bardzo ważne, wewnątrz poszczególnych tuneli VPN (ta ostatnia opcja jest omówiona w opisie poświęconym VPN). Pozwala to na pełną wspołpracę z innymi routerami nawet w rozbudowanym środowisku złożonym z wielu podsieci. Routing statyczny realizuje się definiując trwałe trasy, prowadzące do konkretnych podsieci poprzez wskazane routery. Przykładowa trasa do podsieci /16 prowadząca przez router będzie konfigurowana następująco: Można określić trasy statyczne do 10 różnych podsieci, jednak w przypadku użycia routingu dynamicznego liczba obsługiwanych podsieci jest nieograniczona. Routing dynamiczny jest realizowany przez implementację protokołu RIPv1 oraz RIPv2 (do wyboru). Uruchomienie routingu dynamicznego na interfejsie WAN polega na włączeniu obsługi RIP. Na interfejsie LAN można jeszcze zdecydować, w ramach której z podsieci chcemy taki routing realizować: Podsieć 1 router w stałych odstępach czasu wysyła informacje o znanych mu podsieciach do innych routerów należących do podsieci 1 (broadcast UDP w podsieci 1). Podsieć 2 pakiety RIP będą wysyłane do routerów należących do podsieci 2. Podsieć 1 nie bierze wówczas udziału w routingu dynamicznym (pakiety RIP nie są w niej rozgłaszane). 6

7 Najprostszy przypadek środowiska wielu podsieci jest pokazany na rysunku. Router Vigor może zapewnić dostęp do Internetu oraz wzajemną komunikację wszelkim innym podsieciom, podłączonym przez dodatkowe routery. Można przy tym stosować odpowiednie limity i ograniczenia dla całych podsieci lub wybranych adresów IP: Internet Vigor /24 R / R3 Do odległej podsieci /28 Konkretnie, można np. zapewnić dostęp do Internetu tylko niektórym komputerom z podsieci /24, podczas gdy będą one miały pełen dostęp do podsieci /24. Lub inaczej wszystkie komputery z podsieci /24 mają dostęp do Internetu, ale nie wszystkie mają dostęp do podsieci /24. Możliwe są różne złożone warianty tych dwóch podstawowych scenariuszy, np. blokowanie wybranych usług i/lub filtrowanie zawartości na poziomie aplikacji (ang. content filtering) dla konkretnych adresów lub całych podsieci. 7

8 Narzędzia diagnostyczne W ramach Interfejsu Użytkownika dostepne są narzędzia diagnostyczne, wspomagające rozwiązywanie problemów z konfiguracją IP i routingiem: Tabela routingu pokazuje trasy do znanych podsieci oraz metody ich pozyskania: Aktywne sesje NAT podgląd bieżącej komunikacji realizowanej przez komuptery użytkowników: 8

9 Bufor ARP i tabela DHCP pomagają rozwiązać problemy z duplikacją adresów w sieci LAN, mechanizmem ARP oraz funkcjonowaniem serwera DHCP. Pokazują też sytuację w sieci włączone komputery i ich adresy MAC/IP. Bufor ARP można opróżniać z poziomu konfiguratora (przycisk Wyczyść). Z poziomu konfiguratora Telnet są też dostępne dodatkowe opcje, jak definiowanie czasu dzierżawy dla klientów serwera DHCP czy usuwanie/dodawanie wpisów w tablicy ARP. 9