🚀 go-pugleaf

W dniu 2017-05-18 o 20:01, Olek pisze:
> W dniu 18.05.2017 o 16:59, Piotr Lechowicz pisze:
>>
>> Jeżeli dobrze zrozumiałem twój opis i schemat, to wszystkie 4 routery ISP robią NAT. Bez przekierowania portów (PAT) na routerach ISP nie widzę możliwości "wystawienia" serwerów na świat.
>
> Poniższy opis na rysunku
> "all destination DMZ to 192.168.100.1"
> sugeruje, że na ruterach ISP jest dobra konfiguracja.

Nad tym się zastanawiałem.
Jeżeli router ISP robi dla ruchu przychodzącego z WAN coś w rodzaju "catch all" (opcja "virtual server" z mojego wcześniejszego posta) i pcha wszystko do 192.168.100.1, to na pfSense wystarczyłoby przekierowanie typu

iptables -t nat -A PREROUTING -i ethX_DMZ -p tcp -d 192.168.100.1 --dport 80 -j DNAT --to 192.168.200.6

Więc prawdziwym problemem w takiej sytuacji wydaje się być routing odpowiedzi z serwera 192.168.200.6, którą pfSense wysyła trasą domyślną. Wtedy odpowiedź wychodzi do WAN niekoniecznie tym łączem, z którego przyszło zapytanie, a do tego z innym publicznym adresem źródłowym niż ten, na który przyszło zapytanie.

Jeżeli tak jest, to dostęp do serwera w LAN powinien działać na adresie publicznym jednego z 4 WANów - tego, którym ruch wychodzi domyślnie z pfSense (i przy założeniu oczywiście, że pfSense odpowiednio przekierowuje ruch przychodzący).
Czy OP wykonywał taki test?

Piotr