Múltiplos intervalos de IP externos em um Juniper SSG5

Question

Eu tenho um firewall Juniper SSG 5 em um datacenter. A primeira interface (eth0 / 0) foi atribuída a um endereço IP estático e possui três outros endereços configurados para VIP Nat. Eu tenho uma rota estática configurada na prioridade mais baixa para 0.0.0.0/0 para o gateway da minha empresa de hospedagem.

Agora preciso configurar um segundo bloco de IPs. Eu tenho os IPs atribuídos à segunda interface (eth0 / 1) que está na mesma zona de segurança e roteador virtual como o primeiro. No entanto, com essa interface ativada, eu (a) não posso iniciar sessões de saída (navegar na Internet, ping, pesquisa de DNS, etc), embora eu possa acessar servidores atrás do firewall muito bem de fora e (b) não o IP de gerenciamento do firewall / gateway.

Eu tentei qualquer coisa que eu possa pensar, mas eu acho que isso é um pouco acima da minha cabeça. Alguém poderia me apontar na direção certa?

Interfaces:     ethernet0 / 0 xxx.xxx.242.4 / 29 Não confiável Layer3
    ethernet0 / 1 xxx.xxx.152.0 / 28 Não Confiável Camada3

Rotas:

link

    

Answer 1

Como os IPs vêm do mesmo ISP, você pode simplesmente aplicar os endereços do novo bloco aos MIPs na interface não confiável existente. Você não precisa definir uma segunda interface física.

Isso funciona porque o Netscreen também é um roteador.

Assim, quando o mundo quiser enviar pacotes para o novo bloco, o ISP enviará ARP para o IP no novo bloco, e seu Netscreen responderá.

Quando o Netscreen precisa enviar pacotes de volta para o resto do mundo a partir de um IP no novo bloco, ele usará o roteador padrão do bloco existente; o ISP deve aceitar esse tráfego.

Isso não é intuitivo, mas funciona.

    

Answer 2

Você pode tentar criar uma interface de loopback e associá-la a um novo bloco de endereços e associá-los à interface Ethernet primária. Você precisará manter seus MIPs na interface de loopback. Eu estou usando essa configuração e está funcionando muito bem.