HW100, NAT для всей локальной подсети

[Алексей Коваленко]

Здравствуйте.

Не могу разобраться с настройкой NAT на hw100.

Сеттинг такой: eth0 - DHCP, например, 192.168.9.100
eth1 - static, 10.3.37.1/24

В свойствах моего узла tunnel 10.3.37.1-10.3.37.254. Пробовал и 10.3.37.2-10.3.37.254.

Удалённый координатор не знает про мою подсеть 10.3.37.0/24, то есть должен работать NAT.

Добавлено правило NAT firewall nat add src @any dst @any change src auto

Туннелируемая подсеть за удалённым коодинатором 10.4.105.0/24 с самого моего координатора пингуется: и  inet iping и iplir ping того координатора.

С хостов в локальной подсети (открытый трафик) 10.3.370/24 открытые ресурсы доступны (то есть NAT срабатывает), а вот подсеть 10.4.105.0/24 недоступна.

При этом, в журнале пакетов, например, исходящий ICMP от адреса 10.3.37.2 отображается в событии 63 на eth1, затем в событии 45,  ответный - в событии 40, для получателя 192.168.9.100 но у всех Трансляция-нетранслированный.

То есть вроде бы со связанностью нормально, удалённый узел увидел и ответил. Но этот ICMP не доходит до 10.3.37.2, в журнале на eth1 нет ICMP пакета для 10.3.37.2

Вопрос: как настроить NAT для того, чтобы пакеты из локальной подсети 10.3.37.0/24 для туннелируемых адресов попадали тоже под NAT? Точнее, чтобы ответы попадали в NAT?

 

[R.Sheyn]

4 минуты назад, Алексей Коваленко сказал:

Здравствуйте.

Не могу разобраться с настройкой NAT на hw100.

Сеттинг такой: eth0 - DHCP, например, 192.168.9.100
eth1 - static, 10.3.37.1/24

В свойствах моего узла tunnel 10.3.37.1-10.3.37.254. Пробовал и 10.3.37.2-10.3.37.254.

Удалённый координатор не знает про мою подсеть 10.3.37.0/24, то есть должен работать NAT.

Добавлено правило NAT firewall nat add src @any dst @any change src auto

Туннелируемая подсеть за удалённым коодинатором 10.4.105.0/24 с самого моего координатора пингуется: и  inet iping и iplir ping того координатора.

С хостов в локальной подсети (открытый трафик) 10.3.370/24 открытые ресурсы доступны (то есть NAT срабатывает), а вот подсеть 10.4.105.0/24 недоступна.

При этом, в журнале пакетов, например, исходящий ICMP от адреса 10.3.37.2 отображается в событии 63 на eth1, затем в событии 45,  ответный - в событии 40, для получателя 192.168.9.100 но у всех Трансляция-нетранслированный.

То есть вроде бы со связанностью нормально, удалённый узел увидел и ответил. Но этот ICMP не доходит до 10.3.37.2, в журнале на eth1 нет ICMP пакета для 10.3.37.2

Вопрос: как настроить NAT для того, чтобы пакеты из локальной подсети 10.3.37.0/24 для туннелируемых адресов попадали тоже под NAT? Точнее, чтобы ответы попадали в NAT?

 

Что вы подразумеваете под "удаленный координатор не знает про мою сеть"?

С вашей стороны никак не настроить. SNAT для туннелированного трафика не выполняется. Если удаленная инфраструктура не знает о вашей адресации, то надо натить на удаленной стороне.

Либо делать SNAT на каком то устройстве до вашего координатора и туннелировать этот адрес.

[Алексей Коваленко]

Цитата

Что вы подразумеваете под "удаленный координатор не знает про мою сеть"?

У нас идёт слияние нескольких сетей, общий план нумерации пока не утверждён. На просьбу выделить новую подсеть, получена предварительная рекомендация "пока используйте подсеть 10.3.37.0/24 и НАТ". Я предположил, что на удалённом координаторе наша подсеть не прописана. Практика это подтверждает.

Что ж, буду добиваться честного выделения и настройки.