LAN to WAN — настройка двух отдельных сетей/подмасок на одном маршрутизаторе

Question

Маршрутизатор один[...] Я не уверен, нужно ли мне что-то настраивать, и если да, то что именно настраивать, чтобы превратить это в «изолированную» сеть.

Брандмауэр.

Ваша схема подключает маршрутизатор 2 через локальную сеть маршрутизатора 1, поэтому он сможет получить доступ ко всему, что находится в локальной сети маршрутизатора 1.

С точки зрения маршрутизатора 1, маршрутизатор 2 имеет точно такой же доступ к LAN1.x маршрутизатора 1, как и любое другое устройство; оннеполучить изолированный путь к Интернету только потому, что это маршрутизатор.

С точки зрения router2, LAN1.x выглядит просто как часть "WAN" router2. По умолчанию router2 будет запрещать соединения "WAN→LAN" (т.е. LAN1.x→LAN2.x), но разрешит LAN2.x→LAN1.x, потому что думает, что это просто "LAN→WAN". (Так что комментарий harrymc здесь на 50% верен.)

Изменение сетевых масок не даст никакого эффекта. Единственные способы избежать этого:

Для большинства ситуаций: добавьте правило брандмауэра на маршрутизаторе.2запретить доступ из своей локальной сети в локальную сеть маршрутизатора 1. Например:
```
1.   from 192.168.2.0/24   to 192.168.1.0/24   deny
2.   from any              to any              allow
```
Вероятнее всего, маршрутизатор 2 уже имеет записи брандмауэра, запрещающие доступ в противоположном направлении — он считает, что это часть «WAN», а практически все домашние маршрутизаторы на рынке по умолчанию запрещают доступ WAN→LAN.
Для маршрутизаторов более высокого класса: Настройте маршрутизатор 1 так, чтобы он имелдваLAN, один для обычных устройств, один для нисходящей линии связи только к маршрутизатору 2. Тогда брандмауэр маршрутизатора 1 сможет блокировать трафик между двумя LAN, при этом все еще разрешая доступ в Интернет. Это немного сложнее и необходимо только в том случае, если сам маршрутизатор 2 не является доверенным.

Я думаю, что маска подсети в порядке, но я не уверен, приведет ли назначение IP-адресов до 254 к сбою при настройке маршрутизатора 2.

Нет. У них обоих разные сетевые префиксы (192.168.1.0/255.255.255.0 и 192.168.2.0/255.255.255.??). Почему они могут конфликтовать?

Хотя это DHCP-сервер для обоих (я так думаю. Запутался в настройках DHCP, описанных ниже).

Нет, это не так. DHCP-запросы доходят только до ближайшего маршрутизатора; они не пересекают границы подсети. (Чтобы это произошло, нужно явно настроить DHCP-«ретранслятор».)

(Я имею в виду, если вы пытаетесь изолировать сеть A от сети B, почему запросы DHCP обходят эту изоляцию?)

Маршрутизатор два[...] Маска подсети: 255.255.255.128

Это работает, но кажется неоправданно маленьким (дает только адреса 0–127). Было бы неплохо использовать обычный 255.255.255.0 (/24) – он не будет конфликтовать с маршрутизатором 1.

Я не уверен, нужно ли включать сетевой DHCP на маршрутизаторе 2,

Если вы хотите, чтобы устройства LAN router2 могли использовать DHCP, то да, router2 должен предоставлять DHCP. Как упоминалось выше, запросы DHCP не пересекают границы сети.

и меня смущает возможность выбора «DHCP» в качестве типа подключения к Интернету, а также настройка сети.

Тип интернет-подключения определяет поведение интерфейса WAN: если вы его выберете, этот интерфейс будет действовать как DHCP.клиентдля получения собственного WAN-адреса маршрутизатора. В вашем случае это необязательно, подойдет как статический, так и DHCP.

Это полностью отделено от настройки интерфейса локальной сети, которая обычно настраивает DHCP.серверкоторый предоставляет IP-адреса другим подключенным к нему устройствам.

Работает ли эта конфигурация? Нужна ли мне дополнительная настройка, чтобы маршрутизатор 1 использовал нижнюю часть диапазона IP, а маршрутизатор 2 — верхнюю, или это происходит автоматически?

"The" IP range? Они не делят IP range. У вас есть два независимых IP ranges, 192.168.1.0–192.168.1.255 для маршрутизатора 1 и 192.168.2.0–192.168.2.127 для маршрутизатора 2. Этого уже достаточно, и вам не нужно делать ничего с "нижней частью/верхней частью".

Также, будут ли работать 192.168.2.1 для маршрутизатора 2 и 192.168.2.X для других устройств?

Да, это сработает.

(Обратите внимание, что «X» в настоящее время ограничен значением 126 из-за выбранной вами маски сети 255.255.255.128, но вы можете безопасно изменить ее обратно на 255.255.255.0, чтобы решить эту проблему.)

Answer 1