Возможно ли пробросить подсети белых IP через L3-туннель?

Question

[IPMI]

Имеем vds c debian 12 и openwrt . У обоих белые IP, создан L3-туннель. Друг друга видят и по белым IP и через L3-туннель. Как сделать чтобы подсеть белых адресов находящихся в vds debian 12 получилось прописать в интерфейсе openwrt?

Comments

[Keffer]

Мало вводных и не описана конечная цель проброса. Если коротко - нет.

[agpecam]

Что за L3-туннель? Что за белая подсеть? "Плоская", включающая белый IP vds, или "сеть за сетью" (routed subnet)? Если туннель - OpenVPN, прописываете на vds маршрут в белую подсеть через туннельный IP openwrt. На openwrt одному из интерфейсов LAN/DMZ присваиваете второй IP белой подсети. Подключаете к этому интерфейсу хосты, раздавая им остальные IP белой подсети и указывая им IP, который навесили на openwrt, в качестве default gateway. Если провайдер vds дал вам routed subnet, то на этом все (естественно трафик должен быть везде разрешен, а внутренний роутинг OpenVPN соответствующим образом настроен). Если сеть "плоская", то бъете ее не 2 части: первая /30 - под белый IP vds и его default gateway. Остальное будет ваша "белая подсеть", но для нее надо будет настроить ProxyARP на WAN vds

[agpecam]

IPMI, Прямо /32? Я думал только OVH этим балуется. Нет смысла скрывать последний октет IP адреса, если уж выложили подсеть. Какой именно белый IP у vds и какой у него IP default gateway?

[agpecam]

IPMI, Мда.. Зайдем с другого конца, какую сеть вам официально выделил провайдер? Я вижу 40.174.50.0/24, но что-то сомневаюсь, что амазон вам такое дал

Answer 1

[jack_lark]

> как сделать чтобы подсеть белых адресов с vds debian 12 была доступна на openwrt?

не понял.
подсеть белых адресов доступна отовсюду из всего Интернета, на то они и белые.

Answer 2

[Sanes]

VLAN например или GRE. Этот функционал есть в LXD/Incus.

Answer 3

[Disel0k]

пробросить входящие запросы 1 в 1 с белых на debian на серые адреса на openwrt (dstnat) через L3-туннель

Comments

[Disel0k]

если шлюзом для подсети белых адресов является debian - то почему бы и нет, просто нужно прописать маршрут где искать конкретный адрес, но имхо проще проброс сделать и в большинстве случаев это еще и пользу принести может в виде дополнительного фаерволла