Раздача пула внешних ip адресов во внутреннюю подсеть.

[monorels]

Добрый день. У меня такой вопрос. Как лучше организовать раздачу пула внешних адресов предоставляемых провайдером в датацентре? Есть два роутера CCR1036-12G, (два - для обеспечения отказоустойчивости). Есть 4 пула внешних IP адресов, которые нужно раздать клиентам во внутренней сети. Может быть кто-то встречался с похожей конфигурацией?

[Chupaka]

А как адреса предоставляются? BGP?

Для отказоустойчивости - VRRP

[monorels]

Как адреса предоставляются сказать не могу. С нашей стороны только шнурок с коннектором. Оттуда все эти пулы к нам и затекают (default gw тоже где-то там). Сейчас пока это все работает вообще без роутеров на свичах, с раздачей внешних адресов по dhcp виндовым сервером во внутренней сети. Несколько сумбурно, но, думаю понятно.

[monorels]

Есть вариант сделать раздачу внешних ip сделав еще один интерфейс (bridge). Но там несколько пулов и надо чтобы все эти пулы раздавались со всех внутренних интерфейсов.

[Chupaka]

Есть два варианта раздачи: либо бридж (у провайдера висит адрес, например, х.х.х.1/24, клиенты прописывают себе х.х.х.у/24 и шлюзом указывают провайдерский .1, подключаются к провайдеру через обычный коммутатор), либо маршрутизация (между провайдером и роутером какая-нибудь сеть для интерконнекта, 1.2.3.2/30, а все остальные сети провайдер маршрутизирует на адрес роутера - тогда раздача адресов и поднятие шлюзов по умолчанию - задача роутера компании, а не провайдера).

Второй вариант предпочтительнее и правильнее, но всякое бывает.

Собственно, от настроек провайдера и надо плясать в первую очередь.

[monorels]

>Есть два варианта раздачи: либо бридж (у провайдера висит адрес, например, х.х.х.1/24, клиенты прописывают себе х.х.х.у/24 и шлюзом указывают провайдерский .1, подключаются к провайдеру через обычный коммутатор),
Вот такой вариант у меня.

[monorels]

Там, по-большему счету, не нужен роутер, можно обойтись свичами. Но мне нужно как-то ограничить доступ из внутренней сети к внешним IP. Думаю, как это сделать с помощью роутинга/бриджа т.к. микротики уже есть.

[Chupaka]

Тогда просто всё в бридж, а дальше правилами Bridge Filter запрещать всё, что не нужно, например.