LAN para WAN - Configurando duas redes/submáscaras separadas em um roteador

Question

Roteador um[...] não tenho certeza se preciso configurar alguma coisa, e se sim, o que configurar para tornar isso uma rede "isolada".

O firewall.

Seu diagrama conecta o roteador 2 através da LAN do roteador 1, portanto, ele poderá acessar qualquer coisa que esteja na LAN do roteador 1.

Da perspectiva do roteador1, o roteador2 tem exatamente o mesmo acesso à LAN1.x do roteador 1 que qualquer outro dispositivo; istonãoobtenha um caminho isolado para a Internet só porque é um roteador.

Da perspectiva do roteador2, LAN1.x simplesmente parece parte da "WAN" do roteador2. Por padrão, o roteador2 negará conexões "WAN→LAN" (ou seja, LAN1.x→LAN2.x), mas permitirá LAN2.x→LAN1.x porque pensa que é apenas "LAN→WAN". (Portanto, o comentário de Harrymc está 50% correto aqui.)

A alteração das máscaras de rede não terá efeito. As únicas maneiras de evitar isso são:

Para a maioria das situações: Adicione uma regra de firewall no roteador2para negar acesso de sua LAN à LAN do roteador 1. Por exemplo:
```
1.   from 192.168.2.0/24   to 192.168.1.0/24   deny
2.   from any              to any              allow
```
Muito provavelmente, o roteador 2 já possui entradas de firewall negando acesso na direção oposta – ele pensa que isso faz parte da "WAN", e praticamente todos os roteadores domésticos no mercado negam acesso WAN→LAN por padrão.
Para roteadores de última geração: faça com que o roteador 1 tenhadoisLANs, uma para dispositivos regulares, uma para downlink apenas para o roteador 2. Então, o firewall do roteador 1 será capaz de bloquear o tráfego entre LANs entre os dois, ao mesmo tempo que permite o acesso à Internet. Isso é um pouco mais complexo e necessário apenas se o próprio roteador 2 não for confiável.

Acho que a máscara de sub-rede está correta, mas não tenho certeza se a atribuição de endereços IP até 254 travaria com a configuração do roteador 2.

Não. Ambos têm prefixos de rede diferentes (192.168.1.0/255.255.255.0 e 192.168.2.0/255.255.255.??). Por que eles entrariam em conflito?

Embora este seja o servidor DHCP para ambos (acredito. Confuso sobre as configurações de DHCP descritas abaixo).

Não, não é. As solicitações de DHCP vão apenas até o roteador mais próximo; eles não ultrapassam os limites da sub-rede. (Seria necessário configurar explicitamente o 'relay' do DHCP para que isso acontecesse.)

(Quero dizer, se você está tentando isolar a rede A da rede B, por que as solicitações DHCP ignorariam esse isolamento?)

Roteador dois[...] Máscara de sub-rede: 255.255.255.128

Isso funciona, mas parece desnecessariamente pequeno (fornece apenas os endereços 0–127). Seria bom usar o 255.255.255.0 (/24) normal – ele não entrará em conflito com o roteador 1.

Não tenho certeza se preciso que o DHCP da rede esteja habilitado no roteador 2,

Se você deseja que os dispositivos LAN do roteador2 possam usar DHCP, então sim, o roteador2 precisa fornecer DHCP. Conforme mencionado acima, as solicitações DHCP não ultrapassam os limites da rede.

e estou confuso com a opção de ter "DHCP de internet" como tipo de conexão de internet, mas também configuração de rede.

O tipo de conexão à Internet define o comportamento da interface WAN: se você escolher, essa interface atuará como DHCPclientepara obter o endereço do lado WAN do próprio roteador. No seu caso, isso é opcional, estático ou DHCP funcionará.

Isto é completamente separado da configuração da interface LAN, que normalmente configura um DHCPservidorque fornece endereços IP para outros dispositivos conectados a ele.

Essa configuração funciona? Preciso de configuração adicional para fazer com que o roteador 1 use a parte inferior do intervalo de IP e o roteador 2 use a parte superior ou isso acontece automaticamente?

"O" intervalo de IP? Eles não estão compartilhando um intervalo de IP. Você tem dois intervalos de IP independentes, 192.168.1.0–192.168.1.255 para o roteador 1 e 192.168.2.0–192.168.2.127 para o roteador 2. Isso já é bom o suficiente e você não precisa fazer nenhuma "parte inferior/parte superior" coisa.

Além disso, o 192.168.2.1 para o roteador 2 e o 192.168.2.X para outros dispositivos funcionariam?

Sim, funcionaria.

(Observe que o "X" está atualmente limitado a 126 por causa da máscara de rede escolhida 255.255.255.128 - mas você pode alterá-la com segurança de volta para 255.255.255.0 para resolver isso.)

Answer 1