服务器 Gind.cn
  1. 服务器 Gind.cn
  3. 双NATnetworking的networking重构方法
Intereting Posts
如何将wlan0转发给eth0？ IIS WebServer创build新文件：OwnerShip？ Resize2fs不工作？ Exchange将不会login到智能主机 我没有在我自己的机器上的权限？ 根据现有源创build自己的RPM – 更新RPM？ Github如何知道哪个用户提交了？ 通过VPN连接访问域控制器 思科ASA 5505 l2tp vpn 无法访问我的VirtualMachine之外的nodejs应用程序 SCCM部署（XP）在随机计算机上失败; 似乎不能与服务器通信 我的共享IP地址被列入黑名单。 临时使用同一个域的另一个SMTP帐户最快的方法是什么？ Solaris 10：更新和补丁是免费的？ 在ESXi 4.1中使用2个NIC Hyper-V 2012和P2000 SAS SAN

双NATnetworking的networking重构方法

由于许多年前为了节省几块钱而做出的一系列糟糕的networkingdevise决定（主要是），我有一个明显不是最优化的networking。 我正在寻求改善这种不太愉快的情况的build议。

我们是基于Linux的IT部门和预算有限的非营利组织。 （注意：我们运行的任何Windows设备都没有与Internet互通的任何内容，也没有任何员工的Windowspipe理员。）

关键点：

  • 我们有一个主要的办公室和大约12个远程站点，使用物理隔离的交换机将他们的子网NAT加倍。 （没有VLAN和使用当前交换机的能力有限）
  • 这些位置有一个“DMZ”子网，在每个站点的同一个10.0.0 / 24子网上进行NAT。 这些子网不能与任何其他位置的DMZ进行通信，因为除了服务器和相邻的“防火墙”之外，我们不会将它们路由到任何地方。
  • 其中一些位置有多个ISP连接（T1，电缆和/或DSL），我们使用Linux中的IP Tools手动路由。 这些防火墙都运行在（10.0.0 / 24）networking上，主要是“pro-sumer”级防火墙（Linksys，Netgear等）或ISP提供的DSL调制解调器。
  • 连接这些防火墙（通过简单的非托pipe交换机）是一个或多个必须公开访问的服务器。
  • 连接到主办公室的10.0.0 / 24子网是用于电子邮件，远程办公室VPN服务器，到内部192.168 / 24子网的主要路由器的服务器。 这些必须根据stream量types和连接来源从特定的ISP连接访问。
  • 我们所有的路由都是手动完成的，或者使用OpenVPN路由语句
  • 局域网内的stream量通过主要的“路由器”服务器上的OpenVPN服务，它有自己的NAT。
  • 远程站点仅在每个站点安装一台服务器，由于预算限制，无法承担多台服务器。 这些服务器都是LTSP服务器几个5-20terminal。
  • 192.168.2 / 24和192.168.3 / 24子网大部分是但不完全在可以做VLAN的Cisco 2960交换机上。 其余的DLink DGS-1248交换机，我不确定我是否可以信任与VLAN一起使用。 由于只有高级networking人员了解它是如何工作的，所以还有一些关于VLAN的内部关注。

所有常规的互联网stream量都通过CentOS 5路由器服务器，根据手动configuration的路由规则，将192.168 / 24子网转换为10.0.0.0/24子网，我们使用这些路由规则将出站stream量指向正确的互联网连接'-host'路由语句。

我想简化这一切并为ESXi虚拟化做好准备，包括这些面向公众的服务。 是否有一种无成本或低成本的解决scheme，可以摆脱双重NAT，并为这个混乱恢复一点理智，以便我未来的替代品不会让我失望？

主要办公室的基本图表： 在这里输入图像描述

这些是我的目标：

  • 具有中间10.0.0 / 24networking接口的公用服务器将被移到ESXi服务器上的192.168.2 / 24子网中。
  • 摆脱双重NAT，让我们的整个networking在一个单一的子网。 我的理解是，无论如何，这是IPv6下我们需要做的事情，但是我认为这个混乱是阻碍的。

1.）在基本上其他任何事情之前，你的IP寻址计划理顺了。 重新编号是一件痛苦的事情，但这是迈向可行的基础设施的必要步骤。 为工作站，服务器，远程站点（自然拥有独特的IP），pipe理networking，环回等等设置舒适的大型，简单的超网。RFC1918有很多空间，价格是正确的。

2.）根据上面的图表，很难了解如何在您的networking中布置L2。 如果在各个网关中有足够数量的接口以及足够数量的交换机，则VLAN可能不是必需的。 一旦你有了第一的感觉，分开重新批准L2问题是有意义的。 也就是说，VLAN不是一个特别复杂或新颖的技术，不需要那么复杂。 一定数量的基础培训是有条不紊的，但至less将标准交换机分成若干组端口（即无中继）的能力可以节省大量的资金。

3.）DMZ主机应该放在他们自己的L2 / L3networking上，而不是与工作站合并。 理想情况下，您可以将您的边界路由器连接到L3设备（另一组路由器L3交换机），然后连接包含面向外部服务器接口（SMTP主机等）的networking。 这些主机很可能连接到不同的networking，或者（不太理想的）连接到一个通用的服务器子网。 如果您已经适当地布置了子网，那么指定入站stream量所需的静态路由应该非常简单。

）尝试保持VPNnetworking与其他入站服务分离。 这将使安全监控，故障排除，会计等变得更容易

4.）通过几个运营商（阅读：BGP），您不需要整合您的Internet连接和/或通过多个运营商路由单个子网（您需要边界路由器之前的中间跳，以便能够适当地redirect入站和出站stream量我怀疑你现在在做什么）。 这似乎比VLAN更令人头痛，但我想这是相对的。