Как связать две подсети
Обновлено: 26.04.2024
Шлюз является сетевым объектом, его часто называют конвертером протокола. Он подключает компьютер одной сети к другой и определяет границы сети. Если две сети разных протоколов хотят соединяться друг с другом, обе должны иметь шлюзы, обеспечивающие существование, и точки входа для компьютеров для связи. Шлюз предназначен для соединения двух систем с отличающимися настройками.
Что такое роутер?
Как устройство сетевого уровня, маршрутизатор соединяет несколько сетей вместе и контролирует трафик данных между ними. Люди, плохо знакомые с маршрутизатором, путают его с сетевым коммутатором, являющимся высокоскоростным устройством, принимающим входящие пакеты данных и перенаправляющий их к месту назначения в локальной сети. Основываясь на таблицах внутренней маршрутизации, сетевой роутер считывает IP-адрес входящих пакетов и их IP-адреса назначения, определяет кратчайший путь для его пересылки. Таблица маршрутизации содержит список IP-адресов, которые маршрутизатор может подключить для передачи данных. Роутеры соединяют WAN и LAN вместе и имеют динамически обновляемую таблицу маршрутизации. Коммутаторы и концентраторы Gigabit Ethernet могут быть подключены к маршрутизатору с несколькими портами ПК для расширения локальной сети. Роутер разделяет широковещательные домены узлов, подключенных через него.
Что выбрать?
Вкратце, шлюз — это единая точка доступа к компьютерам вне сети, например дверь, а маршрутизатор определяет кратчайший путь, по которому ваши данные могут пройти от компьютера A к компьютеру B, например, в коридоре или на лестнице. Важно учитывать как текущие, так и потенциальные потребности при выборе варианта между шлюзом и роутером.
Принцип соединения двух подсетей в одну
Прежде чем начать подключение подсети к основной определитесь, что из нижеперечисленного вы будете использовать для связки:
Лучшее решение — выполнить соединение при помощи кабеля, оно позволит обеспечить быструю и бесперебойную работу обоих звеньев системы. Для того, чтобы начать соединение, убедитесь в наличии свободного Ethernet-порта и разных адресах подготовленных локальных сетей.Для дальнейших настроек следуйте следующим пунктам:
Пред. пост
Стиль изложения дальнейшего материала подразумевает, что с предыдущими материалами серии читатель уже ознакомлен. То есть термины, которые были разъяснены в предыдущих статьях, тут упоминаются без комментариев.
Эта статья является продолжением серии по построению домашних сетей с использованием различного оборудования. В этот раз будут рассмотрены едва не забытые мосты. То есть опять возвращаемся к организации доступа в Интернет посредством одного из windows-компьютеров локальной сети.
На этот раз создадим сеть с доступом в Интернет из проводных и беспроводных клиентов без использования точки доступа и аппаратных маршрутизатора и точки доступа.
рис.1
В предыдущей статье была рассмотрена изображенная на рис.1 схема сети. То есть, имеем "среднестатистическую" квартиру, три стационарных компьютера, два ноутбука и пару наладонников.
Стационарные компьютеры связаны проводной сетью через коммутатор (switch). Беспроводные устройства подключены (в режиме Infrastructure) к точке доступа (Access Point), которая, в свою очередь, проводом подключена к коммутатору.
В качестве маршрутизатора (типа NAT), обеспечивающего доступ в Интернет и аппаратный файрвол (hardware firewall), выступает аппаратное устройство, так же подключенное к коммутатору. На маршрутизаторе активирован DHCP-сервер, который ведает IP-адресацией всей нашей локальной сети.
В результате получили общую локальную сеть (одноранговую), где все компьютеры могут видеть друг друга, и все могут иметь доступ в Интернет.
Как уже было сказано ранее, подобные маршрутизаторы могут быть сверхинтегрированными устройствами, включающими в себя различные дополнительные устройства. Например, на рисунке 1 представлен маршрутизатор, обладающий всего двумя интерфейсами — WAN (смотрящим в Интернет) и LAN (смотрящим в локальную сеть). Очень часто в маршрутизаторы интегрируют четырехпортовый коммутатор, таким образом, если в квартире не более четырех проводных устройств, то вышеприведенный рисунок упрощается:
рис.2
Вместо двух разнородных устройств ставится одно — маршрутизатор со встроенным коммутатором (home router with switch). К нему подключены все проводные клиенты (к LAN портам), на нем же активирован DHCP и он же обеспечивает доступ в Интернет.
Точка доступа, к которой подключены беспроводные клиенты, подключена к одному из LAN портов маршрутизатора. Кстати, если четырех LAN портов маршрутизатора недостаточно, никто не мешает подключить к одному из них коммутатор (по аналогии с точкой доступа).
Таким образом, мы по-прежнему имеем одноранговую сеть с доступом в Интернет. Но в нашей сети на одно устройство меньше.
И самый "продвинутый вариант" — точка доступа также интегрирована на коммутаторе:
рис.3
В данном случае на маршрутизаторе (wireless home router) интегрировано все — коммутатор, маршрутизатор и точка доступа. Таким образом, вместо трех устройств получаем одно, с той же функциональностью.
Собственно, в предыдущей статье, как раз рассматривалось одно из подобных устройств.
А что делать, если, допустим, в такой вот "среднестатистической сети" у нас есть коммутатор (три стационарных компьютера, пара ноутбуков и наладонников), но нет маршрутизатора и точки доступа? И их совсем не хочется покупать (рис.4)?
Другими словами, было три стационарных компьютера, объединенных кабелем через коммутатор. Доступ в Интернет осуществлялся через один из них. Как это сделать, было рассказано в первой статье цикла.
Появилось несколько беспроводных устройств (ноутбуки, наладонники). Допустим, беспроводные устройства между собой связать легко (об этом рассказывалось во второй статье цикла). Достаточно сконфигурировать их в общую AdHoc сеть, в результате получим следующее:
рис.4
То есть две разные сети (рис.4) — проводная, которая имеет доступ в Интернет и беспроводная (без оного). Сети друг друга не видят. Как связать все компьютеры вместе?
Наилучшим вариантом, конечно, будет покупка точки доступа, подключение ее к коммутатору и перенастройка беспроводных клиентов на работу с точкой доступа (режим Infrastructure). Или даже покупка маршрутизатора с точкой доступа, тогда доступ в Интернет будет осуществляться через него (см. рис.3).
Но есть и другие варианты. Например, поставить во все проводные компьютеры по беспроводной карте:
рис.5
В этом случае (см. рис.5) коммутатор, как и все проводные соединения, в принципе не нужен. Хотя, конечно, скорость передачи данных (в случае использования только беспроводной сети) будет тут намного ниже, чем при передаче между компьютерами, подключенными проводами через коммутатор.
В общем, подобная схема (что с коммутатором, что без него) имеет право на существование, и будет работать. Если оставить коммутатор (и, соответственно, проводные сетевые адаптеры), то мы получим две разнородных сети с разными адресами (друг друга они по-прежнему видеть не будут). В беспроводной сети все клиенты могут общаться друг с другом. В проводной сети — только те, кто подключен к коммутатору проводом. В интернет можно будет выходить из обеих сетей.
Так как подобная сеть, на мой взгляд, скорее исключение, чем правило, рассматривать ее настройку не будем. Хотя, информации, данной во всех пяти статьях серии, более чем достаточно для настройки такой сети.
Мы же рассмотрим второй способ связи проводных и беспроводных клиентов (из рисунка 4), с использованием встроенного в Windows XP механизма типа мост.
Для этого нам лишь потребуется вставить в компьютер, являющийся маршрутизатором и имеющий два сетевых адаптера (один, смотрящий в локальную сеть, второй — в Интернет) третий сетевой адаптер, на этот раз беспроводной. После этого настроить следующую схему:
рис.6
На роутере, в который мы вставили беспроводную карту, настраиваем доступ в AdHoc беспроводную сеть с остальными беспроводными клиентами (см. вторую статью), остальных беспроводных клиентов, настраиваем аналогичным образом.
- LAN — внутренний интерфейс, смотрит внутрь локальной сети и подключен к внутрисетевому коммутатору
- WAN — смотрит в Интернет, то есть подключен к провайдеру услуг
На данном этапе никаких общих доступов на WAN интерфейсе роутера не активировано. То есть только он имеет доступ в Интернет, остальные компьютеры могут видеть лишь друг друга в рамках своих сетей (то есть проводные — всех проводных, беспроводные — всех беспроводных). Связи между проводной и беспроводной сетями пока нет.
Пора активировать мост (bridge). Этот механизм позволит установить "мостик" между нашими проводной и беспроводной сетями, таким образом, компьютеры из этих сетей смогут увидеть друг друга.
Подробнее о мостах можно прочитать во встроенной системе помощи WindowsXP:
Говоря простым языком, мост — это механизм, прозрачно (для работающих клиентов) связывающий разнородные сегменты сети. В нашем случае под разнородными сегментами понимается проводная сеть и беспроводная сеть.
- LAN — смотрящий в проводную локальную сеть
- Wireless — смотрящий в беспроводную локальную сеть
Все локальные (смотрящие в локальную сеть) интерфейсы на всех компьютерах переведены в режим "автоматического получения IP адреса и DNS". Этот режим установлен по-умолчанию на всех интерфейсах в Windows.
Беспроводные клиенты связаны в AdHoc сеть (без точки доступа) — см. рис.6
В отсутствие в сети DHCP сервера (а у нас его как раз и нет пока), Windows сама назначает адреса компьютерам. Все адреса имеют вид 169.254.xx.xx
По умолчанию, все компьютеры в пределах одного сегмента (в нашем случае — в пределах проводной или беспроводной сети) могут видеть друг друга, обращаясь друг к другу по этим адресам.
Желтый восклицательный знак в треугольнике рядом с интерфейсами — это нормальное явление для WindowsXP с установленным вторым сервис паком. Он лишь означает, что DHCP сервер в сети отсутствует и операционная система сама назначила адреса сетевым адаптерам.
Активация моста производится примерно так.
Только мост, по определению, работает минимум между двумя интерфейсами.
Поэтому выбираем оба локальных интерфейса, жмем правую кнопку мыши и в появившемся меню выбираем пункт "Подключение типа мост".
Windows начинает процедуру создания моста.
После окончания этого процесса, в сетевых подключениях появляется еще одно соединение — Network Bridge (сетевой мост). А в информации по сетевым адаптерам, на которых установлен режим моста, появляется статус "Связано".
Мост представлен в виде отдельного устройства, большинство его параметров повторяют параметры сетевых адаптеров.
Правда, в разделе "свойства" присутствует дополнительный раздел со списком адаптеров, которые в данный момент относятся к мосту (адаптеров может быть два и более).
Собственно, на этом этапе все сети, в которые смотрят эти (назначенные мосту) адаптеры, видят друг друга напрямую, без маршрутизации. То есть, как будто клиенты в этих сетях сидят в одной большой однородной сети (другими словами как бы подключенные к одному коммутатору).
Мосту назначается собственный IP адрес, он одинаков для всех адаптеров, отданных мостовому соединению.
Разумеется, в свойствах самих адаптеров никаких IP адресов уже нет. Адаптера, как такового, на логическом уровне уже не существует — есть лишь мост (имеющий IP адрес), в который включено два (или более) адаптера.
Переходим к последнему этапу — активации доступа в Интернет. Об этом уже было рассказано в первой статье цикла, поэтому пространных рассуждений на эту тему не будет.
В сетевых подключениях выбираем "Установить домашнюю сеть".
…предлагающий предварительно изучить некоторые разделы справки. Рекомендую воспользоваться этим советом.
Далее выбираем пункт "компьютер имеет прямое подключение к Интернет" (ведь к одному из интерфейсов нашего компьютера-маршрутизатора подключен кабель провайдера услуг интернет).
Далее в появившемся меню выбираем, какой же именно из адаптеров подключен к Интернет.
Так как на компьютере обнаружено больше одного локального сетевого интерфейса, мастер предлагает выбрать, на какой из них предоставлять Интернет доступ для других компьютеров в тех сетях. Выбираем оба локальных сетевых интерфейса (подключения).
Далее придумываем разные названия, тренируем свою фантазию :)
…продолжаем тренировать фантазию (не забывая о том, что имя рабочей группы действительно должно совпадать у всех компьютеров локальной сети… точнее желательно, чтобы оно совпадало).
В следующем меню выбираем, оставить возможность общего доступа к файлам и принтерам внутри сети или нет. Если это домашняя сеть, то, вероятно, лучше этот доступ не отключать.
Проверяем, все ли верно настроили, и жмем "Далее".
Теперь Windows минут пять гоняет по экрану бесконечные компьютеры (зеленый, в центре) с оторванным сетевым кабелем. Для меня осталось загадкой, что же она там целые пять минут делает.
В последнем меню операционка предлагает сохранить где-нибудь на внешнем носителе настройки сети. Можно этого не делать, а просто завершить работу мастера.
После нажатия на кнопку "Готово" мастер завершит свою работу.
Как ни странно, система потребовала перезагрузку (иногда не требует).
После перезагрузки, на сетевом адаптере, смотрящем в Интернет, появился значок руки, означающий, что этим доступом могут пользоваться и другие компьютеры в локальной сети (в нашем случае — в обеих, проводной и беспроводной, сетях).
На всех остальных компьютерах в локальной сети IP адрес примет вид 192.168.0.xx (адрес компьютера маршрутизатора будет фиксированным — 192.168.0.1), и все будут иметь доступ в Интернет.
А в сетевых подключениях появится иконка Шлюза Интернет.
рис.7
Таким образом, у нас получилась сеть, общий вид которой представлен на рис.7.
DHCP server, который там появился, активируется после активации общего доступа на Интернет-интерфейсе маршрутизатора. Именно он будет управлять выдачей IP адресов и другой информации для всех компьютеров локальной сети (точнее сетей, хотя формально, так как используется мост, у нас одна большая сеть).
Не стоит забывать о том, что этот компьютер-маршрутизатор должен быть постоянно включен (спящий режим с отключением кулеров — это уже отключенный компьютер). При его выключении мы потеряем не только доступ в интернет, но и возможность видеть компьютеры в соседней (проводной или беспроводной) сети.
На этом пятая статья, рассказывающая об этих загадочных мостах, подошла к концу. В следующей статье будет рассказано о настройке нескольких интернет подключений в рамках одной домашней сети.
Доброго времени суток. Была одна сеть /24 (допустим 192.168.0.1) с реализованными сетевыми сервисами и внешними абонентами (источниками и потребителями), со своими серверами. Появилась ещё одна (например 192.168.1.1) также со своими сетевыми сервисами и своими внешними абонентами. Причём есть компьютеры, на которых должны функционировать сервисы из обеих сетей. Решение реализовано с использованием виртуальных машин на таких PC (на хостовой винда, на виртуальной линуха) и коммутационного оборудования из первой сети (благо пропускная способность позволяет). Объединить все в одну сеть нельзя (не обсуждается) из-за особенностей функционирования специального ПО как из первой, так и из второй сети. Кроме того свичи все разномастные от управляемых optiswitch до неуправляемых dlink (соответственно без vlanов и т.п.). Задался целью настроить маршрутизацию между сетями для упрощения мониторинга, настройки и т.п. Имеющиеся в сетях шлюзы (на Линукс) использовать не получается из-за их жёсткой привязки к стартовой настройке. Имеется коммутатор l3 aruba, хочу объединить с его помощью сети, как его настроить?
Пока мысль только одна: настроить 2 vlan с ip из разных сетей, повесить на них по одному порту access, и завести на них линки с любого из коммутаторов, после чего прописать ip route.
Посоветуйте, будет ли работать, может можно по другому. Прошу не пинать - с настройкой свича l3 сталкиваюсь впервые и исходные сети строил не я. Заранее спасибо.
Что бывает, когда эникей пытается лезть в сети. Ну ладно, проехали.
В примитивном случае на L3 свисте нужны три порта. В первый и он же влан100 включаются устройства из сети один. На влан-интерфейсе настраивается IP-адрес, который будет являться шлюзом для всех рабочих станций в этой сети. Второй порт и влан200 аналогично для второй сети. Третий порт и влан 300 (и какая-то стыковочная сеть /30) - в сторону сервера-шлюза. Настраиваем маршруты на сервере до первых двух сетей через эту стыковочную сеть. Предлагается сесть и на бумажке все это нарисовать. Как видно, маршрутизацию, ip-адреса и, подозреваю, правила ната на шлюзе все же придётся подкрутить.
Это было как правильно, но трудозатратно. А вот как будет - не ясно, так как нет понимания сколько сейчас существует шлюзов, как они подключены. Допускаю, что надо просто добавить одну строчку в правила iptables
Очень здравая мысль.
Пока мысль только одна: настроить 2 vlan с ip из разных сетей, повесить на них по одному порту access, и завести на них линки с любого из коммутаторов, после чего прописать ip route.
Если ты сеть /24 (допустим 192.168.0.1) разобьёшь на три подсети /26:
192.168.0.1/26
192.168.0.64/26
192.168.0.128/26
(у тебя остаётся ещё место для сети 192.168.0.192/26)
настроишь маршрутизацию (статики хватит с головой), то получишь ограниченные широковещательные домены (маршрутизатор также ограничивает широковещательный домен) и возможность контролировать трафик между сетями. А неуправляемые свитчи путь выполняют свою работу в каждой подсети.
Заранее извиняюсь если вопрос имеет слишком очевидный ответ.
У меня есть помещение в котором :
- стоит модем-роутер от провайдера, который имеет адрес 192.168.1.1 и раздает IP по DHCP в диапазоне 192.168.1.100- - сеть №0. У него есть 4 ethernet порта, в которые подключены:
1. Synology NAS со статически прописанным адресом 192.168.1.51
2. Гигабитный POE свитч Mikrotik RB260GSP, в который, в свою очередь, подключены:
2.1 Роутер Mikrotik hAp ac (Этаж №1)
2.2 Точка доступа MikroTik wAP ac (Этаж №2)
2.3 Точка доступа MikroTik wAP ac (Этаж №3)
Для точек доступа и роутера - я брал настройки по умолчанию, лишь немного их изменив, чтобы понимать к какой точке доступа я сейчас подключен по IP адресу и адресу gateway (их я прописал разные), т.к. везде название WiFi сети и пароль я поставил одинаковые, чтобы переподключение происходило автоматически.
В итоге везде есть интернет, но подключаясь к роутеру или точкам доступа - клиенты находятся в некой подсети, из которой есть доступ в интернет, есть доступ на более верхний уровень (к NAS который подключен к модему-роутеру провайдера), но нет прямого доступа к устройствам из других подсетей (находясь на разных этажах устройства не видят друг друга).
Можно ли без потери производительности объединить ВСЁ это в одну большую сеть с IP адресами 192.168.1.*** выдаваемыми модемом-роутером провайдера?
Видимо мне нужно отключить DHCP сервера на Mikrotik'ах и добавить некую маршрутизацию - но вот что именно?
При создании локальной сети не каждый администратор подходит с ответственностью к выбору диапазона адресов. А может и не каждый догадывается о наличии частных диапазонов кроме 192.168.0.0/24. И со временем такая бомба замедленного действия может дать о себе знать. Локальные сети объединяются, возникает потребность в коммуникации между хостами разных сетей. И тут выясняется, что номера сетей совпадают. И менять их по каким либо причинам проблематично или невозможно.
В таком случае, серверу, маршрутизирующему пакеты между сетями, остается сделать вид, что номера сетей различны и выдавать желаемое за действительное. В богатом арсенале Linux есть средства для таких манипуляций: iptables с NETMAP и утилита ip.
Из сети LAN1 мы хотим послать пакет в сеть LAN2. Но мы не можем послать его в сеть, номер которой одинаков с нашим. В самом частом случае 192.168.0.0/24. Если такой пакет появится в LAN1, он не будет знать, что есть LAN2, он будет искать такую машину в LAN1. Таковы правила маршрутизации по умолчанию.
Значит, надо посылать пакеты с другими адресами, которые уйдут в роутер.
Как это должно вглядеть для наблюдателя из LAN1
Например, пользователь сети LAN1 будет видеть сеть LAN2 как 10.8.1.0/24. Тут уже никакого пересечения адресов. LAN1 доволен.
Как это выглядит с обеих сторон
Из LAN1 приходит пакет с адресом отправителя 192.168.0.100 и адресом назначения 10.8.1.200. Из роутера с интерфейса LAN2 выходит тот же пакет с адресом отправителя 10.8.1.100 и с адресом назначения 192.168.0.200. Пакет проходит до адреса назначения и тот шлет в ответ на адрес отправителя со своим адресом. Пакет уходит в роутер. В нем происходит обратное преобразование и пользователь LAN1 получает ответ с того адреса, на который отправил пакет.
Теория. Путь пакета в ядре роутера: netfilter
Здесь я попытаюсь рассказать о путешествии транзитного трафика через наш Linux-роутер. Для полного понимания процесса путешествия пакета лучше видеть схему его прохождения из Википедии по цепочкам netfilter.
Наш пакет с [источником|назначением] [192.168.0.100|10.8.1.200] попадает на сетевой интерфейс роутера и первой его цепочкой будет PREROUTING.
PREROUTING
Проходя по цепочке он попадает в таблицу PREROUTING mangle. В которой посредством iptables мы определяем интерфейс, с которого он пришел, и адрес источника. Если это наш пациент, мы его помечаем действием MARK.
После чего пакет [192.168.0.100|10.8.1.200|(marked)] попадает в таблицу nat. Эта таблица предназначена для трансляции адресов. Поскольку не существует реального адреса 10.8.1.200, то на последующем этапе маршрутизации пакет будет отброшен или уйдет в неизвестном направлении. Поэтому заменяем ему адрес назначения на тот, на который он действительно должен пойти именно тут: [192.168.0.100|192.168.0.200|(marked)]. Делается это действием NETMAP, которое заменяет номер сети по маске.
ROUTING
Пакет успешно проходит цепочку FORWARDING. Попадает опять на этап маршрутизации. Если в FORWARDING с ним ничего не случилось, а по идее не должно было. Он идет тем же путем. После чего попадает в POSTROUTING.
POSTROUTING
Без изменений доходя до таблицы nat. Мы должны изменить адрес источника. Ведь ответ на пакет [192.168.0.100|192.168.0.200] будет отправлен в локальную сеть, а не в роутер. Чтоб он попал обратно в роутер, меняем адрес источника на несуществующий [10.8.1.100|192.168.0.200]. Опять же NETMAP. После этого пакет выходит в LAN2.
С ответным пакетом проделываем обратную процедуру, чтоб он дошел до изначального источника.
Реализация
Узнаем пакет по метке и действием NETMAP в таблице PREROUTING подменяет номер сети.
В POSTROUTING NETMAP подменяет адрес источника.
После этого все обращения на подсеть 10.8.1.0/24 будут выглядеть внутри LAN2, как обращения из подсети 10.8.2.0/24.
ROUTING
Чтобы маршрутизировать пакеты по метке необходимо создать свою таблицу маршрутизации.Редактируем /etc/iproute2/rt_tables, добавляя уникальное число и название новой таблицы.
256 netmap
Далее надо добавить правило, по которому в эту таблицу будут направляться пакеты на маршрутизацию.
Теперь помеченные пакеты будут уходить на маршрутизацию в таблицу netmap.
И последним шагом нужно определить маршруты в таблице netmap.
Или можно указать в особом случае отдельный шлюз, если в эту сеть трафик от роутера идет через него. Что-то в духе:
Пока рано радоваться, к нам придет ответ из LAN2 [192.168.0.100|10.8.2.200].
Надо сделать все тоже самое, но только преобразовать обратно. Увы, netfilter сам этого не делает. Все действия уже описаны, приведу только последовательность команд для преобразования адресов в одну и в обратную сторону. (В первой таблице маршрутизации необходимости в данном случае нет, но при иных обстоятельствах может понадобиться.)
Результаты
Вот что пишет tcpdump (первый пример с vnc, второй с пингом):
12:46:46.358969 IP 192.168.0.100.41930 > 10.8.1.200.5900: Flags [P.], seq 647:657, ack 261127, win 1213, options [nop,nop,TS val 460624 ecr 171318], length 10
12:46:46.358978 IP 10.8.2.100.41930 > 192.168.0.200.5900: Flags [P.], seq 647:657, ack 261127, win 1213, options [nop,nop,TS val 460624 ecr 171318], length 10
12:46:46.505847 IP 192.168.0.200.5900 > 10.8.2.100.41930: Flags [.], ack 657, win 64879, options [nop,nop,TS val 171320 ecr 460624], length 0
12:46:46.505861 IP 10.8.1.200.5900 > 192.168.0.100.41930: Flags [.], ack 657, win 64879, options [nop,nop,TS val 171320 ecr 460624], length 0
12:47:46.363905 IP 192.168.0.100 > 10.8.1.200: ICMP echo request, id 2111, seq 1, length 64
12:47:46.363922 IP 10.8.2.100 > 192.168.0.200: ICMP echo request, id 2111, seq 1, length 64
12:47:46.364049 IP 192.168.0.200 > 10.8.2.100: ICMP echo reply, id 2111, seq 1, length 64
12:47:46.364054 IP 10.8.1.200 > 192.168.0.100: ICMP echo reply, id 2111, seq 1, length 64
Tcpdump отлично демонстрирует, как происходит преобразование адресов на входе в один интерфейс и на выходе в другой и в обратную сторону.
Так же отлично работают остальные сервисы, типа Samba и ее аналог на Windows.
Если соединение между сетями организовано посредством туннеля OpenVPN, то для правильной маршрутизации со стороны клиента в конфиг сервера необходимо добавить дополнительный маршрут через туннель.
push "route 10.8.1.0 255.255.255.0"
Warning!
При отладке конфигурации не пытайтесь законнектиться к серверу, на котором шлюз. Соединяйтесь с машинами за ним в LAN2.
И вот почему. Правила расчитаны, что пакет будет проходить через шлюз, i. e.
PREROUTING -> Маршрутизация -> FORWARD -> Маршрутизация -> POSTROUTING
Если пакеты будут адресованы 10.8.2.1 (серверу), то они в результате маршрутизации пойдут в цепочку INPUT и преобразование адреса источника в POSTROUTING не будет выполнено.
PREROUTING -> Маршрутизация -> INPUT -> Приложение
Соответственно, адрес источника не будет измненен и ответ будет послан не на 10.8.2.xy, а на 192.168.0.xy — на маршрут по умолчанию для этого диапазона, т. е. в LAN2, а не в LAN1.
Читайте также: