 |
請問Mail Server 上線了嗎? B 主機打算如何上網? A 主機是否增加靜態路由?作者：net walking
的確如linux_xp所言，使用了B網段上的主機負責路由服務了。
如果打算增加Mail Server, 小弟倒是建議以這一台主機把存在已久的潛在問題一次解決, 也就是類似linux_xp 兄所提出的第二個架構, 徹底將四個子網分離, 不過如果繼續以2104P 連網, 則可以讓這台Server 的功能單純一點, 若以三層交換器切割多個VLAN, 那麼以前各子網的Router 就可免了, 甚至把其中配備比較好的一台拿來改成Server 則更省
利用第三層交換機實現多子網的劃分-Cisco頻道-中國IT實驗室
此文章於 2007-12-03 06:12 AM 被 FYI 編輯。
為了讓文章更容易解釋，故麻煩了朋友幫忙在實際環境的機器上作測試截圖，延誤至今天才回覆，還請FYI兄多見諒。
引述第一篇中最下方的段落文章
//
由於設備有限，加上A子網路上主機數量的必要限制，所以大體架構無法做更動，故得請教各位先進，在此環境中是否可使用2104p的路由功能使A、B兩個子網路達到互通且皆可連上網際網路的目的？該如何設定？謝謝各位的指點，小弟感激不盡。
//
主要期望的結果是能達到A、B網段皆可上網，沒有限定只有A可對B訪查。因為主要的目的是要以現有架構使DHCP用戶端可正常上網與提取B網段上主機的資料，所以B是否可訪查A都沒關係。
依照需求，只有一台Mail Server需要上網，其餘的SQL、DVR與SAMBA則無此需求。
因無法預知等Mail Server正式上線後配接與設定是否又得重新來過，故簡化了目前的連接方式，AP改接至原本的24 port Switch上，Mail Server上除了原本內建的網卡外，另外安裝了第二片網卡。於區域連線上以192.168.1.6/29與192.168.1.14/29兩組IP取代原2104p上兩個網段的IP Address。區域連線 2設定為192.168.2.2 Gateway 192.168.2.1， 2104p的1st則改為192.168.2.1/24（2nd未使用），WAN端與ATU-R相連接。啟動Mail Server上WinSrv2003的路由和遠端訪問服務，並在NAT部份新增介面 區域連線 2，而原本由2104提供之DHCP亦改由Mail Server提供，A網段上網或訪查B網段都是透過192.168.1.6閘道，相對的B網段上網與訪查A網段都是透過192.168.1.14這個閘道（除了Mail Server自身上網除外），所以在實際設定上並沒有多佔用掉A網段的IP，其設定詳細設定如下：
Mail Server上的實際截圖
Mail Server Lan 1：192.168.1.6/29、192.168.1.14/29
Mail Server Lan 2：192.168.2.2/24
DHCP Server IP Address：192.168.1.6
DHCP Pool Starting IP：192.168.1.1
Count：5
Vigor 2104p：192.168.2.1/24
TECOM AR4031B ATU-R：192.168.2.3/24
A網段對B網段追蹤路徑實際截圖
B網段對A網段追蹤路徑實際截圖
PS.此作法是應用先前做過的單網卡路由兩個網段的方法，由於曾實做過比較有把握短時間處理好，雖然新增網際網路的應用，不過其只是新增網卡做NAT服務，所以實做上並沒有影響到既定的時程。
後來會持續嘗試用2104p解決此問題，主要也是因為覺得在主機上可用單網卡解決兩個網段的路由，故預設2104p Switch上的單一晶片應該也可以達到此目的，無奈實際測試後發現其有很大的問題存在。
工作場合上的事情，有時候是難以用正常的想法去執行，如果對方是不能接受其他人意見的個性、或是討厭別人當面指正的話，這麼做有時候反而會為自己帶來無謂的災難。依照與朋友這次事情的相處，我猜想也許朋友的老闆平常也許就對電腦有興趣，可能自己玩過幾年電腦、看過幾本網路相關的書籍，所以才會照著自己的想法去規劃網路架構而不許別人做更動吧，這也只是個人的猜測，畢竟該公司的事務我是沒有權利與義務去干預的，我能做的只是盡可能協助我朋友罷了。
Mail Server目前尚為上線服務，所以只拿來充當路由器使用。
詳細設定在上面回文中有詳述，這裡就不再重複引言了。
ATU-R背後的確有4 Prot，這個方法如果可行的話，那就可以省去使用主機來做路由工作了！有時間我會再過去試試看！
再次感謝FYI兄的指點，有時間的話我會再次嘗試多種不同的組合，看能否玩出更簡易的解決方案，若能搞的出來，會再上來報告的。
PS.修正文中Lan 2為區域連線 2，以呼應前段文章。
此文章於 2007-12-05 05:30 AM 被 net walking 編輯。
簡單說, 您的基本架構如下:
AR4031B -> 2104P(NAT) -> Mail Server(NAT) -> Switch -> AP -> (A)小弟只點出您的架構中, 幾個值得討論之處:
沒料到小弟先前不成熟的架構被您看到了, 小弟也是改了再改, 最後決定還是先確定實際需求再說, 所以就刪掉了, 既然目標是只做最少的變動, 而且DHCP Pool Count 必須等於5, 最重要的條件被綁死了, "巧婦難為無米之炊", 您的作法也是沒有辦法的辦法, 而小弟的作法是建立在#10 的基礎上, Mail Server 加(或不加)一片網卡, 直接連往AR4031B, 然後妥善處理Mail Server 的靜態路由, 就可以達成
- Mail Server 也是NAT Server, 因此封包會被Mail Server 和2104P 雙重轉發
- 2104P 是可以移除的, 此時作用為防火牆, 但AR4031B 也可改成NAT Server
- A, B 子網皆可上網
- Mail Server (路由) 佔用A 子網一個IP, 而非原先假設Server 僅能位於B 子網
- ATU-R IP 最好不要和2104P 同網段
您設定的條件中, 最大的限制在於 "DHCP Pool Count 必須等於5", 如果可以等於 "4", 那麼就用不著增加網卡了, 因為既然Mail Server IP 可以是 ".6", 那就沒有理由不能改成 ".5" 吧! 上網和路由就都解決了
- (A) 設定好DHCP Client, 就可以上網
- (A) 可存取(B) 的所有資源
- Mail Server 位於B 子網, 若以PPPoE 直接撥號上網, 則易受攻擊, AR4031B 改硬撥較佳, 且B 子網皆可上網
- 四個192.168.1.0/29 子網不變
其次, 要讓兩個子網都能夠上網, 勢必得增加NAT Server 或是合而為一, 最好的方法應該是購買支援VLAN 的分享器, 便宜的2104P 無法做到, 而且您的子網又切得那麼小, 因此無法採用比較有效率且安全的架構, 也就只好疊床架屋
只用現有設備, 完全不加網卡的方法也是有的, 反正您不在意網路架構是否合乎標準, 但是既然網卡已經裝上了, 那就用不著提了
此文章於 2007-12-04 05:20 AM 被 FYI 編輯。
1.關於第一點的問題，只要A與B網段透過Mail Server的閘道上網的話，其都會經過Mail Server路由轉送，在主機上啟用NAT轉送都會有此手續，所以也只能暫時加重Mail Server的副載了，如果能試出直接由2104p處理網際網路封包的話，會再行上來報告。
2.第二點的問題，一開始沒有交代清楚導致您誤解，實在抱歉，由於其Mail Server於A網段的IP是取代原本2104p的1st IP address，在實務上沒有多佔用A網段的可用IP數量，所以還可以交代過去。
3.至於第三點的部份，除了方便我們實做上的設定，另一方面也是因為當Mail Server正式上線後，應該也是只有他們老闆有帳密，所以其他人可能透過Mail Server串改ATU-R設定的問題我們暫時屏除掉，故讓ATU-R與PPPoE存在同一網段，
其實從開始的文章中並沒有限定Mail Server只可以存在於B而不可佔用A網段的IP，也沒有限定A網段的DHCP Count必須為5，只是盡可能的不要讓各網段的可用IP數量減少太多而減低了日後的擴充可能性，且必須符合他們老闆的子網路劃分設定，讓可用IP不超過該子網路設定。可能是我在每段回文中都列出了同樣的設定值而讓您產生誤解。其實A網段上使用AP連線的業務電腦只有3台，而多出的部份會開放使用則是考量客戶來訪的無線網路使用需求可能，其實並不是限定非得有五個可用IP的。
至於Mail Server部份，雖然該公司老闆要求與其它伺服器一同建置在B網段上，但其實並也非重點，只因為Mail Server剛好是尚未正式上線的新建伺服器，所以我們手邊有帳密可登入設定而已，如果沒有新建的Mail Server可用的話，我們還是得向他們老闆所取其它可用伺服器的帳密來將路由服務建置在另外一台伺服器上，且將如現在的架構必須新增一組IP路由A網段並提供DHCP服務。
其實在我的立場，只要能讓朋友順利交差，讓他完成這次老闆所交待的事情就可以了。不過我個人還是很想了解此環境下是否有更簡易的解決方案，例如像FYI兄所提到的先前設置方式與不加網卡的方法！都讓我感到十分有興趣！我預計今天下班後會再次到朋友公司嘗試不同的設定方式，並依照FYI前次所提到的方式做設定看看，如果能夠免除使用主機做路由的話，就是更完美的了。
再次感謝FYI兄不吝指教，明日嘗試後若有新的進展再上來報告。
PS.修正回文的錯誤，實際上A網段的DHCP Count應該設定成4才對，設定時忘記無線AP是設定在192.168.1.5，所以實際可用IP應該是192.168.1.1～4才對，這部份今天下班時再去改過來。
PS2.另外備註，使用單網卡路由兩個網段的方式，其最大的壞處就是當兩端同時造訪時，其可用頻寬只有50%（共用的緣故），其時以現在一張便宜的網卡不到200元來說，這麼做是不太好的。
此文章於 2007-12-04 05:34 AM 被 net walking 編輯。
沒想到您也這麼認真, 還在考慮如何修改, 您就上來了, 簡單說, , 最好的方法應該是購買支援VLAN 的中高階分享器, Vigor2910G 是其一, 低階無線分享器中, Buffalo WHR-G54S 或Linksys WRT54GS 刷DD-WRT 則還在求證中, 因為DD-WRT 支援VLAN, 但不確定硬體是否配合
FYI兄還沒睡覺還是起床了啊？
我是趕報告還沒睡～
順道上來補充PS2～
VLAN我一直很想玩玩看耶！可惜公司的網路環境下沒有支援VLAN的設備可以玩～原本年中有提案採購思科的L2，不過上面覺得實質效益不大所以打了回票～
Vigor2910G、Buffalo WHR-G54S與Linksys WRT54GS沒有機會玩到，之前自己家中要購買分享器時，網路上也有人建議過Vigor2910G，不過考慮到家中只有一線8M ADSL，所以後來還是用淘汰的電腦架了FreeBSD充當分享器使用，反正順道可以拿來複習FreeBSD～
對了！FYI兄，有個問題想要請教，但每次發文一長串就忘了打～為什麼在Windows Server或Linux環境下可以輕易的使用單張網卡路由兩個網段，但是同樣都是單一網路晶片，使用IP分享器無法達成？是分享器上的作業系統限制嗎？
抱歉, 您考倒小弟了, 小弟只對特定議題有研究, 其他則心虛得很, 小弟猜測也許和軟體有關, 二層交換器只認MAC, 所以應該只要MAC 不重複即可, IP 並無限制, 然而分享器是為特殊目的而設計, 例如2104P WAN IP Alias 最多可設8 組, 所以非不能也, 而是不為也
便宜的VLAN 方案, 請尋找採用BCM5325 Switch 的分享器, Buffalo WHR-G54S 和ASUS WL-550gE 據說有支援VLAN, 但最適合的應該是WRT54GS v1.1, v2.0 & v2.1, ASUS WL-500gP 則貴了點, 請向您的朋友建議一下
補充:
小弟再度實際測試Vigor 的 "For IP Routing Usage", 按照#10 的方法, 以2104P 為閘道, 則(A) 可以存取(B) 的分享資料夾, 由於A 子網切得太小, 僅剩6 個IP 可用, 按照小弟的方法, 則2104P, AP 各用掉一個, 剩4 個IP, 所以容不下Mail Server, 如果當初買的是無線分享器, 那麼就可以省下一個IP 給Mail Server, 皆大歡喜, 這也正是小弟推薦換分享器的原因, 上面所提到的無線分享器價格約NTD1500 以下, 不論是否改刷韌體, 絕對是划算的投資
此文章於 2007-12-04 09:03 PM 被 FYI 編輯。
看到 "SmallNetBuilder - How To: Setting up File and Printer sharing between two routers" 所介紹的方法, 利用(任何)分享器 "LAN to WAN 單向分享" 的特性, 和Vigor 所特有的 "IP Routing Usage" 功能類似, 差別在於接法不同和是否轉換, 條件同樣是只能LAN (A) 訪問WAN (B), 反向 (B→A) 最多只能訪問DMZ, 此外, 由於採用兩個NAT Server, 所以AR4031B 必須改硬撥, 方法請看 "ADSL 軟硬體技術版":
AR4031B ─────→ Switch → (B) & (C) & (D)2104P DHCP Pool Count: 4 (192.168.1.1~4)
(192.168.1.13/29)
↓
(WAN: 192.168.1.14/29)
2104P
(LAN: 192.168.1.6/29) → Wireless AP (192.168.1.5) → (A)
For IP Routing Usage：Disable
2104P 有一版特殊韌體, 支援一路PPPoE 和一路固定IP, 原本是為了Dual-WAN 而設計, 但是應該也可以用於此處, 這樣就不需要將AR4031B 改硬撥了, 不過該測試版韌體並未正式公佈, 所以一般人也無法取得, 但顯然使用了VLAN 的技術, 小弟也只是閒聊, 但您可以發現VLAN 的用處, 那麼只有中高階分享器才支援VLAN 嗎? 當然不是, 小弟猜測2104P 應該不支援您所要的單網卡雙IP, 至少在小弟的2300 不行, WAN 只能在PPPoE/PPTP/DHCP&StaticIP 選一個, 即便以 "ip wanaddr" 也無法增加, 小弟懷疑 "sys iface" 顯示 "IF3" 已經設定PPPoE, 所以無法再設定IP, 顯然是不為也, 非不能也, 因為 "IF0" 就可以設定兩個IP
SmallNetBuilder - VLAN How To: Segmenting a small LAN
請自行看一下DD-WRT 的VLAN 設定介面, 其實硬體要求(價格)並不高, 再回頭想想看, 為何要如此辛苦遷就於2104P?
此文章於 2007-12-10 03:46 AM 被 FYI 編輯。
近日出差，到今日才返家，延至現在才回覆還請FYI兄多包涵。
關於#17的問題，在之前曾經嘗試過，不知是設定上有誤還是設備不同所造成的結果差異，在實際設置後，A網仍只可連到2104p上2nd的ip，而無法透過該閘道使用B網上的服務。由於時間有限，就沒有重複嘗試。
至於VLAN的部份，若小弟有閒錢或是公司有採購相關設備時會再來玩玩，但若是建議朋友公司採購者，考量到局外人的身分，加上改用VLAN架構後所可能造成的更多後續問題（又或者是他們老闆覺得以現有不需額外花費金錢即可解決，又何需再行添購設備，這點可能難以解釋。），為了不使朋友多出更多職務權責外的問題，所以實難向朋友建議。
#18的問題我在滿久以前在朋友那曾測試過，用的是朋友家的聯強分享器，實際測試下就如同FYI所說，B端存取A（WAN）端問題較少，但是B端要存取A端時，會因為系統先天特性而產生許多問題，除了DMZ端之外，其他主機必須詳細在分享器上設定開啟的連接埠與IP位址，才能使該主機服務接收另一網段的資料，且不見得可讓服務正常提供與運作，後續仍舊有許多問題在，但由於測試時間已隔了太久，詳細情形無法記清楚，就不再熬述，只記得當下心中的結論是，這與實際路由目的有很大的差異與問題在，由於沒能達成目的，所以後續也沒有再以不同設定做的重複嘗試。
PS.2104p的2WAN韌體我手上有，同事家中的2104p是向小峰所購買，之前同事在的明誠論壇上曾向小峰索取過，那時曾借來玩了幾天，不過第二個WAN端無論怎麼設定仍無法正確播接，即便使用故定IP線路仍無法讓2104p提供負載平衡服務，所以最後也是沒個結論出來。^^"
此文章於 2007-12-15 03:53 AM 被 net walking 編輯。
小弟在#10 & #18 所介紹的方法是在Vigor2300 實做的結果, (A) Ping (B) 和 (A) 存取 (B) 的共用資料夾都沒問題, 問題是你的設定是否正確和你的實際需求為何?
小弟前面已經提到過 "巧婦難為無米之炊", 在條件不合理之下, 所完成的架構也很難盡如人意, 可惜小弟沒幫上什麼忙, 不過收穫還是不少, 為此, 小弟才稍稍體認VLAN 的好處, 如果您覺得還是穩穩當當比較好, 別搞什麼吃力不討好的DIY, 那麼小弟倒是還有最後一個建議, 小弟推薦明誠科技小峰兄販售的ASUS WL-550gE 明誠頻寬管理版, 一來華碩品質, 二來硬體支援VLAN, 所謂 "進可攻, 退可守", 對公司來說, Mail Server 都花的起了, 不需要省這麼一點小錢吧! 詳細需求可請小峰兄協助, 小弟言盡於此
發表文章規則
| XML | RSS 2.0 | RSS |
本討論區所有文章僅代表留言者個人意見，並不代表本站之立場，討論區以「即時留言」方式運作，故無法完全監察所有即時留言，若您發現文章可能有異議，請 email：[email protected] 處理。
回覆時引用此文章
書籤