Múltiplos IPs estáticos, NAT e Comcast [closed]

Question

Acabamos de nos inscrever nos negócios de comcast com 5 IPs estáticos e ter uma rede privada interna. Somos uma pequena empresa e espero que possamos comprar um roteador / firewall que simplesmente me permita especificar alguns "pares" externos de IP / porta e tê-los roteados para "pares" internos de IP / Porta.

Nosso antigo modem T1 (netopia) faria isso facilmente e eu não acho que seria um problema. Agora eu estou olhando para firewalls etc on-line e não consigo encontrar algo que vai fazer isso facilmente. Alguém pode recomendar uma solução simples (esperamos que não seja muito cara)?

    

Answer 1

Eu resolvi uma situação semelhante há um tempo atrás com um pequeno servidor Linux configurado como um firewall de ponte atrás do roteador Comcast - dois NICs, um conectado diretamente ao roteador, o outro à minha rede interna. Dessa forma, consegui filtrar o tráfego após o roteador da Comcast ter feito o NAT, sem ter que fazer outra etapa de NAT.

Aqui está um bom documento sobre como configurar um firewall de bridging sob o Debian, mas qualquer distro principal deve ter os módulos e ferramentas que você precisa: link

    

Answer 2

Você deseja um firewall que faça NAT de 1 para 1. Eu uso dispositivos Watchguard XTM 2 e 3 para isso. Você não está expondo todas as portas, pois é um processo de duas partes. A primeira parte é a criação do SNAT, o público para o privado. Em seguida, você precisa criar uma regra de firewall que especifique o tráfego que pode percorrer essa regra SNAT. Este cenário é útil para vários servidores que precisam servir 80/443, por exemplo.

Se você tiver um servidor que precisa servir o 80/443 e outro que precisa do servidor FTP, você pode configurar as regras do NAT com apenas um IP público para atender os dois servidores internos, já que as portas são diferentes.

    

Answer 3

Dependendo de suas necessidades, você pode fazer o que quiser com qualquer coisa, desde um produto doméstico de baixa qualidade até um produto corporativo de ponta. Há literalmente milhares de produtos por aí que atenderão às suas necessidades e todos eles têm suas próprias bases de fãs. Sua melhor aposta é descobrir o seu orçamento para o produto e, em seguida, ver o que você pode pagar. Sou fã da linha de produtos da Watchguard pessoalmente, especificamente para você, eu provavelmente recomendaria um produto XTM3, mas isso pode estar fora do seu orçamento.

    

Answer 4

Eu tive o mesmo problema, mas acontece que existe uma solução. Este artigo foi o elo que faltava para mim. Acontece que é muito simples, e o modem está totalmente equipado para isso.

O ponto crucial é que a Comcast atribui o IP estático no lado da LAN (ou seja, a rede interna), não o lado da WAN. Então, pergunte à Comcast qual é o seu bloco de IPs estáticos, depois configure a máquina que deseja neste IP com o IP e a máscara de sub-rede do roteador e use o IP do roteador como configuração de gateway para a máquina.

Então tudo o que você precisa fazer é configurar regras de firewall em Firewall - > Configuração de porta - > Gerenciamento de porta IP estática verdadeira, se você quiser o firewall. Ou, se você não quiser, marque a caixa "desabilitar firewall para Somente Sub-rede de IP Estático Verdadeiro" na primeira página do firewall.

Veja o artigo para mais detalhes e capturas de tela.