Могу ли я пинговать/отсылать ARP на публичный статичный адрес роутера?

Question

[Minat0_]

Пока работал с сетями, вопросов накопилась куча, и, к сожалению, не кому на них ответить (не задалбывать же ISP постоянно, верно?).

Имеется такая ситуация: есть сервер, есть роутер.
Роутер домашний (TPLink Archer C6), в нём 1 WAN порт и 4 LAN/WLAN порта.
В WAN, очевидно, входит кабель интернет-провайдера.
В LAN-порт включен сервер.

Интернет-провайдер выделил мне два публичных статичных айпишника:
.50 и .51 (маска /24 для двух адресов)

Вопрос №1:
Может ли ARP протокол увидеть MAC-адрес внешнего айпи роутера (.50).
(внутренний-то шлюз NAT он видит, это мне понятно). ARP же не может отсылаться дальше своей подсети, однако может ли он отправить ответ от самого роутера? (насколько я понял, то нет, `arp -a` шлёт меня далеко и надолго).

Вопрос №2:
ISP прокинул мне FramedRoute на роутер (я был бы очень благодарен за подробное объяснение этого чуда, ибо максимум, что я нашёл в интернете на эту тему – ISP подключаются через RADIUS к их маршрутизатору, и в флаге FramedRoute привязывают айпишники к шлюзу роутера, т.е. наверное, я могу маршрутизировать остальные айпишники).

Вопрос №3
Роутер настроен на .50
Как настроить второй статичный айпи адрес для сервера и как должна в таком случае выглядеть таблица маршрутизации?

Так как внешний шлюз по каким-то причинам не доступен (.51 по пингу не видит .50), пока настроил так:

Настройки сервера (.51):
IP: _._._.51
Submask: 255.255.255.255 (Хз, правильно или нет, в ЛК ISP -> /24, в тех. поддержке сказали, что надо ставить /32)
Gateway: 192.168.0.1

Настройки маршрутизации на TPLink:
Interface: LAN/WLAN
Network Destination: _._._.51
Submask: 255.255.255.255
Gateway: 192.168.0.1

Вопрос №4
При такой конфигурации, интернет на сервере работает, однако 2ip показывает публичный адрес роутера, а не самого сервера – почему так?

Я предполагаю, что во всём виноват NAT на роутере (который не отключить).
Как должна выглядеть правильная настройка сети на ДЦ?
(про коммутатор объяснять не нужно, но можно объяснить за межсетвой экран и общую структуру, например)

Comments

[Bermut]

вопрос 2 - что для тебя значит routeframe? Маршрутизирует через твой маршрутизатор подсети?

Мой совет, выкинь эти маршрутизаторы 100 в одном, и начни изучят ros - хоть они говно, но фукнциональные, когда постигнишь ros - перекатывайся на debian

Если не забуду, отвечу позднее на твои вопросы

[Minat0_]

Bermut, согласно гуглу, ROS нужен для роботов.
Мне бы разобраться с базовыми вопросами работы сети.

[Bermut]

Minat0_, ros - routeros

Answer 1

[Bermut]

1. Если у тебя не используется vlan, и ты не спуфишь mac - нет, внешний mac ты никакими молитвами не должен получить в локальной сети.
2. Что такое framedRoute? Полагаю, что ты путаешь что-то. Возможно ты имеешь введу маршрут, да, провайдер можешь маршрутизировать на тебя подсеть, актуально для b2b тарифов, ну и для ipv6, офк.
3. На TPLink Archer C6 - никак, ВЫКИНИ ЭТОТ МУСОР. Для нормального обучения нужен mikrotik, или linux пека, но там еще сложнее. Если мы говорим про нормальный маршрутизатор - нужно использовать mangle правила, разные таблицы маршрутизации, ну и маркировка трафика, опционален костыль из snat, в общем, тебе еще далеко до этого. (ну и как правильно сказано в ответе выше, можно закинуть в мост wan интерфейс маршрутизатора и vlan сервера)
4. По какой причине он должен показывать адрес сервера? У тебя на маршрутизатор выдано два адреса, один он использует, второй просто существует, провайдеру необходимо маршрутизировать подсеть белых адресов на твой маршрутизатор, вот только делать он это не будет, а если и будет то у тебя денег не хватит. Если хочешь увидеть адрес сервера на 2ip.ru - создай аккаунт HE, и получи туннель из /52 подсети ipv6 адресов, правда 2ip.ru не умеет в ipv6, лучше использовать какой-нибудь https://bgp.he.net или https://ipleak.net.

Comments

[Minat0_]

Спасибо за ответ!

1. Для Vlan'а у меня есть коммутатор (там же вроде изначально ставится default'ный vlan, не успел залезть в его cli, слишком он уж древний, CONSOLE'ный кабель ему подавай).
Цепочка такая: router <-> switch <-> pc.

В таком случае мак для внешнего тоже не видится. Проблема в роутере или нужно спуфить мак (как)?

2. FramedRoute.

3. RouterOS – это образ роутера микротиков, если мне не изменяет память. На Linux его не поставить?
Есть ли какие-нибудь специализированные дистрибутивы, чтобы превратить из линукс машинки – маршрутизатор или достаточно встроенной маршрутизации `ip route`?

Ещё вопрос: в чём смысл маршрутизатора, если есть межсетевой экран? Насколько я понял, он выполняет те же действия, что и роутер, но с доп. защитой.

4.

маршрутизировать подсеть белых адресов на твой маршрутизатор

Вроде бы флаг FramedRoute этим и занимается.

IPv6 меньше интересует потенциальных клиентов чем IPv4, однако большое спасибо за ссылки.

[Bermut]

1. Зачем тебе вообще необходимо видеть мак адрес внешнего интерфейса в локальной сети? Если что, это не требуется.
2. Не копай глубоко, данная история используется полторами калеками в извращенной системе предоставления доступа к шлюзам.
3. Забудь слово роутер, существует только маршрутизатор, routeros - операционная система от mikrotik, она же и ставится на всю(почти) их продукцию. Если ты хочешь сделать из компьютера маршрутизатор - можно использовать pfsense(и его аналоги), debian/иной gnu дистр, или vyos, тебе пока далеко до динамической маршрутизации, так что стандартной установки debian с iproute2 и iptables тебе хватит с головой.
4. ЗАБУТЬ ПРО ЭТОТ ПРОКЛЯТЫЙ ФЛАГ, какой то идиот вложил тебе это в голову, и ты носишься с ним как проклятый, как я и сказал выше, данная фича применима в сетях, где стоит radius в качестве сервиса авторизации, и он просто сообщает этим пакетом маршрут подсети. Короче, просто забуть про него, это не так работает, как ты думаешь.

IPv6 хороший кандидат, чтобы на его примере понять, как работает статическая маршрутизация.

[Minat0_]

Bermut,

1. Внешний шлюз маршрутизатора не пингуется с сервера, вот и хочу разобраться.
В ARP таблице, локальный шлюз (192.168.0.1) привязывается к MAC'у, а вот внешний, что-ли, самому прописывать, потому что его нет.

2. Да, слышал такое мнение неоднократно.
Возможно, ошибся сам ISP.

3. У меня в голове закрепилось, что роутер – это устройство с возможностью Wireless-подключения.
Маршрутизатор же – без. Ошибся?

тебе пока далеко до динамической маршрутизации, так что стандартной установки debian с iproute2 и iptables тебе хватит с головой.

Никогда не понимал прикола iptables'а. Он буквально старый и неудобный.
Есть же более абстрактный ufw в бубунту, который позволяет делать всё то же самое, но без страдания на свою жопу.

IPv6 – хороший кандидат?
Тот самый IPv6, который имеет 128 бит под адреса?
Разве IPv4 не проще в этом плане?

[Bermut]

1. Что значит в твоем представлении "внешний шлюз маршрутизатора"? Если шлюз провайдера, это нормально, что он не пингуется, так как там он может быть попросту закрыт, так и использоваться какой-нибуь mpls, как в случае с мобильными провайдерами.
3. То, что продают в магазинах под именем "роутер", то, что у вас сейчас дома - все это маршрутизаторы, как я их называю 100 в 1, на самом деле, в серьезных сетях все фукции этого "роутера" выполняют разные устройства - коммутаторы - для проводных линков, ap точки - для беспроводного линка, и собственно маршрутизатор, который рулит всем приходящим трафиком.

ufw - ВЫКИНЬ ЭТОТ МУСОР СЛЕДОМ ЗА TP-link, uwf удобен для ламеров, чтобы закрывать порты, по факту iptables это основа, да и насколько я помню, ufw это примитивный конфигуратор iptables. Если тебе кто-то сказал, что iptables, или его новая реализация nftables ненужны, я бы перестал общатся с таким человеком.
На счет ipv6, на самом деле именно он - тру протокол интернета, так как интернет задумывался как связанность всех хостов со всеми, а не эти костыли с nat.

[Minat0_]

Bermut,

1. Своего маршрутизатора (TPLink), не провайдера.
3. Понял, да, имеет смысл.

Эх, учить netfilter видимо.

[ZephyrCoin]

Minat0_, может напишешь свой тг/дискорд, чтобы там объяснил ну и не только?

Answer 2

[Руслан Федосеев]

есть серьезное сомнение что на арчере вы это вообще настроите.
на микротике бы получилось - просто еще один порт в wan отдать, построить между ними бридж и включить в этот порт сервер ваш.

Comments

[Minat0_]

Бридж между WAN интерфейсами, правильно понял?

[Akina]

Minat0_,

Бридж на Микротике - это внутренняя логическая структура, позволяющая объединить несколько интерфейсов в рамках одного виртуального коммутатора. Работает на уровне канального моста модели OSI.

[Minat0_]

Akina, хорошо, понял, спасибо!
На остальные вопросы бы кто ответил...

[Руслан Федосеев]

на остальные вопросы стоит поискать ответы например в https://linkmeup.ru/sdsm/

[Руслан Федосеев]

а вообще - не держите дома сервера )
купите любую VPS и там все нужное поднимайте. Гораздо проще будет....

[Minat0_]

Руслан Федосеев, спасибо за ссылку.

Немного оффтопа дальше:

а вообще - не держите дома сервера )
купите любую VPS и там все нужное поднимайте. Гораздо проще будет....

У меня свой маленький, бюджетный – и от того "слегка" колхозный ДЦ.
Зато есть желание разобраться в том, как это устроено.
К сожалению, не у каждого есть возможность покупать себе дорогие СХД,
маршрутизаторы по сотни тысяч баксов. Конечно, в таких случаях применяют моделирование (а-ля Cisco Packet Tracer и другие), но так получилось, что о программных средствах я узнал чуть позже аппаратных, как и о работе сетей в целом.

VPS/VDS'ки мы уже предлагаем клиентам, как услугу.
Управление виртуализацией сейчас работает через Fedora Server и Cockpit.
Тыкались в VMManager – не понравилось, что, в таком случае, весь ДЦ будет привязан к этой экосистеме (нам, OpenSource'никам, подавай "свободу").

Ещё раз спасибо за ваш ответ.
Буду рад, если что-то добавите.

[Руслан Федосеев]

openstack
не упирайтесь в тупик типа кокпита )

а вообще vmmanager неплохой продукт, и вообще вся система ispmanager неплохая

Answer 3

[graf_Alibert]

Включить на роутере мост и в порт моста подключить сервер, настроенный на .51, никаких больше манипуляций не потребуется.