主页 / server / 问题 / 38794
In Process
chickeninabiscuit
Asked: 2009-07-11 00:00:08 +0800 CST

别名 IP 地址 - 使用哪个子网掩码？

  • 772

我承认——我有点迷失了。

我们的 ISP 为我们的 ADSL2 帐户提供了几个额外的 IP 地址。他们发送的电子邮件指定了子网 255.255.255.240 的 IP 地址：

203.214.69.1/28 到 203.214.69.14/28 GW：203.206.182.192

我正在尝试将它们作为别名添加到我们的防火墙配置中的连接中（因此我可以随后创建一些 1-1 NAT 规则来公开我们的内部网络服务器）。

在我们的防火墙连接配置中添加别名时，我应该使用 28 还是 32 作为子网掩码？

一个互联网地址怎么能有一个 28 的子网？也许我大错特错了，但我认为互联网在地址方面具有最高分辨率。

好的 - 让我拥有它。

感谢大家，

阿什利

firewall networking adsl

6 个回答

  1. ISP 所做的是通过标准连接路由这些额外的 IP 地址。实际上，您设置的网络掩码并不重要，只要它不大于 ISP 的预期即可。我只是在处理它们时将它们全部指定为 /32 额外地址。

    • 1

  2. 阿什利，

    我认为您应该使用 /32 子网掩码在防火墙上定义别名。您的防火墙可能会将您的公共子网的所有请求转发到您的（例如）网络服务器。当然，您的防火墙的外部接口将具有 /28 网络掩码。

    但这在很大程度上取决于您的防火墙。你用的是什么产品？

    HTH，佩拉

    • 1

  3. 所有地址的子网都相同，因为它们属于同一类。

    /28 是描述子网掩码 255.255.255.240的CIDR 表示法。

    • 0

  4. 您应该添加 /28 子网掩码。IP 始终有一个子网，/32 表示该 IP 在其自己的子网中是单独的。在这种情况下，它将无法访问。/32 用于添加特定路由到主机或防火墙中。

    使用 /28 子网掩码并不意味着您对地址空间的“分辨率较低”。IP 仍然是 32 位值。子网掩码仅定义地址所在的网络。

    我认为您必须阅读什么是子网掩码：http ://en.wikipedia.org/wiki/Subnetwork

    • 0

  5. 出于定义 NAT 的目的，这些 IP 中的每一个都必须定义为 /32。如果您将它们定义为 /28s，则到该 CIDR 范围内所有 16 个 IP 的流量将与您在策略中定义的第一个 NAT 匹配。

    编辑：扩展上述内容；这可能因平台而异，但根据我在 Checkpoint NAT 上的经验，请考虑以下几点。（我也会在稍后阶段写思科；需要更多的努力来表达）。

    就本示例而言，检查点 NAT 规则可以按以下形式考虑：

    || Original         || Translated       ||
|| Src | Dst | Port || Src | Dst | Port ||

    在这种情况下，我们关注的是“原始 Dst”。假设我们正在为发往 203.214.69.1 的流量创建规则，该规则将被重定向到内部 Web 服务器。

    Original
Source: Any
Destination: 203.214.69.1/28
Port: TCP/80. TCP/443

Destination:
Source: Original
Destination: 192.168.1.1/32
Port: Original

    此规则的问题在于 203.214.69.1/28 将匹配发往以下范围内任何 IP 的流量：[ 203.214.69.0 ... 203.214.69.15 ]

    并且任何后续规则（例如，将 SMTP 流量重定向到 203.214.69.2 到内部服务器 192.168.1.2）都不会受到影响。

    需要将此前缀定义为 /28 的情况是：

    1. 用于路由时。听起来您只有一个 ISP，所以我希望您将有一个静态默认路由指向您的 ISP 的默认网关，并且您的 ISP 将为您分配的 /28 指向您的面向互联网的设备（防火墙？ ）。在这种情况下，无论您如何在防火墙策略中定义地址，所有这些 IP 的流量都将路由到您的 Internet 网关。

    2. 当您将其用作真正的第 3 层子网时，所有主机都需要位于同一个广播域中。正如您所说，这些地址将用于 NAT 到内部网络服务器，这种情况也不适用。

    • 0

  6. 在我们的防火墙连接配置中添加别名时，我应该使用 28 还是 32 作为子网掩码？

    如果我穿上你的鞋子，我会像你的 ISP 告诉你的那样开始使用 /28。他们知道他们一端的路由器是如何配置的。

    203.214.69.1/28 到 203.214.69.14/28 GW：203.206.182.192

    确实有些奇怪。该网关与您提供的 IP 地址不在同一网络上。您确定地址空间应该放在防火墙外部吗？他们希望您将其放置在防火墙后面的网络上并进行路由？

    • -1

相关问题