| NOTE IT: Απαλλαχτείτε από double NAT. Διπλό NAT σημαίνει αρκετά προβλήματα .. ότι και αν σας λένε! Εγκαινιά! Πάντα μια χαρμόσυνη εορτή. Εδώ λοιπόν ας εγκαινιάσω την κατηγορία NOTE IT στην οποία θα περιλαμβάνω συμβουλές για συγκεκριμένα ζητήματα ποικίλης θεματολογίας. Αν νιώθετε πολλές φορές την ανάγκη να κάνετε τα πράγματα με το δικό σας τρόπο ανεξάρτητα τι έχετε δει και ακούσει τότε θα νιώσετε γιατί έβαλα τον εαυτό μου σε τόσο κόπο. Η τυπική λύση λοιπόν για μια συνδεση internet είναι να κρατήσει κανείς το modem/router/firewall/access point, την μία σε όλα συσκευή με άλλα λογιά, που του έχει δώσει ο πάροχος internet δωρέαν με τη συνδεσή του κτλ. Η ανορθόδοξη λύση είναι να έχεις ξεχωριστές συσκευές, ένα modem, ένα router, ένα firewall, ένα access point. Πριν αρχίσετε τις κατάρες όμως να παραδεχτώ πως τέτοια λύση μέσα σε ένα σπίτι δεν έχει ιδιαίτερο νόημα, και γίνεται μόνο για λόγους δοκιμαστικούς. Η πραγματική εφαρμογή των δυνανοτήτων των ξεχωριστών συσκευών φαίνεται σε εταιρικές υλοποιήσεις. ΔΙΠΛΟ ΝΑΤ ΤΕΛΟΣ Ας υποθέσουμε πως έχουμε ένα modem/router και ένα dedicated firewall ή κάποιο δεύτερο router με δυνατότητες firewall. Παρακάτω θα χρησιμοποιήσω ένα modem/router Linksys και ένα pc που έχει αναλάβει τη δουλειά του dedicated firewall και φέρει ως λειτουργικό την open source λύση στα firewall με το όνομα m0n0wall [http://m0n0.ch/wall/]. Από εκεί και πέρα ο νοών νοείτο. Σίγουρα αν καταπιαστείτε με τέτοια θέματα θα είστε αρκετά μάγκες για να καταλάβετε τις ανάλογες κινήσεις στη δική σας ειδική υλοποίηση, δεν σας φοβάμαι ;) Η συνδεσμολογία είναι απλή όπως φαίνεται και στις εικόνες το modem συνδέεται με το firewall και το firewall με το pc ή τυπικά το firewall με ένα switch στο οποίο συνδέονται όλοι οι υπολογιστές του LAN. Επειδή ΔΕΝ θέλουμε να έχουμε διπλό NAT θα πρέπει να αναγάγουμε το modem/router μας σε απλό adsl modemάκι.
Δημοσιεύω αυτό το post για όσους βρίσκονται πίσω από διπλό NAT και τους δημιουργεί διάφορα προβλήματα αλλά και για να μοιραστώ τον ενθουσιασμό μου που όλο το παραπάνω εγχείρημα έπαιξε με την πρώτη χωρίς πονοκέφαλο! Η αλήθεια είναι πως αναζητώντας τη λύση βρήκα αρκετά forum στο internet που απέτρεπαν την απενεργοποίηση του NAT, δηλαδή συνιστούσαν χρήση DMZ κτλ. αλλά το γεγονός ότι βρισκόμαστε πίσω από διπλό NAT παραμένει και δεν είναι θεμιτό να έχουμε περιττές συνδεσμολογίες σε ένα δίκτυο. ΕΝΑΛΛΑΚΤΙΚΗ ΛΥΣΗ Κατά την ίδια αναζήτηση μερικές ιστοσελίδες ανέφεραν πως υπάρχει η αντίθετη δυνατότητα, δηλαδή τη μεριά του NAT να αναλάβει το modem/router και να απενεργοποιηθεί το NAT στο dedicated firewall. Συγκεκριμένα ανέφεραν πως γίνεται με χρήση static route στην πλευρά του modem με Destination: αν χρησιμοποιείτε για παράδειγμα το 192.168.1.x τότε το destination να είναι το 192.168.1.0 subnet: το subnet του LAN , τυπικά το 255.255.255.0 gateway: θα πρέπει να είναι το WAN IP address του dedicated firewall. Όπως φαντάζομαι σε αυτή η περίπτωση το authentication αναλαμβάνει κανονικά το modem/router χωρίς να επηρεάζουμε κάτι στην επιλογή encapsulation. Από τη μεριά του m0n0wall θα έχουμε Enable Outbound NAT: yes ενώ δεν καθορίζουμε ΚΑΝΕΝΑΝ κανόνα στο Advanced Outbound NAT. Επίσης στο WAN interface το block private networks θα πρέπει να το απενεργοποιήσουμε. Αυτή την υλοποίηση δεν την έχει δοκιμαστεί ακόμα αλλά αν έχετε παρόμοιο στήσιμο δικτύου με το δικό μου και το δοκιμάσετε πείτε μου αν δουλεύει.. ναι καλά καταλάβατε σας έδωσα homework! Προσωπικά απέφυγα αυτή τη λύση διότι κάθε φορά που θα ήθελα να αλλάξω κάτι στο modem/router θα έπρεπε να πάω με το laptop να συνδεθώ στο ίδιο το modem/router, που κανονικά είναι συνδεδεμένο μόνο με το dedicated firewall. Έτσι τώρα με την αρχική λύση έχω όλες τις ρυθμίσεις να αναλαμβάνει το ίδιο το dedicated firewall. Υπάρχουν σίγουρα πολλά λεπτά ζητήματα όπως τα θέματα ασφαλείας που μπορεί να παίζουν ρόλο ανά περίπτωση. Αν έχετε σχετικές παρατηρήσεις μην διστάσετε να τις μοιραστείτε εδώ μαζί μας στο blog Applied Ideas. Επιμέλεια: Γιώργος Πληγορόπουλος |
Share This
Subscribe Here
0 comments:
Post a Comment