EDITAR:Eu sei como usar o NAT, quero especificamente que o servidor seja acessível em dois IPs, um privado e outro público, com o firewall do OpenWRT no meio, se possível.
No escritório recebemos um /29 do nosso ISP. O primeiro endereço é reservado para o endpoint, então posso usar cinco endereços.
Executamos uma rede local, então é claro que há um roteador entre a execução do OpenWRT para fornecer a todos os hosts (W)LAN (dhcp de um intervalo privado).
No entanto, também temos um servidor executando o OS X Server 10.6 (Snow Leopard) e gostaria que esse servidor fosse acessível tanto pela LAN usando um IP privado quanto pela WAN em seu próprio IP público.
O ponto importante é que o servidor possui apenas uma porta de rede; portanto, vários NICs não são uma opção, infelizmente.
Como eu faria isso?
Responder1
Embora você certamente possa usar o NAT para simplesmente DNAT um endereço público para a máquina OS X, haveria problemas com protocolos quebrados pelo NAT ou com interconexão de host assim que você desejasse mais de uma máquina na "DMZ".
Você poderia configurar uma DMZ "adequada" usando uma combinação de algumas técnicas avançadas de rede, nomeadamente
- VLANs para que seu servidor OS X não precise de NICs físicas adicionais
- ProxyARP para rotear pacotes IP entre redes com as mesmas características de endereço de rede/máscara de sub-rede
O esboço básico:
- definir um novoVLAN para DMZe uma nova interface virtual com o mesmo endereço IP da sua interface wan no seu dispositivo OpenWRT
- certifique-se de que a porta onde sua máquina OS X está conectada ao roteador OpenWRT esteja definida como um membro marcado (ou seja, tenha um
tanexo noLinha de definição de VLAN) - configurar uma interface virtual com o mesmo ID de VLANconforme definido anteriormente para a DMZ no seu servidor OS X
- configure o endereço IP do espaço de endereço que você deseja usar na interface DMZ virtual do servidor OS X e adicione uma rota padrão através do endereço público OpenWRT
- configure as rotas de acordo e habilite o proxy arpna máquina OpenWRT
- não se esqueça deconfigurar filtrospara sua DMZ recém-criada
Isso levará algum tempo e testes de sua parte e a parte ProxyARP precisará de alguns scripts básicos para se tornar persistente, pois não pode ser configurada com UCI.
Responder2
Nunca usei OpenWRT, mas é possível usar o encaminhamento NAT:
http://wiki.openwrt.org/doc/uci/firewall#forwarding.ports.destination.natdnat