作者scottliu (scott)
看板Broad_Band
標題[問題] 不同網段互通問題
時間Sun Jul 5 18:29:46 2020
小弟最近調整家中網路，爬文了還是有些不懂想問大家
家中網路架構
https://i.imgur.com/UXINEVn.jpg
我想讓在86U底下的Computer A可以連到66U+底下的Computer B
目前在小烏龜設置靜態路由如下
https://i.imgur.com/T19m3LD.jpg
86U設置
https://i.imgur.com/p89kzQy.jpg
66U+設置
https://i.imgur.com/7uGWoh1.jpg
設置完仍然互相ping不到
想問一下是有那裡設定錯或沒設定到嗎
謝謝
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.228.231.162 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Broad_Band/M.1593944988.A.618.html
1F：推 azdy: 應該互設對方路由器為閘道？07/05 19:33
2F：→ azdy: 烏龜不用設置？07/05 19:34
調整成兩台router互相設置 小烏龜設定取消
86U
https://i.imgur.com/khnW2pk.jpg
66U+
https://i.imgur.com/BFp7K4R.jpg
還是ping不到...
3F：→ jeff40108: 就是不同網段怎麼ping的到07/05 20:19
4F：推 azdy: ping 誰ping 不到？設靜態路由，NAT 還是有作用的吧？WAN 外07/05 20:20
5F：→ azdy: 能ping 進去LAN 段？07/05 20:20
A B電腦互ping不到
6F：推 jeff40108: 你這樣設就是兩台router可以互ping而已，下面的電腦是07/05 20:23
7F：→ jeff40108: 不同網段的07/05 20:23
8F：→ jeff40108: class C就是/24的，你要能ping就請設成classB的07/05 20:25
不是封包送得到回的來就可以嗎 不太懂為什麼要Class B
9F：推 luciferhsu: 你下面兩台電腦的gateway有指到分別router上嗎?07/05 20:27
A電腦是DHCP 閘道192.168.50.1
B電腦也是DHCP 閘道192.168.51.1
10F：→ jeff40108: 而且你要能ping那幹嘛設nat?07/05 20:27
11F：→ jeff40108: 並不是你把wan跟lan設成同ip就是同網段好嗎07/05 20:28
12F：→ jeff40108: 建議你乖乖全部插lan port07/05 20:31
不是很懂
我是希望這兩台電腦網段隔開 因為底下的裝置需要分別使用不同的IP上網
全部插LAN也有考慮 但是那是最後手段
還是希望能先做到我要的
13F：→ ornv: IPSec Lan to Lan07/05 21:00
VPN？ 這樣會不會不穩
14F：→ jeff40108: 沒有為什麼，因為nat不是真的routing07/05 21:07
15F：→ jeff40108: 除非你想自己設轉址07/05 21:08
這是什麼 有關鍵字嗎
16F：→ jeff40108: 就算你把小烏龜改成/16也ping不進另一個網段的07/05 21:09
所以我想要這樣兩台電腦互通是不可行的？
17F：→ jeff40108: 樓上有人說的應該也能通啦 07/05 21:21
18F：→ jeff40108: 就怕你拿到兩個ip而已 07/05 21:22
19F：→ Saren: ap除了要指定對方ap的ip 還得要接受對方網段來轉到自己內網07/05 21:26
20F：→ Saren: 接受對方網段的設定應該是放在防火牆設定裡 如果是linux下07/05 21:36
21F：→ Saren: 的語法應該類似iptables -A FORWARD -s 192.168.51.0/24 -d 07/05 21:36
22F：→ Saren: 192.168.50.0/24 -j ACCEPT 07/05 21:36
23F：→ Saren: 但是你兩個ap下的網段對小烏龜的存取也是NAT 沒什麼機會 把 07/05 21:59
24F：→ Saren: 整個網段改成192.168.0.0/16 才有機會用上面的語法去互通07/05 21:59
25F：→ Saren: 小烏龜那段改成/16就好07/05 22:01
26F：推 HiJimmy: 後來調整得應該是對的，再來去防火牆設定07/05 22:28
27F：推 HiJimmy: 介面要改LAN07/05 22:30
28F：→ fonzae: 原PO不是對接，小烏龜要設靜態路由07/05 22:50
29F：→ fonzae: 反而是兩台ASUS不用，請原PO先確認系統防火牆是否打開 07/05 22:51
30F：→ fonzae: 若打開，請先關閉，若不通請抓封包看資訊07/05 22:51
改由小烏龜設置靜態路由 兩台ASUS取消
使用Wireshark抓ping封包顯示No response seen to ICMP request
兩台ASUS router 防火牆都關了 小烏龜的沒有關
小烏龜
https://i.imgur.com/hLzW4kw.jpg
還是不成功 :(
31F：→ fonzae: PC的防火牆呢?07/05 23:30
我直接SSH進asus router 86U ping 66u+也ping不到@@
不知道哪裡錯了
更正一下好了
86U ping 192.168.1.102 有通
86U ping 192.168.51.1 不通
小烏龜已改成192.168.1.1/16
32F：推 s69910: 把其中一台改為橋接模式？07/05 23:38
橋接模式就沒辦法切兩個區網了
33F：→ fonzae: 不對啊! 為何你兩台ASUS 會有硬播浮動跟浮動固I07/05 23:45
因為兩台底下的設備各需要不同實體IP(底下各不只一台電腦)
34F：→ fonzae: 先取消PPPOE吧07/05 23:46
35F：→ fonzae: 現在是在幫你找，為何封包轉不進去07/05 23:47
好
神奇了 兩台ASUS取消PPPoE 50網段可以ping到51的 51的ping不回來 還在看是什麼問題
那這樣只能取消PPPoE了嗎
36F：→ fonzae: 不對啊! 你小烏龜不是都設好固定路由?07/05 23:55
37F：→ fonzae: 你要知道沒有宣告，就是往外丟07/05 23:55
對 我正在檢查
38F：→ fonzae: 還是權重? 我看小烏龜好像有這東西07/05 23:56
39F：→ fonzae: 如果今天丟一個192.168.51.101 從1982.168.50.10107/05 23:56
40F：→ fonzae: 那就會先從86U開始檢查，由於86U沒有設置靜態路由07/05 23:57
41F：→ fonzae: 所以就會往上丟，小烏龜此時有設置就知道要丟到哪個路由器 07/05 23:57
42F：→ fonzae: 家用路由器都會設置ICMP 轉存才對07/05 23:57
43F：→ fonzae: 所以你現在靜態路由表是OK的，那麼剩下問題就自己茶吧07/05 23:58
權重都設成0了 還是有一邊不通 不過這應該很好解決
44F：→ fonzae: 至於硬播浮動固I的需求，我只能說，換台路由吧07/05 23:58
45F：→ fonzae: 小烏龜當作Core router也不好，買台mikrotik07/05 23:59
46F：→ fonzae: 不就皆大歡喜，一台可以硬撥多個PPPOE07/05 23:59
47F：→ fonzae: 又可以指定網段走哪個PPPOE，效能又不錯07/05 23:59
真的要買也不是不行 只是我比較好奇我現在的設備有沒有辦法達到我上面的要求
48F：→ fonzae: 要你取消PPPOE，就是怕封包丟過去，他就丟棄啊!07/06 00:05
是指哪一台會丟棄？ ASUS的嗎
49F：→ fonzae: 你要先解決內部架構，在處理外部啊!07/06 00:05
50F：→ fonzae: 內部搞不定，還參雜外部IP來玩07/06 00:05
51F：→ fonzae: 而且正常架構都是內部到防火牆，由防火牆分配07/06 00:06
52F：→ fonzae: 如果你今天兩台路由在兩地，那就會跟上面一樣建議你用 07/06 00:07
53F：→ fonzae: IPSEC VPN，然後設靜態路由解決 07/06 00:07
54F：推 azdy: 借問一下家用分享器，WAN 端可以拿2個ip?07/06 00:08
ASUSWRT可以
55F：→ fonzae: 很久沒碰ASUS路由，我知道現在ASUS路由可以設置次要IP07/06 00:08
56F：→ fonzae: 也就是WAN撥接 + LAN IP 07/06 00:08
57F：→ fonzae: 但是否有問題，那就會像你現在碰到這樣 07/06 00:09
58F：→ fonzae: 不確定那就簡單一點，取消PPPOE，回歸最基本架構07/06 00:09
所以目前來說最有可能是連PPPoE之後有東西在作怪？
59F：→ fonzae: 我不確定，很久沒用ASUS07/06 00:13
60F：→ fonzae: 倒是碰過小烏龜的靜態路由表是失效的 07/06 00:13
61F：→ fonzae: 就算我用到ASUS的路由器，也只是那種家用 07/06 00:14
62F：→ fonzae: 那些家庭不會有你這種設置靜態路由的需求 07/06 00:15
63F：→ fonzae: 而要設置靜態路由，反而都是企業才會弄到 07/06 00:15
64F：→ fonzae: 但那些企業怎麼可能買ASUS 路由器呢! 07/06 00:15
如果真的不成功那就只能買企業級的了…
65F：→ tomsawyer: 你要不要電腦設定route table試試看? 07/06 00:24
66F：→ tomsawyer: 哦沒事 兩台router可以互測07/06 00:30
67F：→ Saren: AP的防火牆沒有把自己網段的封包轉送進來啊07/06 08:50
68F：→ Saren: 再來是你小烏龜那段的區網設定是/24 你又要傳不同段的封包07/06 08:53
小烏龜改/16了
69F：→ Saren: 這個邏輯就是有問題了 07/06 08:54
71F：→ Saren: 介面LAN跟WAN再都試一下07/06 09:01
72F：→ Saren: 也就是從WAN進來要找內部網段的封包要轉向內部介面的ip 07/06 09:03
我試了一下 發現昨天那樣設置路由(兩台asus互設)其實兩邊都是通的 只是剛好測試pi
ng的電腦很像還有一些防火牆規則在所以沒有回應
但是只要PPPoE一撥號就不行了@@
73F：→ DanielJi: 開DMZ連對方的WAN IP就好 07/06 11:42
這樣沒辦法耶 因為兩邊網路底下都不只一台電腦
74F：→ Saren: 那要不要telnet進去看ip addr show 可能沒辮法接受兩種wan 07/07 06:20
75F：→ Saren: 設定 手動指定個靜態ip給wan介面 "ip addr add 192.168.107/07 06:20
76F：→ Saren: .101/24 dev eth0.1" 其中eth0.1是wan介面 可能不同路由器07/07 06:20
77F：→ Saren: 不同名稱07/07 06:20
78F：推 birdy590: 你這架構用底層的 Linux 絕對做的出來 但韌體GUI未必行 07/07 08:56
79F：推 overxxx: 的確要telnet去下ip addr,看你有哪些interface 07/07 09:32
80F：→ overxxx: 之前用過dd-wrt,在pppoe撥號後,要手動指定ip跟下iptables 07/07 09:36
搞了很久發現只要開PPPoE 我在GUI設定的route就會被清掉
https://i.imgur.com/9KuBHuF.png
所以就在PPPoE後SSH進去手動加回去
https://i.imgur.com/KUhrDez.png
就可以ping的到了
81F：→ birdy590: 這樣session斷線重連就又掛了吧?跟GUI打架很麻煩 07/07 10:06
這個不是永久的嗎 還是每次開機GUI會override? 要試一下
82F：→ Saren: 重開機會被清空 看看有沒有機會寫在rc.init之類的裡面了07/07 10:18
83F：→ Saren: pppoe斷線重連應該也會不見. 看要不要改ddwrt 彈性比較大了07/07 10:20
ASUS這兩台不是只能刷Merlin?
我之前看什麼tomato的都不行 CPU架構的關係吧
84F：→ Saren: merlin沒用過 說不定也可以07/07 10:20
我就是用merlin
應該是可以寫開機腳本
只是現在有個問題
就是兩台asus防火牆都關閉的情況下
兩邊區網底下有些服務可以用有些不行 只要跨區網的話nmap去掃就變filtered 這是路由器
問題還是那個裝置的問題？
--
自己回 應該是裝置防火牆擋掉了
兩邊區網ubuntu用nmap互掃port都是開的
85F：→ Saren: 那寫個script 10秒一次檢查 手動加的不見就自行重加這樣?07/07 10:25
剩最後一個問題
就是目前兩台asus 只要防火牆打開就會被擋掉
那GUI這樣有辦法加規則嗎
https://i.imgur.com/Opon8UM.jpg
還是要SSH進去調 我看網頁這個很像沒辦法加整個區網的rule？
86F：→ overxxx: 沒辦法用這個GUI,要自己下iptables指令07/07 14:52
好 我來看看要怎麼加
87F：→ birdy590: 不是說了嗎 跟GUI打架很累的 要做這個塞一台mikrotik07/07 16:39
88F：→ birdy590: 不是輕鬆很多?07/07 16:39
有 有在考慮
89F：推 lgla: 為什麼不乾脆用雙wan ，兩台電腦就可以在同一個區網下，再07/07 20:24
90F：→ lgla: 分別指定由哪個wan出去就好了。07/07 20:24
因為某些原因，底下的其他設備不要同區網
91F：→ Saren: 這篇跟樓上是同概念07/07 20:42
92F：→ fonzae: 怎麼還沒解決，基本上家用的路由器不用去思考防火牆07/08 12:28
不用思考防火牆的意思是做太爛嗎 所以關掉比較好？
93F：→ fonzae: 再來你的次要IP會因為WAN IP取得而清除route table07/08 12:29
94F：→ fonzae: 講白話就是家用路由器韌體太爛07/08 12:29
95F：→ fonzae: 不然我不會要你關掉PPPOE07/08 12:29
96F：→ fonzae: 老話一句，花個千元買個Mikrotik，然後去學習他的用法07/08 12:30
Mikrotik我有在考慮了
97F：→ fonzae: 至於ASUS提供的防火牆，不就單純阻止ddos，應該不會阻止你07/08 12:31
98F：→ fonzae: 內網溝通，畢竟你的Port是有開通的，代表是可以過去07/08 12:31
99F：→ fonzae: 問題應該還是WAN的次要IP失效問題，因為路由表更新07/08 12:32
100F：→ fonzae: 只要有這筆，都會記錄的，不應該被清除掉07/08 12:32
101F：→ fonzae: Static route的確就是要宣告不同網段的連通07/08 12:33
102F：→ fonzae: 所以也不用特地將小烏龜netmask改成/16，沒必要07/08 12:34
103F：→ fonzae: 三台路由都是192.168.1.0/24網段，自然就能溝通了07/08 12:34
這個我晚點回家試試看
104F：→ fonzae: 至於到底層去下iptable，之前我進去底層過，權限應該沒給07/08 12:35
105F：→ fonzae: 理論上你直接vi，去增加rule，儲存完重啟防火牆服務07/08 12:36
106F：→ fonzae: 下command也可以，只是我的習慣都是進conf去修改07/08 12:36
107F：→ fonzae: 但我沒記錯，ASUS應該沒有給你最大權限07/08 12:36
ASUS原廠我不知道 但是Merlin應該是有最高權限
108F：推 overxxx: 主要是PPPOE連線後,WAN的介面就變ppp0之類的虛擬介面,而07/08 12:54
109F：→ overxxx: 實體的介面有可能是ethx,vlanx需要自己再另外設定IP 07/08 12:56
110F：→ overxxx: 用過dd-wrt、tomato、padavan的經驗,只有padavan在pppoe07/08 12:59
111F：→ overxxx: 設定為WAN後,還可以設定一個MAN IP,算是很方便的UI設計 07/08 13:00
MAN IP是指什麼？ 我在ASUS靜態路由有看到 但是Google 一直跑出葉問…
112F：→ overxxx: 而且還有很多對應的script可以自行設定 07/08 13:02
113F：→ overxxx: merlin的話,去研究一下jffs partition就可以設定script了 07/08 13:24
有 這個我之前用ddns script有用過
114F：→ overxxx: LAN、MAN、WAN一起查.在你PPPOE連上後public ip是你的WAN 07/08 13:54
115F：→ overxxx: 192.168.1.x是你的MAN,所以GUI路由可能就要改選介面MAN 07/08 13:55
https://I.imgur.com/1Yu5JNf.jpg
是這個？
我回去試試看
116F：→ fonzae: ASUS路由器提供的防火牆並不是專業級的07/08 16:20
117F：→ fonzae: 所以不用去特地考慮開ASUS路由器防火牆07/08 16:20
118F：→ fonzae: ASUS連補洞都比其他家慢了，所以防火牆真的不用太苛求07/08 16:22
手動增加iptables rule就成功了 謝謝
※ 編輯: scottliu (39.8.126.225 臺灣), 07/14/2020 19:44:02