iT邦幫忙

0

一張網卡 跨兩網段該如何設定?

公司目前有兩條ADSL,兩台小烏龜後也都接著兩台不同的防火牆。
DC是在192.168.1.6
場內測試電腦走的都是10.1.1.X
原本有一台電腦可以跨網段連結 PING的到 192.168.1.X & 10.1.1.X
也可以互傳資料
不過最近公司更新電腦設備,把電腦換掉之後,使用DHCP自動取得IP
IP: 192.168.1.191
MASK:255.255.255.0
GW: 192.168.1.253
DNS:192.168.1.6

可以PING的到168.95.1.1 也可以PING 192.168.1.X
不過就是無法PING 10.1.1.X的網段

但是把原本換下來的電腦PC_OLD TRACERT 10.1.1.120 發現他GETWAY先走到192.168.1.249

PC_OLD
IP: 192.168.1.117
MASK:255.255.255.0
GW: 192.168.1.253
DNS:192.168.1.6

現在想知道,之前人設定跨網段的方式,因為我把PC_OLD的IP重設、改電腦名稱、退網域,還是可以連結到10.1.1.X的網段,不過PC1給他192.168.1.249的GW,就可以很正常的PING到10.1.1.X的網段,但是因為沒有走192.168.1.253 所以無法連結到INTERNET,變成可以跨網段,但是無法上網的狀況。

感覺好像是某個地方設定PC+OLD的MAC,讓他可以跨網段又上網,但是我找不到...
請大家幫忙看看有可能是哪個地方的設定問題。 THX

目前知道兩台SWITCH有跳一條網路線,不過設定方式既清楚了

6
a218066
iT邦研究生 3 級 ‧ 2011-07-28 10:26:51
最佳解答

請再253的防火牆內加入10.1.1.121的路由就可以了,你說249的GW可以連10.1.1.121那是在249GW裡有加192.168.1.X的路由,如兩台防火牆是同一型號那你可連進去249的防火牆裡看他的設定就知道了

看更多先前的回應...收起先前的回應...
jerry0423 iT邦新手 5 級 ‧ 2011-07-28 13:14:04 檢舉

http://jerry.twblogs.net/000/CONFIG.JPG
這是舊的那台PC的路由表

我要如何把現在的新電腦,設定成相同的樣子呢?

jerry0423 iT邦新手 5 級 ‧ 2011-07-29 11:23:47 檢舉

您好 感謝您的解答
今天去跑了一趟機房 依照現況再重新畫了一張圖

然後我有照您的方法試過 增加一個GW 詳細如下圖

不過一樣是可以PING到10.1.1.X 跟 192.168.1.X
蛋依然無法連上網際網路

jerry0423 iT邦新手 5 級 ‧ 2011-07-29 11:36:30 檢舉

更正
依照上面圖的設定 是無法連接10.11.X的網段
網際網路可以連的

照這樣說 我是應該設定FW還是SWITCH呢?

jerry0423 iT邦新手 5 級 ‧ 2011-08-08 16:36:52 檢舉

a218066大大
其實已經搞定好一個禮拜左右 現在才有時間來這邊還願給各位..
沒錯 就是用你的辦法
我也是問其他朋友提醒才想起這routing table要ADD給他一個靜態路由指向...
下的指令是這樣

route add -p 10.1.1.0 MASK 255.255.255.0 192.168.1.249 METRIC 1

結果馬上就打完收工了...
才發現他這是寫進去regedit 所以我的OLD_PC退網域或是改IP都還是可以連10的網段
這才恍然大悟...

謝謝各位提供的解決方案,讓我這初學MIS小弟受益良多。

jerry0423 iT邦新手 5 級 ‧ 2011-08-08 16:38:52 檢舉

敝公司在新竹園區..有點距離。
不過真的感謝您的解答愛你愛你愛你愛你愛你

10
CalvinKuo
iT邦大師 7 級 ‧ 2011-07-28 10:50:54

應該只要該網卡多設一個IP就行了,選 進階
這個例子是192.168.1.223 GW:192.168.1.10

設定一組IP 我的例子是設定169.254.100.223

這樣就會把169.254.100.X 走 169.254.100.223出去。
192.168.1.X 會走 192.168.1.223
0.0.0.0(外網)透過192.168.1.223走GW 192.168.1.10

看更多先前的回應...收起先前的回應...
CalvinKuo iT邦大師 7 級 ‧ 2011-07-29 14:03:01 檢舉

還有Switch的IP是做為管理使用的,沒有Route功能。
你必須在你的192.168.1.253那台防火牆建一個10.1.1.252 (舉例)IP
以FG-80C來說

應該會有一筆靜態路由加進去,若無就請你新增

讚同上面做法,這做法才是最好的做法,而又很簡單

如果不用上面做法,那麼兩邊的SW必需是L3的,而且需要起routing,兩邊SW都要設定靜態路由,對接的PORT要獨立一/30的網段,這樣也能提供連通性

內部的routing就讓內部的L3設備去做,上到FIREWALL,除非是沒有設備才這樣做

回應calvinkuo大大
網卡設定兩個IP的方法不可行
192.168.1.X這個IP沒問題,其GATEWAY與該IP位於同一網段
10.1.1.x則會有很大的問題,因為這台電腦的實體uplink,並不存在這個ip,由一個網段到另一個網段,一定要經過匣道,但10.1.1.x這個網段的匣道是在另一個實體設備上,找不到匣道根本連不出去,更不用說要到另一個網段,除非設定vlan,設定trunk,讓10.1.1.x段的網路,一直延申到該pc所在的位置

jerry0423 iT邦新手 5 級 ‧ 2011-07-29 17:34:18 檢舉

感謝兩位高手,我在PC1上面修改了設定如下

可以PING到10.1.1.X的網段,也可以PING 192.168.1.X 無法PING 168.95.1.1
不過卻可以上網,但是,非常的慢,TRACSER不給追,不過猜測應該是走192.168.1.249的網段出去,繞了一大圈所以很慢,如果上網可以判斷直接走192.168.1.253的話,那就解決問題了..

CalvinKuo iT邦大師 7 級 ‧ 2011-07-29 17:59:50 檢舉

pisceseros大大,看版主NS5GT & PC-OLD應用設定192.168.1.249來Route 10.1.1.X網段。不知道192.168.1.249是啥設備?
看他NS5GT的Route,ethernet1像是接LAN 192.168.1.X & 10.1.1.X (透過192.168.1.249 Route)
ethernet2&3 分別是不同IP外網(可能是ADSL1 & 2),跟他的架構圖不太一樣喔。

CalvinKuo iT邦大師 7 級 ‧ 2011-07-29 18:05:36 檢舉

不要設在預設Gateway 那會加一筆0.0.0.0往192.168.1.249 (看起來249不會幫你轉到WAN去)
照 a218066大大補充回答的 route -p add命令下就可以了。

6
tn11428
iT邦新手 4 級 ‧ 2011-07-28 11:37:34

應該是192.168.1.253的防火牆沒有設定到10.1.1.121的路由
可以參考.249防火牆的設定
設定好路由後應該就可以了

jerry0423 iT邦新手 5 級 ‧ 2011-07-28 13:15:29 檢舉

192.168.1.253本身就是的硬體防火牆,也是DHCP。

4
pisceseros
iT邦新手 3 級 ‧ 2011-07-29 12:19:06

根據小弟看您提供的新拓撲,就會讓人直接想到,貴公司以前是沒有ADSL_2及那台FORTI的吧

事實上我是不建議這種接法的,這種接法會造一些繞來繞去的思考問題,如果不考慮

load share的問題的話,ADSL-1就直接獨立出來,提供192.168.1.X這一種的USER

使用,ADSL_2則提供10.1.1.X,然後將兩台FIREWAL對接,再將兩邊的路由加到兩台上去

但如果兩個subnet之間有傳輸大量資料的需求,最好是不要使用貴公司目前的接法,還有我上述

的接法,最好兩台SW對接然後起routing,把內部子網路之間的資料交換,交由firewall去執

行是很不好的做法的,另外你提到,目前問題是新的電腦於兩子網路間不能互動,這牽涉到一個

管理上的問題,你應該要去想,如何讓end user在無腦使用的情況下,讓你自己可以做到最簡

單,最輕鬆的管理。

jerry0423 iT邦新手 5 級 ‧ 2011-07-29 12:54:05 檢舉

您好 很感謝您的方案建議,管理問題的話,因為192.168.1.X是主要網段,10.1.1.X是工程用網段,為了讓頻寬不互相干擾所以才分開兩條ADSL,為了讓工程部主管能於辦公室電腦(192.168.1.151)直接管理於(10.1.1.X)下的工程用設備,不需要經常性的線內線外跑,所以才需要跳一個線給他在辦公室做連線,且現階段只有開放他那台電腦可以跨網段,USER是不可以連線的。

原來你的需求是這樣,那其實你不應該在電腦上做這件事,PC_OLD的設法,IP:192.168.1.151,GW:192.168.1.254.249,GW我不太清楚你設的是多少,你的需求其實很簡單,只要在netsrcen裡面就能完成,第一,設定一筆靜態路由,把往10.1.1.X的往3COM那邊丟過去,第二,建立ACL,只允許151可以通過,3COM部份也要設一筆靜態路由,將151丟回去,如此一來就完成了。

方法摘要:
1.在netscren及3COM SW上建立靜態路由,提供192.168.1.X及10.1.1.X之間的連通性
2.使用ACL來限制存取的權限(也可使用policy route)。

不同subnet之間的溝通,請在第3層設備上去施做,像這種在PC上的做法,其實很不建議,因為你失去控制這件事情的主導權,如果你們公司的員工看到這篇,那他們也可以照做,到時就很危險了,因為你連151這IP都秀出來了,到時改個IP就能連過去,PC_OLD總有關機的時候,除非你有做IP與MAC的綁定。

tn11428 iT邦新手 4 級 ‧ 2011-08-01 13:11:28 檢舉

依照版主的新拓樸,3COM L3 Switch跟netscreen(192.168.1.253)直連,所以應該會有192.168.1X的路由,那只要在netscreen的firewall上設定連到10.1.1.X的路由就可以通了
不過有個疑問,192.168.1.249是哪台設備的IP,3COM L3 Switch嗎?
另外,如果你要限制只有192.168.1.151這個IP能連到10.1.1.X的網段的話,可以參考樓上大大的作法,建議對那個主管的電腦做IP與MAC的綁定,不然改天有外部人員或員工把IP改為192.168.1.151,他也可以連到10.1.1.X的網段了。

我要發表回答

立即登入回答