Введение
Бывают
ситуации, когда
полезно
установить две
локальные
отдельные сети,
которые будут
иметь общее
подключение к
Интернету. Нам
совсем недавно
пришлось
столкнуться с
таким случаем.
Компания
желала
обеспечить
подключение к
Интернету
арендаторам,
помимо своего
выхода в
Интернет. У
компании в сети
присутствовало
множество
ресурсов без
особой защиты.
Вместо
навязывания
перехода на
улучшенную
модель
безопасности,
поскольку
пользователи
не желали учить
какие-то пароли,
мы решили
подойти
прагматично и
разделить сети
арендаторов и
компании.
Раздельные
LAN также
обеспечивают
безопасность
вашего
компьютера (или
нескольких
компьютеров) от
различных "червей"
и вирусов с
машин ваших
детей (или
работников).
Посмотрим, как
это делается.
Подход
Наш
подход, по сути,
является
расширением
техники,
подробно
описанной в
руководстве Устанавливаем
совместный
доступ к файлам
и принтерам
между двумя
маршрутизаторами
и имеет тот же
эффект
блокировки
трафика.
Различие
заключается в
том, что мы
разделили
клиентов на две
группы, каждая
из которых
находится за
своим
брандмауэром,
который
блокирует все
данные сети WAN, не
запрошенные
клиентом за
брандмауэром.
Общий
доступ к файлам
и принтерам
между двумя
группами не
работает,
поскольку, хотя
данные выходят
за брандмауэр
одной группы,
они не проходят
через
брандмауэр
другой. Впрочем,
все клиенты
могут свободно
выходить в
Интернет, пусть
и через два
брандмауэра.
Настройка
На Рис.
1 показана
простейшая
конфигурация
сети, которая
основана на
приведённом
выше примере.
Она использует три
маршрутизатора:
один - для
общего доступа
в Интернет, а
два - для
организации
двух сетей,
защищённых
брандмауэром.

Рис. 1. Две
отдельные LAN с
общим доступом
в Интернет.
Ключевой
момент
настройки
заключается в
том, что каждый
маршрутизатор
должен быть
выделен в свою
сеть класса C.
Совет:
сети класса C
предоставляют,
максимум, 254 IP-адреса,
которые имеют
одинаковые три
первые октета
адреса (например,
192.168.3.X) и
используют
маску подсети
255.255.255.0.
Совет:
вам не нужно
использовать
те же подсети 192.168.1.X,
192.168.2.X и 192.168.3.X,
что даны в
нашем примере.
Для LAN вы должны
просто взять
два любых диапазона
IP-адресов,
лишь бы они
принадлежали к
разным
подсетям.
Верхний
маршрутизатор (выход
в Интернет)
имеет одно
подключение к
Интернету
через порт WAN,
которое
раздаётся на
все порты LAN. Но
к этим портам
вместо
компьютеров мы
подключили
порты WAN ещё
двух
маршрутизаторов,
названных на Рис.
1"LAN 1" и
"LAN 2".
Настройка
WAN для верхнего
маршрутизатора
зависит от
требований
вашего
провайдера, но
маршрутизаторы
"LAN 1" и "LAN
2" вам
придётся
настроить. Вы
можете даже
включить на
верхнем
маршрутизаторе
DHCP-сервер и
позволить ему раздать
IP-адреса на WAN-порты
двух других
маршрутизаторов,
либо отключить
его и присвоить
IP-адреса
вручную.
Совет:
мы рекомендуем
метод DHCP,
поскольку,
когда вы
вводите IP-адреса
вручную, вам
необходимо
добавить
информацию о DNS-сервере
и шлюзе по
умолчанию,
которые вы
можете и не
знать.
Вам
следует
использовать обычные
UTP-кабели для
подсоединения
маршрутизаторов.
Подключайте
любой обычный
LAN-порт (не
используйте
порт "Uplink")
на верхнем
маршрутизаторе
к порту WAN на
каждом из двух
нижних
маршрутизаторов.
При этом на
обоих
устройствах
должен
загореться
индикатор "Связь/Link".
Клиенты
LAN следует
установить
таким образом,
чтобы они
автоматически
получали
информацию об
IP-адресе, или
ввести адрес
вручную. После
подключения
всех устройств,
вам может
понадобится
выполнить
функцию Исправить/Repair
соединение на
системах WinXP,
либо
использовать winipcfg
или ipconfig
для отмены
аренды сервера
DHCP и получения
нового адреса,
если с первой
попытки в
Интернет вы не
вышли.
Вариации и
ограничения
Хотя
в примере
приведены один
проводной и два
беспроводных
маршрутизатора,
вы можете
использовать
любую их
комбинацию.
Если вам нужно
больше
локальных
сетей, просто
добавьте ещё
маршрутизаторы,
подключая их
порты WAN к
портам LAN
маршрутизатора,
имеющего выход
в Интернет.
Если
вы используете
несколько
беспроводных
маршрутизаторов,
не забудьте
настроить
каждый из них
на свой канал
(1, 6 или 11 для
конфигурации с
тремя и 1,4,8 и 11
для
конфигурации с
четырьмя
беспроводными
сетями) и
используйте разные
SSID, чтобы
клиенты
различали сети.
Для управления
доступом
следует
использовать разные
ключи WEP для
каждой WLAN,
причём вам
может
понадобиться
включить управление
ассоциацией по
MAC-адресам.
В
такую сеть
легко добавить выделенные
серверы,
просто
подключив их к
маршрутизатору
с выходом в
Интернет и
перенаправив
соответствующий
порт на IP-адрес
сервера. Туда
же вы можете
поместить
компьютер для
общего доступа
к файлам и
принтерам,
поскольку он
будет достижим
для
компьютеров на
всех локальных
сетях (но не
наоборот). Если
вы не желаете
осуществлять
общий доступ к
файлам и
принтерам на
компьютерах,
подключённых к
верхнему
маршрутизатору,
отключите
соответствующую
службу или
защитите
доступ паролем.
Совет:
общие файловые
ресурсы и
принтеры на
компьютерах,
вынесенных в
сегмент сети
верхнего
маршрутизатора,
не будут видны
в сетевом
окружении
компьютеров,
подключённых к
любому из
маршрутизаторов
"LAN".
Однако к ним
можно будет
добраться из
машин "LAN"
по IP-адресу.
Обратитесь к
соответствующей
части нашего
руководства Устанавливаем
совместный
доступ к файлам
и принтерам
между двумя
маршрутизаторами.
Всё
имеет свою цену,
и недостатком
подобной
конфигурации
является сложность
в работе с
интернет-службами,
которые
открывают
соединение со
стороны
Интернета (то
есть
расположение
интернет-серверов
внутри сети).
Любой входящий
трафик требует
открытия "дыр"
в двух
брандмауэров,
что будет
довольно
непросто по
причине
наличия NAT.
В
зависимости от
ваших нужд, вы
можете достичь
успеха, открыв
нужные порты на
маршрутизаторе
с выходом в
Интернет и на
маршрутизаторе
"LAN", к
которому
подключён
компьютер со
службой.
Помните, что,
включая
перенаправление
портов на
маршрутизаторе
с выходом в
Интернет, вам
следует
указывать IP-адрес
WAN
соответствующего
маршрутизатора
"LAN", а не
IP-адрес клиента.
А уже
осуществляя
перенаправление
портов на
маршрутизаторе
"LAN", вы
будете
указывать IP-адрес
непосредственно
клиента.
Дата:
18.12.2003
Автор: Тим
Хиггинс
Источник: http://toms-hardware.ru/