Acessando os servidores através de seus IPs WAN da rede interna - conecte-os à LAN também?

Question

Atualmente, temos alguns servidores atrás de um roteador / gateway, que está no modo bridge, portanto, os servidores atribuíram IPs de WAN diretamente sem a execução de NAT. Isso funciona como esperado.

Existe, no entanto, uma rede de computadores de escritório separada atrás de um gateway separado, que está conectado à Internet através do mesmo roteador que todos os servidores.

Aqui está o esquema simplificado:

Basicamente,issosignificaque,comoogatewaydoescritórioestáconectadoaomesmoswitchqueosservidores,elespodemseconectaraosservidorespormeiodoWANIPsempassarpelofirewallprincipaldaInternet.Issoédesejadoetornamuitascoisasmaisfáceis,noentantoestoupensandoseeudeveriaestarconectandoosservidoresàrededoescritórioseparadamentedequalquermaneira?É"um pouco estranho" usar os IPs da WAN para comunicação "interna", mas não consigo pensar em grandes razões para que isso seja realmente ruim ...

Obrigado

    

Answer 1

Eu sugiro que você continue com os IPs da WAN. Vai complicar desnecessariamente as coisas se você quiser tentar usar IPs de LAN para elas. A única vantagem real para os endereços IP privados seria uma configuração de firewall mais simples. Na minha opinião, isso não vale a pena a sobrecarga extra (isso significaria que todos os seus servidores precisam de outro IP atribuído, além de que você precisa configurar o DNS de divisão de cérebros).

    

Answer 2

As coisas parecem estar funcionando da maneira padrão para servidores nessa configuração. Parece que o roteador está configurado corretamente para ter diferentes VLANs (LANs virtuais) para seus servidores na DMZ (zona desmilitarizada).

Mesmo que os servidores na DMZ tenham endereços IP privados, o roteamento deve permanecer como está. Eles precisariam de seu próprio intervalo de endereços IP separado do intervalo usado pelos hosts atrás do gateway do escritório. O uso de endereços privados exigiria o dobro do trabalho na configuração das entradas de DNS e erros de risco na configuração. Uma configuração DNS dividida seria necessária e seria necessário ter cuidado para garantir que os endereços privados não vazem.

Também haveria um problema se você permitiria que os hosts por trás do gateway do escritório acessassem os hosts no DMZ usando seus endereços IP públicos.

    

Answer 3

Se você não quiser usar ips da WAN na rede, o FW / gateway não deve ser conectado em ponte, ou pelo menos ter o NAT ativado, se não, contanto que esses servidores publicamente acessíveis estejam em uma DMZ e separados da rede. endereços IP não roteáveis (em uma sub-rede separada) com um FW de acordo com o gateway do seu escritório, você deve estar bem.