Как подключиться по ip из одной подсети в другую?

Question

[Дмитрий]

Имеется такая схема сети


с ПК 100й подсети я могу попасть по IP в 1ю подсеть, а наоборот не работает, мне нужно подключатся к пк по удаленке по IP, как сделать чтобы я мог подключатся и из 1ой подсети в 100ую?

Comments

[Valentin Barbolin]

Что там за шлюз ?
192.168.1.26

[Дмитрий]

Andrey Barbolin, ideco UTM

[Valentin Barbolin]

Дмитрий, А это что за оборудование? 192.168.1.1

[Дмитрий]

Andrey Barbolin, роутер

[Valentin Barbolin]

Дмитрий, Модель можно узнать?

[Дмитрий]

Модель № TL-WR841N/TL-WR841ND

[Дмитрий]

Andrey Barbolin, это както поможет решить мою проблему??

[Valentin Barbolin]

Дмитрий, Судя по всему на 1.26 включен NAT. Соответственно есть несколько вариантов решения.
1) Отключить NAT на 1.26 и прописать статический маршрут на 1.1 в сторону 1.26 для сети 100.0/24.
2) Ничего не отключать, а пробросить на 1.26 один необходимый порт и с 1.105 подключаться на 1.26, а он будет пробрасывать порт на нужный ПК.

> это както поможет решить мою проблему???
Тебе надо прописать маршрут в сеть 100.0/24, а мне узнать умеет ли твой роутер вообще работать со статическими маршрутами, прежде чем предлогать это сделать.

[Василий]

Дмитрий, парень, ну что за вопросы. Если ты не заметил, тебе тут помочь пытаются, просто не мешай, и подкидывай инфу что просят.
Вот я сам уже собирался спрашивать за модель, а меня опередили.
У тебя 100-я сеть стучится в шлюз, шлюз знает про подсеть 1, и стучится в роутер с подсетью 1.
1-я подсеть стучится в роутер, роутер не знает про подсеть 100, и дропает запрос.
Тебе нужно настроить статический маршрут в разделе дополнительных настроек маршрутизации.

[Дмитрий]

Василий, все я заметил за что вам и Andrey Barbolin вам огромное спасибо)

[Дмитрий]

ID IP-адрес назначения Маска подсети Основной шлюз
1 192.168.100.0 255.255.255.0 192.168.100.1
это прописал в роутере

пинг выдает заданный узел недоступен
Василий, Andrey Barbolin чтото я не то делаю похоже

[Valentin Barbolin]

Дмитрий,
ID IP-адрес назначения Маска подсети Основной шлюз
1 192.168.100.0 255.255.255.0 192.168.1.26

[Ragnar Black]

Обычно в таких случаях мешает firewall. Попробуйте отключить его и проверить. если заработало, то добавьте разрешающее правило

Answer 1

[Руслан Федосеев]

если коротко - https://linkmeup.ru/sdsm/

Comments

[Дмитрий]

там все замечательно описано в условиях циски, а в моем случае это обычный ви-фи маршрутизатор

[Илья лук]

Дмитрий, В циске ИП или езернет как то по другому работает?

[Руслан Федосеев]

там можно научиться и понять как работает сеть и маршрутизация. Не привязываясь к конкретному оборудованию

[Дмитрий]

Илья лук, работает также, но что мне нужно сделать

[Дмитрий]

Руслан Федосеев, это замечательно, но сейчас есть конкретная проблема, которую я хочу решить не вспоминая славные деньки вв шараге и не перечитывая кучу материала с 0

[Руслан Федосеев]

ок. У вас на шлюзе не прописана маршрутизация.

[res2001]

Руслан Федосеев,

У вас на шлюзе не прописана маршрутизация.

Думаю, что это не совсем так, т.к. автор пишет:

с ПК 100й подсети я могу попасть по IP в 1ю подсеть

Дмитрий, Прокомментируйте подробней этот момент. Что значит попасть в 1 подсеть? Как вы туда попадаете? Пингуете или еще что? Какие конкретно адреса пингуете и откуда?

Возможно тут просто правила фаервола блокируют трафик. Попробуйте отключить фаерволы на обоих тестируемых компах (из разных подсетей) и проверьте прохождение пингов в обе стороны.

[Дмитрий]

res2001, я из сотой попадаю на файловую помойку с адресом 1.2 а из первой подсети мне нужно поудаленке поподать на пк и на сам шлюз, шлюз имеет адрес 100.1:8443 а к пк через прогу удаленного доступа

[res2001]

Дмитрий,

я из сотой попадаю на файловую помойку с адресом 1.2

Значит с маршрутизацией все нормально - маршруты везде прописаны.
Не совсем понятно, что за "удаленка". RDP?
Попробуйте мой совет выше с отключением фаерволов (только для теста, конечно). Если с отключенными на обеих сторонах фаерволами вы будете нормально подключаться, значит нужно правильно настроить правила фаерволов. Так же возможно вмешивается фаервол на шлюзе.
Что бы попасть на шлюз из 1ой подсети, вы должны использовать адрес шлюза из этой же подсети (у него же адреса в обеих подсетях есть).

Для проверки доступности компа проще всего использовать утилиту ping:
ping <IP адрес удаленного компа>
Утилита несколько раз пытается проверить доступность удаленного IP с помощью пакета ICMP ECHO Request, ждет ответа на запрос и печатает отчет об этом. Если пинги проходят, то и любой другой трафик будет проходить - вопрос только в настройке фаерволов. Ответы на пинги отправляет ядро ОС (т.е. не требуется что бы на удаленном компе было что-то запущено, кроме ОС), этот функционал встроен в стек TCP/IP, но как ответы так и запросы могут быть заблокированы фаерволом.

[Руслан Федосеев]

для начала - скажите что такое шлюз.
а то у вас там пробежала фраза "обычный ви фи маршрутизатор"....

[Дмитрий]

Руслан Федосеев, шлюз програмное решение ideco utm которое пропускает через себя весь трафик и отдает его пользователям, стоит на виртуалке в гипервизоре proxmox

[Руслан Федосеев]

И там скорее всего NAT из 100-й сети в 1-ю... Вот вы туда и попадаете. А обратно - нет
Или проброс портов на шлюзе, или научить его роутить сети.

[Дмитрий]

res2001, ping есть, но только до шлюза, до ПК пинга нет заданная сеть недоступна, отключил все файрволы и брандмауэры
удаленка это программы anydesk и LiteManager

[res2001]

Дмитрий,

удаленка это программы anydesk и LiteManager

Чем не устраивает стандартный виндовый удаленный раб.стол? Впрочем, это к проблеме отношения не имеет.

ping есть, но только до шлюза

А что с пингом в обратную сторону? Всегда надо проверять обе стороны, т.к. фаерволы по разному обрабатывают входящий и исходящий трафик, а так же ответы на исходящий трафик.

И надеюсь NATа на шлюзе все таки нет. Он там не нужен. Разве что между этими двумя сетями есть еще что-то кроме шлюза.

[Дмитрий]

res2001,
из 1 в 100 Ответ от 192.168.1.26: Заданная сеть недоступна.
из 100 в 1 Превышен интервал ожидания для запроса

поповоду NAYa я сейчас вырубил файрвол впринципе так что блокировать не должон, единственное что считается ли подсеть 1 по отношению к подсети 100 внешней, тогда NAT есть

[res2001]

Дмитрий,

из 1 в 100 Ответ от 192.168.1.26: Заданная сеть недоступна.
из 100 в 1 Превышен интервал ожидания для запроса

Ну вот, а вы писали

с ПК 100й подсети я могу попасть по IP в 1ю подсеть

А похоже, что не доступна. Возвращаемся к маршрутизации.

В вашем случае сети, конечно, внешние по отношению друг к другу, т.к. для связи используется шлюз.
Наличие или отсутствие NATа никак с этим фактом не связано. Если между сетями только 1 шлюз, то NAT скорее всего не нужен. NAT может быть встроен в ПО шлюза.

Если NAT есть на одном интерфейсе, то, видимо, в эту сторону вы и можете попадать. А обратно нет - NAT блокирует.
По уму надо убрать NAT и настроить стандартную маршрутизацию.

[res2001]

Дмитрий, К слову, дополнительный софт на шлюзе не то что бы нужен. Если он не выполняет каких-то дополнительных, необходимых вам, функций.
Винда умеет сама маршрутизировать сети (пересылать пакеты с одного интерфейса на другой), а так же виндовый фаервол то же нормально справляется со своими задачами. Это все умеет делать даже обычная десктопная винда Home версии. Я уж молчу про какой-нибудь линукс.
NAT, DHCP и т.п. сетевые сервисы есть в Windows Server.

[Дмитрий]

res2001, включил обратно на шлюзе файрвол и SNAT пинги пошли, но неполучается получить доступ к шлюзу из первой подсети по адресу 100.1:8443
сейчас смотрю настройки SNATa может там чего упустил

[res2001]

Дмитрий, У вас этот шлюз какую роль выполняет? Он только маршрутизирует 2 сети? Делает еще что-то? Интернет, например через него ходит?
NAT вешается на какой-либо сетевой интерфейс. Например на выходе в интернет NAT скорее всего нужен. На интерфейсах внутренних сетей NAT скорее всего не нужен.
Если при выключенном NAT у вас пинги не идут - значит надо разбираться с маршрутизацией, а не дергать NAT.
Приведите таблицу маршрутизации на компе из 100 сети и на компе из 1ой сети. route print
На шлюзе маршруты должны быть, т.к. он имеет адреса из обеих сетей на своих локальных интерфейсах.
Фаерволы на время работ выключите на всех компах с которыми работаете.

[Руслан Федосеев]

вы выключаете фаервол и нат - пинги не идут. Включаете - идут.
Вывод - у вас шлюз выполняет нат из 100-й сети в 1-ю.
Вам надо. Настроить корректно нат, чтобы он не натил трафик из 100-й сети в 1-ю, а маршрутизировал, причем в обе стороны.
Как это сделать - читаем документацию по шлюзу.
По вашему рисунку схему сети вообще понять невозможно, оно так работать не должно в принципе.

Окончательный совет - позовите системного администратора. Или наймите специалиста. Ну или учитесь сами, с чего начать обучение - пример я написал в самом начале.

[Дмитрий]

res2001, шлюз фильтрует интернет для пользователей, схема сети: перед шлюзом стоит маршрутизатор который отдает инет на комп первой подсети и на сервер со шлюзом для 100ой подсети

[Дмитрий]

Руслан Федосеев, спасибо, уже читаю

[res2001]

Дмитрий, Перед шлюзом с какой стороны? У интернет маршуртизатора какой адрес на внутреннем интерфейсе?
Из вашего пояснения сложно что-то понять, лучше оперировать адресами.
Получается, что на шлюзе 3 сетевых интерфейса?
1. 192.168.1.26
2. 192.168.100.1
3. интерфейс подключенный к интернет маршрутизатору. Какой адрес?
Правильно?

[Дмитрий]

маршрутизатор(роутер) 192.168.1.1 от него идет комп напрямую 192.168.1.105 и шлюз который имеет два интерфейса внешний 192.168.1.26(вот этот получает интернет от маршрутизатора) и внутренний 192.168.100.1 res2001,

[res2001]

Дмитрий, Ок. Значит интернет маршуртизатор находится в сети 192.168.1.0.
Тогда на маршрутизаторе 192.168.1.26 NAT не нужен в принципе. Он на интернет шлюзе уже есть. Внутренние сети NATить не нужно. Просто прописываем маршруты.

Что надо сделать:
1. На маршрутизаторе 192.168.1.26:
1.1. Выключить NAT в Ideco
1.2. Установить значение в реестре HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\IPEnableRouter в 1
Если значение уже равно 1, то ничего не делаем.
Если параметра IPEnableRouter в этой ветке нет, то надо его создать вручную, тип параметра REG_DWORD.
Думаю, что у вас тут уже установлена 1.
Это значение включит маршрутизацию (т.е. разрешит пересылку пакетов с одного интерфейса на другой) на компе.
Если значение было изменено или параметр добавлен, то надо перезагрузить комп, чтоб изменения вступили в силу.
2. Проверить таблицу маршрутизации на компах в сети 192.168.1.0 (кроме маршрутизатора 192.168.1.26).
Если в таблице нет маршрута до сети 192.168.100.0, то добавить маршрут.
2.1. Добавить маршрут к сети 192.168.100.0 через маршрутизатор 192.168.1.26.
Вручную это можно сделать командой:

route -p add 192.168.100.0 mask 255.255.255.0 192.168.1.26

Если адреса на компах в сети 192.168.1.0 выдаются динамически, то можно этот маршрут добавить в опции DHCP, тогда он будет распространятся автоматически. Для тех же целей можно использовать GPO, если в сети развернута AD.
3. Для компов внутри сети 192.168.100.0
3.1. Думаю, что в этой сети у вас на компах шлюзом по умолчанию назначен 192.168.100.1, в этом случае ничего делать не нужно
3.2. Иначе нужно прописать маршрут до сети 192.168.1.0 через 192.168.100.1, аналогично п.2. Или назначить шлюзом по умолчанию 192.168.100.1.
4. На интернет роутере 192.168.1.1 нужно добавить статический маршрут до сети 192.168.100.0/24 через шлюз 192.168.1.26. Оюбычно это делается через веб интерфейс. Возможно так же понадобиться добавит в фаервол на роутере разрешающие правила для сети 192.168.100.0.

[res2001]

Дмитрий, После вышеописанных манипуляций при отключенных фаерволах у вас должен ходить любой трафик между двумя сетями, а так же сеть 192.169.100.0 возможно будет выходить в интернет (если назначен шлюз по умолчанию 192.168.100.1).
Дальше по одному включаете фаерволы и проверяете прохождение необходимого трафика. Если где-то блокируется, то добавляете соответствующие правила в фаервол и таким образом добиваетесь прохождения трафика.