"Назначение" публичного IP на машину в локальной сети

Question

Так что я недавно начал играть с Windows Server, до сих пор отлично работал, затем я в основном ударился о кирпичную стену, когда попытался настроить VPN.

Проще говоря, у меня есть 4 общедоступных IP-адреса, которые я приобрел у своего интернет-провайдера, и я хотел бы полностью назначить один из этих адресов машине Windows Server.

Я пробовал переадресацию DNS, создавал прокси-ARP и создавал правило NAT 1:1 для моего брандмауэра, и я пробовал просто переадресовывать порты, но, похоже, это не работает. Не уверен, что я делаю не так.

Мой роутер работает под управлением pfSense.

Любые выводы пригодятся, спасибо!

Answer 1

Есть несколько возможностей, в зависимости от того, как интернет-провайдер настроил ваше соединение.

1. Вы назначаете общедоступный адрес маршрутизатору, DNAT (переадресация портов) для всех соответствующих портов на обычный адрес локальной сети сервера, а также SNAT для всех исходящих соединений. (В pfSense «1: 1 NAT» охватывает оба сразу.) Это работает независимо от того, что ожидает провайдер, но, конечно, вы все еще за NAT. Прокси-ARP не используется, потому что "проксирование" не происходит: маршрутизатор уже генерирует легальные ответы ARP в этой настройке.

2. Вы назначаете публичный адрес непосредственно вашему серверу, а затем добавляете маршрут маршрутизации на маршрутизаторе (с адресом в качестве пункта назначения, локальной сетью в качестве интерфейса и без шлюза). NAT не нужен. Примечание: я боюсь, что pfSense не поддерживает добавление маршрутов ссылок через веб-интерфейс или, по крайней мере, делает это неочевидным.

   • Если интернет-провайдер ожидает, что этот адрес будет "подключен", т. Е. Непосредственно назначен маршрутизатору, необходимо также включить прокси-ARP на маршрутизаторе (чтобы интернет-провайдер думал, что он все еще подключен).

   • Если интернет-провайдер направил адрес через другой ваш адрес, прокси-ARP не нужен.

   • Если подключение к глобальной сети является «точка-точка» (например, PPPoE), прокси-ARP не требуется либо, потому что нет ARP в этом типе соединения.

Во всех случаях "переадресация DNS" - совершенно неправильный инструмент. (В pfSense «DNS-сервер пересылки» в основном является более старым вариантом функции "DNS resolver" - последний использует Unbound, а первый использует dnsmasq.)

---

Как вы узнаете, что ожидает ISP (при условии, что WAN-соединение похоже на Ethernet, а не точка-точка)?

• Во-первых, маршрутизатор должен иметь функцию "захвата пакетов" (или "анализатор пакетов"), такую как tcpdump . Вам также понадобится способ пинговать или иным образом связываться с адресом из внешней системы (должны работать различные общедоступные веб-сайты "зазеркалье"). Кроме того, убедитесь, что маршрутизатору не назначен адрес, и что у него не активен прокси-ARP.

• Пока внешняя система отправляет пакеты на адрес, проверьте, что видит ваш маршрутизатор. Если от данного интернет-провайдера поступают ARP-запросы для этого адреса, то ожидается, что он будет "подключен" (и отсюда вытекает требование прокси-ARP). Если их нет, а реальные пакеты просто приходят с MAC-адресом вашего маршрутизатора в заголовке, тогда IP-адрес маршрутизируется отдельно.

• Опять же, это не относится к PPP / PPPoE: этот тип соединения вообще не использует ARP (и, следовательно, не требует прокси-ARP); в любом случае пакеты будут просто проходить через туннель.

Answer 2

Во-первых, вы получили 4 полезных IP-адреса?

Как в 4 IP, плюс один IP для широковещания и один IP для идентификатора сети. Итак 6 всего?

Или вы получили 4 IP-адреса, скажем, 4.3.2.0, 4.3.2.1, 4.3.2.2, 4.3.2.3

Я предполагаю последнее, в последнем случае:

• 4.3.2.0 - это идентификатор вашей сети, который на самом деле не используется.
• 4.3.2.1 обычно будет IP вашего шлюза (например, внутренний IP вашего модема)
• 4.3.2.2 будет единственным IP-адресом, который у вас есть для бесплатного использования (как, например, назначьте его на ваш единственный компьютер).
• 4.3.2.3 будет широковещательный адрес.

Если я ошибаюсь, пожалуйста, укажите настройку в своем посте. Не включайте IP-адреса, не стесняйтесь писать свой IPS, который вы получили как aaa.bbb.132.32-5/252.

Если вы намерены использовать как NAT, так и обычную IP-адресацию, также упомяните об этом.

^{Теперь, если бы я мог использовать только разметку в комментариях, это было бы опубликовано как комментарий, а не как догадка о том, что такое установка.}