Как объединить Zyxel USG1900 (с интернетом) с другим Zyxel USG60 без интернета (подсети разные 2 штуки)?

Question

[bassoon48]

СУТЬ:

Есть два устройства zyxel1900 и zyxel 60

На zyxel1900 в ge1 и ge2 (external) приходят интернет провайдеры, на ge3 висит 30 подсеть

На zyxel60 на LAN1 крутится 65 подсетка.

Дак вот надо объединить 65 и 30 таким образом чтоб был везде полный доступ+интернет.

Устройства соединяются следующим образом: из WAN zyxel60 в ge4 Zyxel1900 (ge4 в режиме internal)

Я на zyxel60 сделал следующее: на WAN2 прописал 192.168.30.6 255.255.255.0 и шлюз 192.168.30.254
И прописал Policy route из LAN в next hope WAN2

ВСЁ

На Zyxel USG1900 на ge4 прописал internal и адрес с маской 0.0.0.0 0.0.0.0
и статический маршрут. Если нужно подсеть 65.0 то иди на некст хоп ge4.

В результате ничё не работает.

ЧЯДНТ?
WAN ZYXEL60

LAN ZYXEL60

Маршрут Zyxel60

LAN zyxel1900

Маршрут 1900

Comments

[bassoon48]

Зоны LAN4 я полностью убрал.

[bassoon48]

сделал так.

На USG60 на WAN порт прописал 192.168.30.6 255.255.255.0 и шлюз 192.168.30.254

wan порт воткнул в коммутатор 30.0 сети

Да всё заработало. НО работает через задница. Пинги то есть то нет по локалке.

Интернет норм работает.

Решение говно, временное.

Надо нормально. USG60 to USG1900. Если я втыкаю в 1900 то USG1900 не видит ничё. Плюс я не знаю чё писать на ge4 какие ip и маску. Наверно дело в этом

[Павел Межуев]

bassoon48, на 1900 в маршруте выбрать не интерфейс, а IP-адрес шлюза 192.168.30.6. В варианте с коммутатором этого должно быть достаточно.

Чтобы без коммутатора, то приходить кабель должен в ту же зону, на которой прописана 30-я подсеть. Чтобы задействовать несколько портов с одним IP под зону на них самих надо прописать 0.0.0.0/0.0.0.0 и объединить в мост, где уже прописать нужный адрес (192.168.30.254/255.255.255.0). Либо же через стыковочную сеть как в ответе mordo445.

[bassoon48]

Павел Межуев, Пасип. А когда мост буду делать там надо добавить ge3 и ge4? А интерфейс будет general?

[bassoon48]

Павел Межуев, ge3 и ge4 будут 0.0.0.0? Они будут internal?

[Павел Межуев]

bassoon48, ge3 и ge4 будут 0.0.0.0. Тип влияет на работу NAT, если иное не переопределено политиками. Но возможно в данном случае это не имеет значения, так как тип будет задан для моста и там надо будет указать тот же тип, что сейчас у интерфейса с 30-й подсетью.

[bassoon48]

Павел Межуев, у меня получилось прямым линком через мост. Ваще изи по вашим советам. СУПЕР!

Линки идут идеально без затыков. Коммутатор фффтопку.

Чисто для спортивного интереса хотел попробовать 3им способ через шлюзовую подсеть 35.1 и 35.2. Но ниххх не получается.

На USG1900 я пингую и свой шлюзовой порт 35.1 и шлюзовой порт USG60 35.2

А вот на USG60 я могу пинговать только свой порт.

Ни о каких подсетях и речи быть не может. Хотя я возможно не правильно прописываю статику.

По идее же меня с USG1900 должно пускать хотя бы в одну сторону если пингуются оба ip шлюза?

Answer 1

[mordo445]

Попробуйте вот так переделать, после добавить статические маршруты для промежуточной сети из 65.0/24 на 35.1/30, а в последнюю дайте интернет с usg1900. Можно без создания vlan, просто зоны lan использовать. Должно работать лучше. Выбор сети на ваш вкус конечно, 35 для примера

Comments

[bassoon48]

Пасип. Но с вланами вообще не вариант. Сети должны остаться такими как есть...

Зоны LAN должны быть у всех одинаковыми?

[bassoon48]

И с мрюаршрутами извините не совсем понял.

Подскажите пожалуйста конкретнее. На usg1900 какой и на usg60 какой будет

Я пробовал свои маршруты но в меня нифига не вышло

[mordo445]

Так, для точного ответа, какими словами оно всё называется в этих USG мне надо добраться до одного из них. Или до ZyWall, они мало отличаются. Там есть статическая маршрутизация, и на 60-м вам надо добавить маршрут в стиле
30.0/24 next hop GEx за которым сеть 35.0/30
а на 1900 наоборот
65.0/24 next hop GEx за которым сеть 35.0/30
Это для доступа хостов в той и другой сети между собой.
Может не работать, значит надо будет посмотреть другие настройки маршрутизации. Если попадется в ближайшее время зайвол, попробую сделать подробную инструкцию для такого кейса, пока только общими словами могу подсказать)

[mordo445]

Если на 60-м стыковочную сеть вставите в wan, то вроде бы на нем не придется создавать маршрутов, просто получите интернет через 35.2, а на 1900 сделаете маршрут, что бы запросы в сеть 65 не улетали в интернет, а шли на 35.1

[bassoon48]

mordo445, мордо здарова.

Сегодня сделал прямым линком Zyxel to Zyxel. По совету выше. Убрав коммутатор.

Пинги пошли идеально без затыков. Коммутатор ффтопку, говно для нежных пусек. ТОЛЬКО ХАРДКО_КО-КО КОР и прямые линки!

[bassoon48]

mordo445, А вот вашим способом через шлюзовые подсети 35.1 и 35.2 сделать не могу :(

Кароче на ZYXEL USG1900 сделал так.

Выделил порт ge5 под internal. Написал 35.2/255.255.255.252

В маршруте написал "если нужна подсеть 192.168.65.0 255.255.255.0 - то шиздуй на хоп 192.168.35.2"
Фаервол ВКЛЮЧЁН!

На ZYXEL USG60 на WAN порту прописал 35.1/255.255.255.252 и шлюз 192.168.35.2

В маршруте написал "если нужна подсеть 192.168.30.0 255.255.255.0 - то шиздуй на хоп 192.168.35.1"
Фаервол ОТКЛЮЧЁН ТУТ!

настраивал в соответсвии с вашей схемой вверху.

Ещё хочу уточнить что у Zyxel 1900 ge1 и ge2 это провайдеры. ge3 это 192.168.30.0/24 зона LAN1

ge5 это 192.168.35.2 зона LAN4

Дак вот чё имеем по итогу.

С zyxel1900 я могу пинговать оба шлюза 35.1 и 35.2. Но больше нифига не могу. в 65.0 доступа нет.

на zyxel usg60 я не могу ваще ничё пинговать кроме своего шлюза 35.1

Подозреваю всему виной фаерволл на 1900 зикселе

[bassoon48]

mordo445, чё ещё хочу сказать. Если те же самые шлюзы 35.2 выделять на ge4 или ge8 то нихрена не работает.

Заработало только на ge5. Видимо чё то нарукоблудили конкретно.

Но я же правилньо понимаю если с 1900 у меня есть доступ НА ОБА шлюза, то он меня должен хотя бы в ОДНУ сторону пускать на 65.0 сеть?

[bassoon48]

mordo445, можете пожалуйста подробный гайд ещё раз расписать с нуля? плиз.

[Павел Межуев]

bassoon48, судя по этому:

С zyxel1900 я могу пинговать оба шлюза 35.1 и 35.2.
на zyxel usg60 я не могу ваще ничё пинговать кроме своего шлюза 35.1

Подозрения на файрволл верные. Надо его настроить или для теста можно указать заведомо настроенную зону LAN1.

Но больше нифига не могу. в 65.0 доступа нет.

На USG60 нужен policy route для 35-й подсети. Можно сразу глобально можно указать 192.168.0.0/16.

P. S. На данных железках в диагностике есть инструменты для захвата трафика, который потом можно изучить через Wireshark, и для отслеживания маршрутов в реальном времени.

[mordo445]

Сейчас нету USGшки, которую можно разолмать безболезненно, на память я все аспекты настройки не опишу, извините