Endian Firewall em redes em Fibra Óptica ponto a ponto

[Danilo]

Bom dia,

-Tenho uma rede ponto a ponto em fibra óptica que liga a Matriz na Filial.
-Na Matriz tenho o ip 192.168.101.0/24 e na Filial tenho o ip 192.168.102.0/24.
-Na Matriz tenho um Mikrotik 192.168.101.4 que sai da fibra e entra na nossa rede e um Endian 192.168.101.52.
-Na Filial tenho um Mikrotik 192.168.102.6 que sai da fibra e entra na nossa rede e um Endian 192.168.102.2.
-No Endian da matriz criei uma rota com destino a 192.168.102.0/24 com o gateway 192.168.101.4(que é ip do Mikrotik da fibra)
-No Endian da Filial criei uma rota com destino a 192.168.101.0/24 com o gateway 192.168.102.6(que é ip do Mikrotik da fibra)

Após criado estas rotas consegui fazer um ping entre os Firewalls e entre os Mikrotiks mas não consigo pingar para as maquinas da rede.
Quando eu faço o rastreamento a rota da Matriz para a Endian da Filial funciona. Destaquei abaixo:

C:\>tracert 192.168.102.2

Rastreando a rota para 192.168.102.2 com no máximo 30 saltos

1 <1 ms <1 ms <1 ms 192.168.101.52
2 <1 ms <1 ms <1 ms 192.168.101.4
3 <1 ms <1 ms <1 ms 192.168.10.2
4 <1 ms <1 ms <1 ms 192.168.102.2

Rastreamento concluído.

————————————
Quando eu faço o rastreamento a rota da Matriz para outra maquina da Fiial não funciona,esgota o tempo limite do pedido . Destaquei abaixo:

C:\>tracert 192.168.102.10

Rastreando a rota para 192.168.102.10 com no máximo 30 saltos

1 <1 ms <1 ms <1 ms 192.168.101.52
2 <1 ms <1 ms <1 ms 192.168.101.4
3 <1 ms <1 ms <1 ms 192.168.10.2
4 * * * Esgotado o tempo limite do pedido.
5 *
————————————

O que eu posso fazer para que esse ping entre na rede?Alguém pode me dar uma ideia?

[Eduardo Silva]

Danilo,

As suas estações de trabalho ficam na mesma rede do mikrotik?

ex: 192.168.101.0/24?? se este é o caso, deduzo que o endian tenha o ip na rede local como 192.168.101.1 (se não for esse, de qualquer forma vou usar como exemplo)

O que está acontecendo, é mais ou menos o seguinte:

Computador 192.168.101.15 faz uma requisição para o computador 192.168.102.23

O pacote sai do host 192.168.101.15 e vai para o gateway padrão, 192.168.101.1, este reencaminha o pacote para roteador 192.168.101.4 e envia um redirect para o computador 192.168.101.15 informando que o gateway para a rede 192.168.102.0/24 é 192.168.101.4

Você pode ver na primeira imagem do link abaixo, o que eu falei sendo ilustrado
http://www.cymru.com/gillsr/documents/icmp-redirects-are-bad.htm

O que acontece é que por padrão, estações de trabalho não aceitam redirects, podem ser configuradas pra isso, mas não deve!!
No link que eu citei, tem todas as justificativas de porquê não se deve usar redirects.

Soluções:
– Configurar adicionar rotas estáticas nos computadores, informando que a rede 192.168.102.0/24 fica através do gateway 192.168.101.4 (isso não é nada prático e você perde totalmente o controle desta interligação, só deve ser usada em última alternativa).

– Cenário ideal: Troque o range de ips do mikrotik para um endereçamento diferente da sua rede local; exemplo: 192.168.201.0/24 (pode até usar uma subnet menor se preferir).
Configure uma interface adicional no endian (azul ou laranja) nesta mesma subnet, crie rotas no endian informando que a rede 102 usa o ip do mikrotik como gateway, e crie rotas no mikrotik informando que a rede 101 fica atrás do ip do endian na rede azul.

[]’s

[Autor]

Posts