Routing dvoch sieti

[Snake]

Caute network majstri, prosim help

Situacia:


Siet A: 192.168.5.0/24, GW 5.1/24
Siet B: 192.168 9.0/24, GW 9.1/24
Siet C: 10.0.0.0/8


Siet A a B je prepojena cez Site to Site IPsec VPN, tzn siet 5.0 komunikuje so sietou 9.0 v pohode, secko ok

Siet B a C je prepojena cez dalsi router ktory ma IP 192.168.9.2, staticka routa je tam nastavena:

10.0.0.0 255.0.0.0 192.168.9.2

Siet C je zapojena do WANu so statickou WAN IP a do LANu ide siet B taktiez statika (192.168.9.2)

Tzn ak si niekto zo siete B pingne, snazi sa dostat niekam na 10.X.X.X tak to ide cez 9.2 a chodi to, slape to.

V com mam problem je ten, ze siet A uz nevidi siet C, tzn 5.0 sa nevie dostat cez 9.2 na siet 10.X.X.X

Routu 10.0.0.0 255.0.0.0 192.168.9.2 som skusal nastavit na gatewayi siete A, ale ta ju ani nevie pingnut.

Uniklo mi nieco?

[mp3turbo]

strucne :
na 192.168.9.1 pridat routu 10.0.0.0/8 cez 192.168.9.2
na 10.x.x.x routri pridat routu do 192.168.5.x/24 cez prislusnu gateway, o tejto sieti nic nepises tak neviem poradit aka GW to ma byt
na 192.168.5.1 musi byt routa 10.0.0.0/8 cez 192.168.9.1 [toto asi mas, pisal si ze si to tam pridal, ale nemam potrebne detaily]
192.168.5.1 musi byt schopna kvakat s 192.168.9.1, o tomto prepojeni nic nepises, moznoze 5.1 a 9.1 je rovnake zariadenie co by bolo ideal


neodporucam na 192.168.5.1 pichnut routu do 10.x.x.x priamo cez 192.168.9.2 pretoze v buducnosti to zmenis a bude prieser. Nechaj to cez jeden hop navyse, 192.168.9.1, ktory bude sluzit ako "standartna centralna" gateway pre vsetok traffic.



obsirne :
na 192.168.9.1 musis nastavit routu 10.0.0.0 255.0.0.0 192.168.9.2 (cize gateway siete B musi vediet ako do 10.x.x.x ; pises ze si toto nastavil na gatewayi siete A ale to nestaci).

myslienka : paket dojde z 192.168.5.x na 192.168.5.1, ktora ho prehodi na 192.168.9.1 a ten uz nevie co s nou.
Ze 192.168.9.2 vie kade sa dostat na 10.x.x.x je fajn a ze to vie aj 192.168.5.1 je tiez super, ale nevie to 192.168.9.1 ktory stoji medzi nimi.


ak toto mas nastavene (nejako som to nezahliadol napisane), tak potom je problem ze 10.x.x.x nevie ako sa dostat do 192.168.5.x cize na routri 10.x.x.x chyba routa na 192.168.5.x (urcite pozna 192.168.9.x pretoze pises ze toto ti funguje, takze som si tipol ze nepozna 192.168.5.x a traffic ktory by mal ist na 5.x proste hlupo routuje na svoju default gateway co moze byt napriklad internet alebo nejaka ina cast firemnej siete ktora to uz potom zahodi).

cize myslienka2 : ak sa zo siete 192.168.5.x vies dostat cez 192.168.9.1 (povedzme ze ma nastavenu routu 10.x.x.x/8 na 192.168.9.2, neviem, overis, to je myslienka1) na 192.168.9.2 ktory zarucene vie ako sa dostat do 10.x.x.x, tak potom 10.x.x.x nevie ako sa dostat naspat.

[Snake]

"na 192.168.9.1 musis nastavit routu 10.0.0.0 255.0.0.0 192.168.9.2 (cize gateway siete B musi vediet ako do 10.x.x.x ; pises ze si toto nastavil na gatewayi siete A ale to nestaci)."

Ano, toto je nastavene, tym padom mi siet 9.0/24 komunikuje cez 9.2 do siete 10.xxxx

"na 192.168.9.1 pridat routu 10.0.0.0/8 cez 192.168.9.2"

ano je, vyssie popisane

"na 10.x.x.x routri pridat routu do 192.168.5.x/24 cez prislusnu gateway,"

nemozem, nakolko 10.x.x.x. je WAN strana a tam gateway ja neobsluhujem (predstav si to ako internet, tiez nevies spravovat router poskytovatela).

Ci nastavim na 5.1 routu na 9.1 alebo 9.2, ci interface LAN alebo WAN, nechodi to.

[Snake]

Proste kym som na sieti 9.0/24 tak sa do siete 10.../8 dostanem (lebo chodim cez 9.2 co ma 10.../8 ako WAN stranu), ak som ale na 5.0/24 tak mozem routy nastavovat akokolvek chcem (ci na 9.1 alebo 9.2, LAN aj WAN routing), nedostanem sa nikam.

Obe zariadenia samozrejme rovnake (na Site-to-site tunel)

[mp3turbo]

kedze neobsluhujes 10.x.x.x a vsetko ostatne uz bolo spravene obavam sa ze potom nemas inu moznost ako spravit NATko :

na 9.1 alebo 9.2, ked prichadza paket z 5.x a ide to 10.x, urob NAT za mna seba sameho (9.1 alebo 9.2).
Samozrejme s nejakymi problemami z NAT vyplyvajucimi tak ako vzdy ked nie je otvorena routovana siet

[Snake]

rozhodol som sa ze vyuzijem moje mspaint skillz:

Untitled.png

[Snake]

Bordove su WAN, zelene LAN, cervene je VPN, cize logika tu asi nefunguje ze ak sa z 5.0/24 chcem dostat na 10..../8 tak to musi ist cez tunel na 9.1 a tam na 9.2 a odtial do 10.../8

[mp3turbo]

podla toho co vidim nakreslene musis - ziadna ina cesta z 192.168.5.0/24 do 10.0.0.0/8 okrem cesty cez 192.168.9.1 a 192.168.9.2 nie je.
Moja logika mi iny priestor nedava : musis ist z 5.0/24 cez 9.1 na 9.2 a odtial do 10/8.

Ja tam ziadnu inu moznost nevidim. Skoda ze tvoj MSPaint skillz nenabuchal aj vsetky IPcky interfejsov na tych masinach, aby som vedel ako je prepojene 5.1 s 9.1 (public adresy samozrejme netrapia), ale ajtak je ten skillz trikrat lepsi nez moj.

Moje premisy : do 10.0.0.0/8 sa dostane jedine 192.168.9.2 a nic ine. Tak to mas teraz nakreslene.

Na 192.168.9.2 nevidim napisanu routu naspak do 192.168.5.0/24 ale predpokladam ze ta funguje, kedze si pisal ze 5.x a 9.x masinky vedia navzajom kvakat kolko len chcu. Jedine... jedine zeby na 5.1 alebo 9.1 bol spraveny nejaky NAT ktory maskuje 5.x siet pred klientami 9.x, to si nespominal takze beriem za dane ze tam ziadny NAT nie je.

Nikde. Lebo nebol spomenuty.

[Snake]

ano, prvotne som nevidel ani 9.2, tak som musel pridat routu :

192.168.5.0 255.255.255.0 192.168.9.1

zrazu ping ide, aj traffic, ale 9.2 nejako odmieta routovat to co pride z 5.0/24, napriek vsetkym routam, zaujimave je, ze routuje hocico co pride z 9.0/24 :/

NATko tam nie je, a kedze 10..../8 siet nie je v nete, ale je to MANko v podstate, nemam NAT ako prevadzkovat, potrebujem sa len dostat z 5.0 na 10... to je cele

Tiez mi gebula neberie preco to nejde ani tak ani tak, vsak ked pridam routu trebars

10.0.0.0 255.0.0.0 192.168.9.2

a pridam ju na 5.1, tak tomu debilovi musi byt jasne ze to posli na 9.2, a 9.2 tym ze ma routu naspat vidi ze aha, tu je paket ktory chce ist na moju routu 0.0.0.0 takze na WAN a mam to hladat tam.

[StarySkeptik]

Nie je potrebné sieť 10.0.0.0/8 definovať aj v IPSec Policies?

[Snake]

ja som taky debiiiiiiiil jasne

Uz to chodi , diky.

[mp3turbo]

no vida !

[Chris]

Zacal som to citat a potom nechce sa mi to citat cele kedze je to easy a to rozsirit ipsec tunel o 10. Subnet.... kedze to robim daily...

[Snake]

ty sa mi zides