Доступ из глобальной сети в локальную?

Question

[MZhack]

Здравствуйте! На работе есть локальная сеть вида 10.0.0.0(вроде /16, а вообще хз), в одном из кабинетов стоит Huawei HG8245H который имеет статический ip 10.0.0.5 и свою внутреннюю сеть 192.168.100.0/24 из нескольких устройств.

Вопрос уже по-любому обсуждался не один миллион раз, но как настроить именно на этой штуке, я не очень понимаю. Прошу не кидаться камнями и помочь)

Суть вопроса в том, как с компьютера с адресом 10.0.0.6 получить доступ к компьютерам с адресом 192.168.100.34, 100.35, 100, 40? Проброс портов не подходит. В идеале хотелось бы, если на 10.0.0.6 набрать ping 192.168.100.x - пошли пакетики с того самого компьютера). Я так понимаю, тут нужно что то типа VPN плюс какие дополнительные маршруты на 10.0.0.6? Подскажите как решить.

Comments

[Олег]

Обратитесь к системному администратору, который рулит 10.0.0.1

[MZhack]

СА в отпуске, 10.0.0.1 - Mikrotik с DHCP сервером и интернетом (для определённых подсетей). Обязательно ли настраивать на нём? Неужели недостаточно сконфигурировать 10.0.0.5 и 10.0.0.6?

Answer 1

[antonwx]

Huawei HG8245H

но как настроить именно на этой штуке, я не очень понимаю

Вангую, что этот нонеймовый кусок китайского говна в принципе не поддерживает VPN сервер. А следовательно, никак не реализовать то, что вы хотите. Ну или костыли типа OpenWRT устанавливать на роутер. И микротик 10.0.0.1 здесь не поможет от слова совсем (разве что поднять на нём VPN сервер и подключить все компьютеры, к которым нужен доступ, к этому VPN серверу - но тогда зачем вообще второй NAT?).
А что насчёт варианта поставить Zerotier на все компьютеры, которые надо объединить?
Кстати, тот же Zerotier можно использовать для поставленной вами задачи при условии наличия возможности установить ZT на один из компьютеров сети 192.168, и использовать его для построения моста L2 через ZT, но тут вам придётся разруливать методом проб и ошибок, готового гайда на винду нет (есть на линукс), но в теории не должно быть ничего сложного.
Вообще не сильно понятно, зачем вам второй NAT и внутренняя сеть, не лучше ли было не городить такого огорода и брать все адреса от 10.0.0.1? Тогда и заморачиваться не пришлось бы.

Comments

[MZhack]

Спасибо за ответ, да действительно, VPN сервер он судя-по-всему не поддерживает. Устанавливать дополнительно ПО на компьютеры за этим хуавем - нельзя :). По поводу VPN сервера на микротике, если этот хуавей и комп 10.0.0.6 подключить к этому серверу? Я сейчас ещё читаю про VLAN, но тоже пока не могу понять, как использовать в этой ситуации.

[antonwx]

MZhack, VLAN - не поможет в данной ситуации. Можно поднять на микротике vpn-сервер, подключить компьютеры из второй сети к микротику по впн, чтобы они получили адрес вида 10.0.0.x, и тогда к ним по этому адресу можно будет обратиться с других компьютеров 10.0.0.y (при правильной настройке). Подключение хуавея по VPN к микротику ничего не даст, он тупо его будет видеть как WAN-подключение и гонять трафик через него, не давая доступа к ПК за ним, что в общем-то не только бесполезно, но и даже вредно. Самое верное решение - хуавей перевести в режим свич/точка доступа, назначить ему адрес из сети 10.0.0.x, компам, которые подключены к хуавею, назначить адреса из того же пула, и проблема будет решена.
p.s. можно обойтись и без переназначения адресов компьютерам, но необходимо будет перевести хуавей в режим свич/точка доступа в любом случае (и сменить ему ip). Тогда микротику надо будет назначить второй локальный адрес, такой же, какой сейчас у хуавея, и прописать правила форвардинга в файрволле корректные, тогда можно будет ходить из одной подсети в другую. Я так делал, когда переводил контору свою с адресации 192.168 на 10.x.x.x, чтобы старые айпишники тоже продолжали работать

[MZhack]

перевести в режим свич/точка доступа

В моём случае, я понимаю, что за эту настройку отвечает опция WAN Mode, меняю её с Route WAN на Bridge WAN. Опцию LAN Host Address меняю с 192.168.100.1 на 10.0.0.5 (маску соответственно тоже меняю), на DHCP сервере меняю на пул 10.0.0.50-60. Компьютеры получают адреса из пула, но с 10.0.0.6 они по прежнему недоступны. Куда смотреть?)

[antonwx]

MZhack, dhcp-сервера в такой конфигурации вообще на хуавее быть не должно, dhcp клиенты получают уже от микротика. Он точно переведён в режим точки доступа? Скриншоты бы конечно не помешали...

[MZhack]

antonwx, надо было просто ребутнуть хуавей) Большое спасибо за помощь, всё работает.
P.S. Выходит, что получить доступ к сети, которая за NAT'ом - не возможно?

[antonwx]

MZhack, просто так - да, невозможно, в этом и суть. Понадобится либо VPN, либо проброс портов, либо ещё какой-нибудь огород

Answer 2

[ky0]

тут нужно что то типа VPN плюс какие дополнительные маршруты на 10.0.0.6?

Совершенно верно - маршрутизация между сетями плюс (если нужен) какой-то способ доступа снаружи, например VPN. Берёте и курите мануалы, коих полон интернет.

Comments

[MZhack]

Бессмысленный текст и RTMF. Неужели не логично, что если я задаю вопрос здесь, я не нашёл на него ответа в других местах? Если вы не знаете ответа или по каким либо причинам не хотите его озвучивать - просто промолчите. Подобные советы в таких ситуациях, в роде "читайте инструкцию" сродни ситуации, когда звонишь в саппорт провайдера и спрашиваешь "здравствуйте, у меня не работает интернет. проверил витую пару тестером - показывает, что где то обрыв, вы не могли устранить?", а глупая девушка на том конце отвечает "попробуйте вынуть вилку, которая идёт от белой коробочки, которая по антенкам раздёт инет, из розетки, подождите 10 секунду и вставьте обратно".

[ky0]

MZhack, вот только в роли "глупой девушки" из вашей истории сейчас выступаете вы сам, по иронии судьбы :)

Очевидно, что раз общее описание вам не подходит - ваш вопрос из разряда "хочу, чтобы сделали за меня", а это в соседнюю вкладку.

Неужели не логично, что если я задаю вопрос здесь, я не нашёл на него ответа в других местах?

Нет, не логично. Проблема крайне частая, мануалов по решению схожих вопросов масса - а значит, это вы не хотите или не умеете как следует искать и пользоваться результатами поиска. Поэтому вместо того, чтобы строчить гневные комментарии, рекомендую потратить освободившееся время на прокачку соответствующих навыков.

[MZhack]

Вы себе льстите, никакого гнева вы у меня не вызываете. Только лёгкую улыбку :) Меня всегда веселили такие люди, которые сами не умеют, но с умным видом рассказывают: что, да как, и где найти.

[MZhack]

poisons,

1. Для меня, как для человека, не знающего ответ - вопрос не глупый. Если вы хорошо разбираетесь в данной сфере, и я спросил что-то очень простое, но как то не полностью или неправильно описав суть, то это не значит, что вопрос глупый. С другой стороны, если вопрос такой "глупый", то почему просто не сказать ответ? (этот вопрос риторический, ответ мне известен).

2. Можно подробнее, что значит "неполный" и в чём проблема с оптикой?

[ky0]

MZhack,

никакого гнева вы у меня не вызываете. Только лёгкую улыбку

хорошо, если так.

Но прежде, чем анонсировать, кто чего не умеет, рекомендую в следующий раз предварительно ознакомиться с профилем собеседника.

Все эти отвлечённые размышления никоим образом не влияют на то, что Тостер - ресурс для чётко выраженных, предваритально декомпозированных технических вопросов. Вариант "стоят вот такие железки, надо сварганить конфиг, чтобы работало вот это" - обычно получает в ответ неработающие конфиги, либо нечто, подобное тому, что написал я.

[MZhack]

ky0, ваш профиль, вы, ваши умения, ваши мысли - мне не интересны. Мне интересно решение моего вопроса only. Вы слишком много пишите и не по делу, и это никак не показывает, что вы специалист, а наоборот. Если вы не можете предложить решение, то не тратьте моё драгоценное (ваше судя по вашим постам - не очень) время, а лучше займитесь чем нибудь полезным. Удачи.

[MZhack]

poisons, в spf порт приходит оптика: 10.0.0.5, 255.255.0.0, 10.0.0.1. Из eth портов уходит витая пара на компьютеры. В интернет не смотрит, к интернету подключён только микротик 10.0.0.1 и он раздаёт интернет только в определённые ему подсети. Интернет на 10.0.0.5 не нужен.

Answer 3

[АртемЪ]

Суть вопроса в том, как с компьютера с адресом 10.0.0.6 получить доступ к компьютерам с адресом 192.168.100.34, 100.35, 100, 40?

Пробросить порты!

Доступ из глобальной сети в локальную?

Вообще то обсуждается доступ из локальной сети в локальную. При чем тут глобальная сеть?

В идеале хотелось бы, если на 10.0.0.6 набрать ping 192.168.100.x - пошли пакетики с того самого компьютера).

В таком случае вам надо выключить NAT на Huawei HG8245H и настроить маршрутизацию!

Я так понимаю, тут нужно что то типа VPN

Можно решить задачу с помощью VPN. Точно так же можно забить гвоздь микроскопом,

Comments

[MZhack]

Пробросить порты!

Уже понял.

При чем тут глобальная сеть?

Не при чём. Имел в виду разницу между большой сетью предприятия и маленькой сетью помещения.

настроить маршрутизацию!

Как именно?

можно забить гвоздь микроскопом

Можно, но я думаю - не нужно.

[АртемЪ]

MZhack,

Как именно?

Две локальных сети связывает роутер.
На этом роутере добавляете маршрут для трафика следующего из сети А в сеть Б - т.е указываете роутеру на какой именно интерфейс отправлять этот трафик. После чего добавляете маршрут из сети Б в сеть А.
Как именно добавлять зависит от роутера.
Обычно там в качестве ОС - линукс и вебморда.
Если в вебморде есть функция добавления маршрутов делаем там, иначе подключаемся телнетом или по ssh смотря что поддерживает данный роутер и добавляем из командной строки.