Sub-redes práticas (não teóricas) 192.168.0.0/25

Question

A situação

Eu tenho um roteador Netgear WGR614v7 (sem fio desativado).

Os hosts em ambas as sub-redes devem ter acesso à Internet, mas não devem poder fazer ping de hosts pelas sub-redes.

Eu quero dividir minha rede de classe privada em duas sub-redes:

1. First Subnet:
   • Subnet Mask: 255.255.255.128
   • Subnet Address: 192.168.0.0
   • Broadcast Address: 192.168.0.127
   • Host range 192.168.0.1 - 192.168.0.126
   • Default gateway 192.168.0.1
2. Second Subnet:
   • Subnet Mask: 255.255.255.128
   • Subnet Address: 192.168.0.128
   • Broadcast Address: 192.168.0.255
   • Host range: 192.168.0.129 - 192.168.0.254
   • Default Gateway: 192.168.0.1 (I think this is wrong?)

Configuração do roteador

Configuração do roteador (guia "LAN IP Setup" no WGR614v7 - se parece muito com este link ):

LAN TCP/IP SETUP

• IP Address: 192.168.0.1
• IP Subnet: Mask 255.255.255.128 (Maybe I should change this on the router to /24 instead of /25 and put /25 masks on the hosts??)
• RIP Direction: None
• RIP Version: Disabled
• Use Router as DHCP Server: Enabled
• Starting IP Address: 192.168.0.50
• Ending IP Address: 192.168.0.99
• Address Reservation: None

As estações de trabalho

Eu tenho uma estação de trabalho na 1ª rede (192.168.0.51 via DHCP) que tem acesso à Internet sem problemas.

Uma estação de trabalho na segunda rede (192.168.0.129 via IP estático) não pode acessar a Internet nem pode fazer ping no roteador (192.168.0.1).

A questão principal

Você pode me ajudar a descobrir o que estou fazendo de errado? Eu estou tentando descobrir porque eu não posso colocar essa segunda estação de trabalho (192.168.0.129) na segunda sub-rede e acessar a internet dele ou pingar o roteador.

    

Answer 1

Sinto muito por isso, mas acabei de responder à minha própria pergunta configurando uma rota estática. Eu apenas segui essas instruções, mas ajustei um pouco: link

No primeiro roteador (Netgear WGR614v7), aqui está a configuração da rota estática:

• Private: yes
• Active: yes
• Destination IP Address: 192.168.0.128
• IP Subnet Mask: 255.255.255.128
• Gateway IP Address: 192.168.0.2
• Metric: 2

Existe um cabo ethernet que vai da porta LAN no Netgear até a porta WAN no Linksys.

Aqui está a configuração do segundo roteador (Linksys BEFSR41v2):

LAN IP Address

• Device IP Address: 192.168.0.129
• Subnet Mask: 255.255.255.128

WAN IP Address (You can use DHCP from Netgear but I used static):

• WAN IP Address: 192.168.0.2
• Subnet Mask: 255.255.255.128
• Default Gateway: 192.168.0.1
• DNS: (Just use whatever your ISP gave you)

Eu habilitei o dhcp em ambos os roteadores e não acredito que funcionou.

• No Netgear, configurei o intervalo de 192.168.0.50 a 192.168.0.99
• No Linksys, defino o intervalo de 192.168.0.150 a 192.168.0.199

Todos os hosts de ambas as redes têm acesso à Internet.

Uma coisa que notei é que hosts da primeira sub-rede (192.168.0.0/25) podem não pingar hosts da segunda sub-rede (192.168.0.128/25), mas hosts da segunda sub-rede < em> can pingar hosts a partir do primeiro.

Eu gostaria que as sub-redes fossem mutuamente exclusivas uma da outra, mas isso teria que ser outra pergunta.

Edit: A rota estática é completamente desnecessária para uma configuração mínima para sub-redes mutuamente exclusivas. Apenas certifique-se de ligar e desligar os roteadores depois de configurá-los, se eles não funcionarem. Veja como descobri: link

    

Answer 2

Eu não acho que você pode fazer corretamente o que você está tentando com o seu roteador atual (a menos que você possa atualizá-lo para OpenWRT ou equivalente). É também muito difícil de fazer, então você pensa - e provavelmente não pode ser feito apenas através da interface web.

Como já foi apontado, cada sub-rede precisa apontar para o roteador com um IP em seu próprio netblock.

Assim, na Interface LAN do roteador, você precisa ter 2 endereços IP - 192.168.0.1 e 192.168.0.254 (ou, no segundo caso, um endereço IP em 192.168.0.129 - 192.168.0.254 que você não está usando) . Para fazer isso, você precisa vincular um segundo endereço IP ao roteador, e não parece permitir que você faça isso.

Mesmo que você atinja o que foi mencionado acima, você ainda estará em parte em relação aos seus objetivos. Se você estiver usando DHCP, precisará ter a resposta do servidor DHCP nas duas sub-redes e fornecer os IPs no intervalo apropriado para cada sub-rede. Novamente, isso é factível, mas provavelmente não com o roteador atual.

A pergunta a fazer é "Por que você está fazendo isso?". Fazer isso não lhe oferece nenhuma segurança / isolamento significativo porque os sistemas ainda estão no mesmo segmento, ou seja, os computadores em uma metade podem ler e responder ao tráfego de broadcast na outra metade. A maneira típica de lidar com esse problema é, portanto, um pouco mais complexa - e, novamente, você precisa de um software de roteador mais potente para desativá-lo. (A fim de entender completamente o que estou falando aqui, você precisa entender a diferença entre uma sub-rede e um segmento de rede - os dois conceitos andam lado-a-lado e, geralmente, uma sub-rede = 1 segmento, mas você está descrevendo 2 sub-redes em 1 segmento - o que geralmente não é o que você quer)

A maneira como fiz algo semelhante é assim - Eu tenho um roteador que suporta OpenWRT. Eu configurei as portas LAN no roteador em diferentes VLANs. (A maioria dos roteadores de 4 portas é interessante, já que as 4 portas são acessadas individualmente, e o software faz com que elas apareçam como um switch e intercambiáveis - mas você pode programá-las em VLANs diferentes e fornecer isolamento por porta ). Em seguida, você coloca cada VLAN em uma sub-rede diferente e atribui um endereço IP à interface do roteador para cada sub-rede. Você provavelmente precisará de 2 switches (se tiver mais de 3 dispositivos em qualquer sub-rede) - você precisaria usar 1 dos switches para cada sub-rede. Desta forma, os computadores estão em segmentos de rede diferentes e - a partir de um ponto de vista prático - não podem se comunicar entre si sem passar pelo roteador. [Dito isso, posso apontar para artigos que dizem não depender de VLANs para segurança - embora eu não concorde com as conclusões deles]