Приветствую!

Сеть офиса 192.168.0.0/23

D-Link DFL860 имеет адрес 192.168.0.230/23 (Прошивка 11.04.01.11-30428)

WatchGuard SOHO 6 (воткнут в локалку, в свитч) имеет адрес 192.168.200.1/24 и далее имеет выход в сеть 10.14.0.0/16

Задача: получить доступ к сервисам по https из сети 192.168.0.0/23 в сетях 10.14.0.0/16, 10.15.40.0/24, 10.15.61.0/24

На данный момент эта задача решается прописыванием себе дополнительного ip из сети 192.168.200.0/24, DNS 10.14.0.2, маршрутов до сети 10.14.0.0/16 и/или бывает задействуется файл hosts...

На мой взгляд, данная схема кривая и её следует заменить на следующую:

WatchGuard SOHO 6 воткнуть в D-Link DFL860 (в DMZ порт), настроить маршруты до сети 10.14.0.0/16

чтобы не было заморочек с прописыванием 2-го ip, DNS и файлами hosts.

Что сделано:

DMZ_IP 192.168.200.2/24
DMZ_NET 192.168.200.0/24
DMZ_GW 192.168.200.1 (WG SOHO 6)
DMZ_NAT_POOL 192.168.200.3 - 192.168.200.252 (Proxy ARP DMZ)

DEST_NETWORK (10.14.0.0/16, 10.15.40.0/24, 10.15.61.0/24)

Маршруты для DMZ
___type______Int________Network_____Gateway
Route IPv4___DMZ___DEST_NETWORK__DMZ_GW 80

___type______Int____Network
Switch Route_DMZ___DMZ NET 90

Правило для DMZ
Ip Rule
NAT
Source_____LAN => LAN NET
Destination__DMZ => DEST_NETWORK

all_tcpudpicmp

NAT_action => NAT Pool
NATPool => DMZ_NAT_POOL
***********************************************
Что работает:

ping 10.14.0.2, это DNS сервер в этой сети

nslookup tfs.a*****y.ru 10.14.0.2
возвращает
Server: penza.a*****y.ru
Address: 10.14.0.2
Name: a*****ytfs.a*****y.ru
Address: 10.15.40.129
Aliases: tfs.a*****y.ru

tracert 10.14.0.2 на 4 шаге возвращает 10.14.0.2 и завершается

В логах есть следующее:

Да, в логах "conn_open_natsat"

источник 192.168.0.99
назначение 10.15.40.129
conn=open connnewsrcip=192.168.200.170 connnewsrcport=53226 connnewdestip=10.15.40.129 connnewdestport=443

НО! В итоге, сервисы по http/https не открываются

Заранее благодарю за ответы!

показывайте скринами
- правила
-маршруты

вам надо NAT-натится в эти сети . или ходить со своими адресами ?
а лучше картингку с адресами и прочим от руки

а ваш WatchGuard SOHO 6 знает что ни будь про 192,168,0,0/23 ?
знает куда обратный пакет вернуть ?

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку

.noname
Если я вас правильно понял в столь поздний час, то у меня так:
Если что, знатоки подправят.
Прошивка в подписи.

_________________
DFL-860E 11.10.01.06-31274 (WW)
DFL-210 2.27.03.25-14787 (WW)

Да, NAT необходим, иначе SOHO6 отпинывает запросы не из сети 192.168.200.0/24
Не обязательно NAT_pool, можно адрес DMZ использовать, но пусть будет pool, чтобы можно было проследить...



Насколько я понимаю данную схему, он ничего не знает о сети 192.168.0.0/23, да и не должен знать, ведь все запросы приходят с ip из его сети через 192.168.200.1

Так не работает

У меня ARP Publishing`а нигде нет

_________________
DFL-860E 11.10.01.06-31274 (WW)
DFL-210 2.27.03.25-14787 (WW)

Я ничего не упустил в вашей схеме.

_________________
DFL-860E 11.10.01.06-31274 (WW)
DFL-210 2.27.03.25-14787 (WW)

да, всё верно )

Вот что только что обнаружил.

Я уже для одного сервиса делал такое, имя (https://tfs/ERP/Business%20automation/Procurement%20system) менял на ip 10.15.40.129 - выдаёт "HTTP Error 404. The requested resource is not found."

а сейчас что-то решил для другого сервиса (http://reclamationmanager/view/851271) подставить вместо имени ip (10.14.0.37), запросил логин-пароль, т.е. работает

Чего-то где-то не хватает, в том числе и у меня в голове

Ну если все верно, то вышеприведенные правила у меня работают. =)

_________________
DFL-860E 11.10.01.06-31274 (WW)
DFL-210 2.27.03.25-14787 (WW)

Я выложил, то что вы просили. Есть какие-нибудь варианты, в чем может быть дело?

я что то правил не увидел

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку

В какой именно порт что куда у вас подключено?
Правильно ли я понимаю, что испытуемая схема такая:
Lannet ---lan-[DFL-860]-dmz-------wan-[WGuard]-lan---- Destination_networks

_________________
С уважением, Matrox.
DFL, HPE, QNAP, Netgear и прочее железо...

Или все-таки схема такая

Lannet ---lan-[DFL-860]-dmz-------lan-[WGuard]-wan---- Destination_networks

_________________
С уважением, Matrox.
DFL, HPE, QNAP, Netgear и прочее железо...