Posso sub-rede de uma sub-rede?

Question

Pedimos desculpas antecipadamente pela terminologia incompleta. Eu li o Server Fault Subnet Wiki , mas isso é mais um Pergunta do ISP.

Atualmente tenho um / 27 bloco de IPs públicos. Eu uso dar meu roteador o primeiro endereço neste pool e, em seguida, usar 1-para-1 NAT para todos os servidores por trás do firewall, para que cada um obtenha seu próprio IP público.

O roteador / firewall está usando no momento (endereços reais removidos para proteger os culpados):

IP Address:  XXX.XXX.XXX.164
Subnet mask: 255.255.255.224
Gateway:     XXX.XXX.XXX.161

O que eu gostaria de fazer é dividir minha sub-rede em duas sub-redes / 28 separadas. E faça isso de uma forma que seja transparente para o ISP (ou seja, eles me veem como continuando a operar um único / 27).

Atualmente, minha topologia parece:

     ISP
      |
[Router/Firewall]
      |
  [Managed Ethernet Switch]
  /       \         \
[Server1] [Server2] [Server3] (etc)

Em vez disso, gostaria que se parecesse com:

       ISP
        |
    [Switch]
    /      \
[Router1] [Router2]
  |    |    |   |
[S1] [S2] [S3] [S4] (etc)

Como você pode ver, isso me particionaria em duas redes separadas.

Estou lutando com as configurações IP corretas no Roteador1 e no Roteador2.

Aqui está o que eu tenho agora:

              Router1              Router2
IP Address:   XXX.XXX.XXX.164      XXX.XXX.XXX.180
Subnet mask:  255.255.255.240      255.255.255.240
Gateway:      XXX.XXX.XXX.161      XXX.XXX.XXX.161

Note que normalmente você esperaria que o Router2 tivesse um gateway de .177, mas estou tentando fazer com que ambos usem o gateway originalmente dado a mim pelo ISP.

A sub-rede é, na verdade, possível, ou estou estragando completamente os conceitos mais básicos?

-

Editar

Várias pessoas perguntaram "Porquê". Há alguns motivos específicos para isso:

1. Meu roteador / firewall é bloqueado a cada 6-8 semanas. Eu passei por uma série de dispositivos: NetGear FVS318 , Linksys RV042 , WatchGuard Firebox Edge X20e e um Cisco ASA 5505 . A mesma coisa aconteceu com todos os dispositivos, e é aparentemente devido à dúzia de túneis VPN IPSec que o dispositivo gerencia. Sempre que ele trava, um engenheiro de rede precisa ativar fisicamente o dispositivo.

2. Eu tenho um cliente grande e cerca de 1/2 os servidores no gabinete são deles. Eu gostaria que o cliente fosse capaz de gerenciar o firewall e as regras de VPN em vez de passar por mim. Dessa forma, eu daria a eles acesso root ao Roteador2 e eles poderiam gerenciar tudo sozinhos sem causar problemas ao Roteador1.

Answer 1

Se você não estiver usando o NAT, ou seja, se quiser realmente rotear e colocar servidores reais nesses endereços IP, não será possível criar uma sub-rede da sua rede de maneira transparente para o seu provedor; eles precisarão modificar sua configuração de roteador e suas tabelas de roteamento para considerar sua nova configuração de rede, possivelmente fornecendo dois endereços de gateway e / ou dois roteadores (ou configurando uma nova rota se você colocar uma sub-rede "atrás" da outra) seu firewall no meio).

No entanto, se você continuar usando o NAT e simplesmente fornecer metade dos endereços para um firewall e metade deles para outro, seus IPs externos aparecerão para o seu ISP como pertencentes a uma única sub-rede, e tudo continuará funcionando bem .

    

Answer 2

Tudo parece perfeitamente correto. Observe que os servidores usarão a máscara de rede .240 e o .164 ou .180 como o gateway. No entanto, tem certeza de que deseja desperdiçar dois IPs na sub-rede? Você deve reservar .160 e .176 como endereços de rede, e .175 e .191 como endereços de transmissão. Se você não tiver uma sub-rede, não será necessário fazer isso, então .175 e .176 podem ser hosts.

    

Answer 3

       ISP
        |
        |
        | assumes that this link is not part
        | of x.x.x.160 /27
        |
        |
    [Router]  This router will need three routed ports
   /.161   \ .177
  /         \
 [Switch] [Switch]
  |    |    |   |
[S1] [S2] [S3] [S4] (etc)

    

Answer 4

Não fará qualquer diferença para o seu ISP se você dividir o bloco / 27 em blocos menores, do ponto de vista deles, tudo o que eles sabem é que devem entregar o bloco / 27 para a interface externa do roteador.

Você precisará de um roteador que tenha 3 interfaces separadas (uma WAN, duas LAN) ou um roteador capaz de suportar vários intervalos em suas interfaces.

você pode dividir o bloco em dois blocos separados x.x.x.160 / 28 e x.x.x.176 / 28

No seu exemplo, você tinha seus gateways padrão errados. Cada um desses blocos teria seu próprio gateway padrão, porque cada um dos novos / 28 blocos precisará ser configurado em uma interface no roteador, e qualquer IP configurado nessa interface será o gateway para o resto do bloco.

    

Answer 5

Sim, você deve poder usar o c.x.x.160 / 27 e dividi-lo em x.x.x.160 / 28 e x.x.x.176 / 28. Você pode ter que fazer o seu Roteador2 usar o Roteador1 como o próximo salto, possivelmente por ter um link ponto-a-ponto entre eles e usar um / 30 fora de um intervalo privado como o link.

Além disso, ao dividir o / 27 em dois / 28s, você acaba com menos endereços IP utilizáveis.

Se você puder nos dizer por que deseja dividi-lo, pode ser que haja outra opção para realizar o que você quer que seja feito.

    

Answer 6

Usando um endereço fictício terminado em .160

Network*          Net Broadcast     CIDR Mask              UsableHosts 
192.168.254.160   192.168.254.175   28   255.255.255.240   14          REQ 14  
192.168.254.176   192.168.254.191   28   255.255.255.240   14          REQ 14  

* De minha Calculadora / planejadora de sub-rede

    

Answer 7

Ofc você pode fazer isso, você tem que fazer em / 27 isso significa 30 hosts (mais 2 de rede e broadcast) sua rede será 192.168.254.161 - 192.168.254.190 (eu quero dizer hosts) com 255.255.255.224