Eu tenho um roteador VyOS. VyOS é um fork OSS do Vyatta pré-Brocade/pré-Ubiquiti EdgeRouter. Possui uma DMZ de frente para vários servidores voltados para o público e uma zona privada de frente para nossas redes WiFi e ethernet privadas.
Anteriormente, trabalhamos com DSL com um endereço IP estático. O modem DSL estava simplesmente no modo bridge, e o endereço IP estático foi atribuído à interface WAN do roteador VyOS. DSL (e um único endereço IP) tornou-se insustentável.
Estamos configurando o Comcast Business Class Internet (5 endereços IP estáticos). Com ele, você deve usar o Comcast Business IP Gateway (um modem DOCSIS 3.0 sofisticado, neste caso um modelo Cisco tipo BWG-DPC3939B) se quiser ter endereços IP estáticos (seu próprio equipamento só é permitido com um endereço IP dinâmico ). Além disso, se você deseja ter endereços IP estáticos, não pode colocar o Gateway IP no modo bridge. Ele reverterá para endereçamento dinâmico se você fizer isso. O endereçamento estático está disponível apenas no modo roteador, embora a Comcast enfatize que você pode desativar todos os recursos do roteador (DHCP, NAT, WiFi, firewall, etc.) e usar seu próprio equipamento (nosso roteador VyOS) atrás do modem. E é aqui que as coisas ficam estranhas.
Os 5 endereços IP estáticos vêm de um /29: No nosso caso, este é *.168 a *.175, com *.168 e *.175 reservados/inutilizáveis, e *.174 atribuído ao Gateway IP, deixando-nos com *.169, *.170, *.171, *.172 e *.173 para usar em nosso equipamento. *.174 é o "gateway padrão", o endereço pelo qual passa todo o tráfego de saída.
Eu sou capaz de configurar uma configuração simples em que o VyOS tem um endereço IP estático (*.169) em sua WAN e todo o tráfego entra e sai dele através do Gateway IP. Funciona bem. Mas não tenho certeza de como / a melhor maneira de usar todos os cinco. Supus que posso atribuir todos os cinco endereços à WAN e usar 1:1 NAT (DNAT + SNAT) para lidar com o mapeamento do tráfego de entrada para esses endereços IP públicos para endereços IP privados na DMZ e reverter, mas eu queria evite esta configuração. (Sei que tenho que usar SNAT para minhas redes privadas DHCP/WiFi/ethernet; não preciso de ajuda com isso.)
Eu esperava poder atribuir apenas um IP público (*.169) à WAN do VyOS e, em seguida, atribuir *.170 a *.173 diretamente aos hosts em minha DMZ, configurar o VyOS para rotear o tráfego para esses IPs públicos em a DMZ e configure o Gateway IP para enviar todo o tráfego *.169 - *.173 para *.169 para roteamento adicional. Isso é possível? Ou a abordagem NAT acima é a melhor / única solução?
Em geral, a ferramenta que você quer/precisa aqui é proxy arp. Seu roteador responde a solicitações arp como se fosse o host em questão e pode encaminhá-lo para sua rede original.
Eu não tenho idéia se o vyos suporta isso.
Tudo que você precisa fazer é comprar mais 4 roteadores. Qualquer Netgear fará e, em seguida, fará com que o endereço wan seja um dos endereços IP estáticos. O endereço do gateway será um no roteador Comcast, mas não será um dos 5, provavelmente será um número maior que o seu número mais alto no 5. Cada um dos novos roteadores que você comprar será um roteador completo e poderá ser configurado Da maneira que você quiser. Eu tenho essa configuração e funciona bem.