D-Link DFL 게이트웨이를 통해 서버 게시

나는 wan 인터페이스에 연결되지 않은 IP 주소로 D-Link DFL 라우터에 서비스를 게시하는 작업을 수행했습니다. 하지만 인터넷에서 이 문제를 해결할 수 있는 지침을 찾을 수 없어서 직접 작성했습니다.

초기 데이터(모든 주소는 예시로 사용됨)

IP가 있는 내부 네트워크의 웹 서버: 192.168.0.2 (포트 8080).
공급자가 할당한 외부 화이트 주소 풀: 5.255.255.0/28, 공급자 게이트웨이: 5.255.255.1, 나머지 "우리" 주소 5.255.255.2-14.

주소를 보자 5.255.255.2-10 NAT 및 기타 요구 사항에 사용합니다. 공급자 링크가 포트에 연결되어 있습니다. wan1. 인터페이스하려면 wan1 주소가 연결됨 5.255.255.2.

작업: 내부 웹 서버를 공개 주소에 게시 5.255.255.11, 항구에서 80.

해결책은 간단합니다

인터페이스 주소와 일치하지 않는 IP에 서비스를 게시하려면 다음이 필요합니다.

1. 게시된 IP를 내부적으로 검색해야 함을 라우터에 표시합니다. 라우팅 테이블.
2. 출판 ARP라우터는 게시된 주소가 자신에게 속해 있다고 이웃에게 응답합니다.
3. 방화벽 규칙(SAT), 라우터 내부에서 대상 주소를 최종 서버의 주소로 변경합니다.
4. 외부 인터페이스에서 라우터 내부에 게시된 주소로의 연결을 허용하는 방화벽 규칙(허용)

이제 각 요점에 대해 조금 더 자세히 설명하겠습니다.

훈련

I. 먼저, 우리의 모든 요구에 맞는 "객체"를 생성해 보겠습니다(이제 웹 인터페이스에 대한 프로세스를 보여 드리겠습니다. 콘솔을 사용하는 사람들은 작업을 콘솔 명령으로 전송할 수 있을 것입니다).

1. 주소록에 두 개의 ipv4 주소를 추가합니다.
웹 서버 = 192.168.0.2
공개 웹 서버 = 5.255.255.11

2. 그런 다음 서비스 목록에 포트를 추가합니다.
int_http = TCP:8080

포트 TCP:80 라는 서비스 목록에 이미 존재합니다. HTTP, 에는 제한이 있습니다. 2000 세션 제한은 조정될 수 있습니다.

ой내부 네트워크에는 서버 포트를 추가할 필요가 없다는 사실이 밝혀졌는데, 그 이유는... 공용 포트에 대한 예가 필요할 수 있지만 동일한 방식으로 추가됩니다.

II. 솔루션으로 직접 이동해 보겠습니다.

항목 1 и 2 결합할 수 있기 때문에 Static Route 추가시 즉시 ARP 제공이 가능합니다. 솔직히 말해서 저는 이 기회를 즉시 보지 못했고 라우터에도 그러한 기능이 있습니다.

1. 따라서 아직 여러 라우팅 테이블과 이에 대한 규칙을 만들지 않은 경우 기본 라우팅 테이블에서 모든 작업을 수행할 수 있습니다. 본관.

테이블 본관네트워크에 대한 기본 경로가 있습니다 5.255.255.0/28 인터페이스 당 wan1. 그리고 측정항목 이 경로의 인터페이스 설정에 지정된 메트릭과 일치합니다(기본적으로 100).

게이트웨이가 패킷을 인터페이스로 다시 보내는 것을 방지하려면 wan1, 해당 주소에 대한 고정 경로를 생성해야 합니다. 공개 웹 서버 인터페이스에 core 미터법이 적은 100 (더 작은 인터페이스 메트릭 wan1) - 그러면 게이트웨이는 "자체 내부"에서 해당 항목을 찾습니다.

2. 여기에서 경로를 생성할 때 게이트웨이가 ARP 요청에 응답하도록 프록시 ARP를 구성할 수 있습니다. 프록시 ARP 탭에서 WAN 인터페이스를 추가합니다.

경로를 생성하되 확인을 클릭하지 말고 두 번째 프록시 ARP 탭으로 이동합니다.

ARP, 인터페이스 추가 wan1:

3.마지막으로 NAT 및 방화벽 설정으로 넘어갑니다(이 내용은 이미 웹사이트 dlink.ua의 지침).

인터페이스의 패킷에서 SAT 규칙을 만듭니다. wan1 목적지 주소가 있는 공개 웹 서버 목적지 항구 HTTP, 인터페이스에 대한 경로를 구성했습니다. core, 대상 주소를 당사 서버의 내부 주소로 바꾸십시오. 웹 서버 그리고 포트를 켜세요 8080.

4. 다음 단계는 이러한 패킷을 허용하는 것입니다. 유사한 매개변수를 사용하여 허용 규칙을 생성합니다(SAT 규칙을 복사하고 작업을 허용으로 바꾸는 것이 편리합니다).

주의이 경우 규칙은 정확히 다음 순서로 이루어져야 합니다. 첫 번째 SAT, 그 다음 허용:

SAT 규칙은 허용 규칙보다 위에 있어야 합니다. 이는 패킷이 허용 또는 거부 규칙에 속할 때 "규칙" 테이블을 더 이상 통과하지 않기 때문입니다.

dlink.ua
이 경우 공용 포트 및 주소에 대한 허용 규칙도 생성됩니다.

허용 규칙의 프로토콜, 인터페이스 및 네트워크 매개변수는 "SAT" 작업이 있는 규칙과 동일합니다.

내가 보기에는 패킷이 이미 한 줄 전에 SAT 규칙에 의해 처리되었고 대상 주소와 포트가 새로운 것 같았지만 아니요, 다른 모든 규칙이 처리된 후 언젠가 교체가 발생하는 것 같습니다.

В D-link의 지침 SAT의 기능은 많은 흥미로운 가능성을 제시합니다. 내 목표는 이 지침과 다른 지침에서 다루지 않은 문제를 다루는 것이었습니다. 지침이 유용하고 이해하기 쉽기를 바랍니다.

출처 : habr.com