სერვერის გამოქვეყნება D-Link DFL კარიბჭის საშუალებით

მე მქონდა დავალება - გამომექვეყნებინა სერვისი D-Link DFL როუტერზე IP მისამართით, რომელიც არ არის მიბმული wan ინტერფეისთან. მაგრამ მე ვერ ვიპოვე ინსტრუქციები ინტერნეტში, რომელიც ამ პრობლემას მოაგვარებდა, ამიტომ დავწერე ჩემი.

საწყისი მონაცემები (მაგალითად აღებულია ყველა მისამართი)

ვებ სერვერი შიდა ქსელში IP-ით: 192.168.0.2 (პორტი 8080).
პროვაიდერის მიერ გამოყოფილი გარე თეთრი მისამართების ფონდი: 5.255.255.0/28, პროვაიდერის კარიბჭე: 5.255.255.1, დარჩენილი "ჩვენი" მისამართები 5.255.255.2-14.

მიეცით მისამართები 5.255.255.2-10 ჩვენ ვიყენებთ მას NAT და სხვა საჭიროებისთვის. პროვაიდერის ბმული დაკავშირებულია პორტთან wan1. ინტერფეისისთვის wan1 მისამართი დაკავშირებულია 5.255.255.2.

ამოცანა: გამოაქვეყნეთ შიდა ვებ სერვერი საჯარო მისამართზე 5.255.255.11, პორტში 80.

გამოსავალი მოკლეა

IP-ზე სერვისის გამოსაქვეყნებლად, რომელიც არ შეესაბამება ინტერფეისის მისამართს, დაგჭირდებათ:

1. მიუთითეთ როუტერზე, რომ გამოქვეყნებული IP უნდა მოძებნოთ შიდა გამოყენებით მარშრუტიზაციის მაგიდები.
2. განთავსების ARPრათა როუტერმა უპასუხოს მეზობლებს, რომ გამოქვეყნებული მისამართი მას ეკუთვნის.
3. firewall-ის წესი (SAT), რომელიც როუტერის შიგნით შეცვლის დანიშნულების მისამართს საბოლოო სერვერის მისამართად.
4. Firewall-ის წესი (Allow), რომელიც საშუალებას მისცემს კავშირს გარე ინტერფეისიდან როუტერის შიგნით გამოქვეყნებულ მისამართთან

ახლა კი ცოტა მეტი თითოეული წერტილის შესახებ

სასწავლო

I. პირველი, მოდით შევქმნათ „ობიექტები“ ჩვენი ყველა საჭიროებისთვის (ახლა მე გაჩვენებთ პროცესს ვებ ინტერფეისისთვის, ვფიქრობ, ვინც კონსოლთან მუშაობს, შეძლებს მოქმედებების გადატანას კონსოლის ბრძანებებზე).

1. დაამატეთ ორი ipv4 მისამართი მისამართების წიგნში:
ვებ სერვერი = 192.168.0.2
საჯარო-ვებ-სერვერი = 5.255.255.11

2. შემდეგ ჩვენ ვამატებთ პორტებს სერვისების სიაში:
int_http = tcp: 8080

პორტი tcp: 80 უკვე იმყოფება სერვისების სიაში, ე.წ http, აქვს შეზღუდვა 2000 სესიებზე, ლიმიტის კორექტირება შესაძლებელია.

ohაღმოჩნდა, რომ შიდა ქსელში სერვერის პორტის დამატება არ არის საჭირო, მაგრამ ვტოვებ იმიტომ... მაგალითი შეიძლება საჭირო გახდეს საჯარო პორტისთვის, მაგრამ ისინი დამატებულია იმავე გზით

II. გადავიდეთ პირდაპირ გამოსავალზე.

პარაგრაფი 1 и 2 შეიძლება გაერთიანდეს, რადგან სტატიკური მარშრუტის დამატებისას შესაძლებელია დაუყოვნებლივ უზრუნველყოს ARP. მართალი გითხრათ, მე მაშინვე ვერ ვნახე ეს შესაძლებლობა და პუბლიკაცია ხელით დავაყენე როუტერსაც აქვს ასეთი ფუნქციონირება.

1. ასე რომ, თუ თქვენ ჯერ არ შეგიქმნიათ მარშრუტიზაციის ცხრილების და წესების თაიგული მათთვის, მაშინ ყველაფერი შეიძლება გაკეთდეს მთავარ მარშრუტიზაციის ცხრილში, ე.წ. მთავარი.

მაგიდა მთავარიიქნება ნაგულისხმევი ბილიკი ქსელში 5.255.255.0/28 თითო ინტერფეისი wan1. და მეტრიკა ამ მარშრუტი ემთხვევა ინტერფეისის პარამეტრებში მითითებულ მეტრიკას (ნაგულისხმევად 100).

იმისათვის, რომ კარიბჭე არ გამოაგზავნოს პაკეტები ინტერფეისში wan1, თქვენ უნდა შექმნათ სტატიკური მარშრუტი მისამართისკენ საჯარო-ვებ-სერვერი ინტერფეისამდე ძირითადი ნაკლები მეტრიკით 100 (მცირე ინტერფეისის მეტრიკა wan1) - მაშინ კარიბჭე დაეძებს მას "თავის შიგნით".

2. იქ, მარშრუტის შექმნისას, შეგიძლიათ დააკონფიგურიროთ Proxy ARP ისე, რომ კარიბჭე პასუხობდეს ARP მოთხოვნებს. Proxy ARP ჩანართზე დაამატეთ WAN ინტერფეისი.

შექმენით მარშრუტი, მაგრამ არ დააწკაპუნოთ OK, არამედ გადადით მეორე Proxy ARP ჩანართზე:

ARP, დაამატეთ ინტერფეისი wan1:

3. და ბოლოს, ჩვენ გადავდივართ NAT-ის და firewall-ის დაყენებაზე (ეს უკვე აღწერილია საკმარისად დეტალურად ინსტრუქციები ვებგვერდზე dlink.ua).

ჩვენ ვქმნით SAT წესს ისე, რომ პაკეტში ინტერფეისიდან wan1 დანიშნულების მისამართით საჯარო-ვებ-სერვერი დანიშნულების პორტი http, რისთვისაც ჩვენ დავაყენეთ მარშრუტი ინტერფეისისთვის ძირითადიშეცვალეთ დანიშნულების მისამართი ჩვენი სერვერის შიდა მისამართით ვებ სერვერი და პორტი ჩართულია 8080.

4. და შემდეგი ნაბიჯი არის ასეთი პაკეტის დაშვება - შექმენით Allow წესი მსგავსი პარამეტრებით (მოხერხებულია SAT წესის კოპირება და მოქმედების Allow-ით შეცვლა).

შენიშვნაამ შემთხვევაში, წესები ზუსტად ამ თანმიმდევრობით უნდა იყოს: ჯერ SAT, შემდეგ ნება:

გახსოვდეთ, რომ SAT წესი უნდა იყოს დაშვების წესზე მაღლა. ეს გამოწვეულია იმით, რომ პაკეტი, როდესაც ის მოხვდება დაშვების ან უარყოფის წესში, არ გადის "წესების" ცხრილში.

dlink.ua
ამ შემთხვევაში, დაშვების წესი ასევე იქმნება საჯარო პორტისთვის და მისამართისთვის:

გთხოვთ გაითვალისწინოთ, რომ პროტოკოლი, ინტერფეისი და ქსელის პარამეტრები დაშვების წესში იგივეა, რაც "SAT" მოქმედების წესში.

მეჩვენებოდა, რომ პაკეტი უკვე დამუშავებული იყო SAT წესით ადრე, და დანიშნულების მისამართი და პორტი ახალი იყო, მაგრამ არა, როგორც ჩანს, ჩანაცვლება ხდება სხვა წესების დამუშავების შემდეგ.

В ინსტრუქციები D-link-დან SAT-ის ფუნქციონირება ღრმად არის გამოვლენილი, ის ბევრ საინტერესო შესაძლებლობას იძლევა. ჩემი მიზანი იყო გამეშუქებინა საკითხი, რომელიც არ იყო გაშუქებული ამ ინსტრუქციაში და სხვა ინსტრუქციებში. იმედი მაქვს, ინსტრუქციები სასარგებლო და გასაგები იქნება.

წყარო: www.habr.com