Como posso configurar minha rede para separar as faixas de IP ??

Th0rynn · 19 de janeiro de 2023

Senhores,

Eu gostaria de configurar a rede do prédio em que trabalho de maneira que os faixas de IP possam ser separadas pelos setores, para que não haja conflito de rede.

Exemplo:
Marketing: 192.168.10.***

ADM: 192.168.20.***
Operacional: 192.168.30.***

Para que isso seja possível, qual hardware/software seria necessário ?

Buga Laza · 19 de janeiro de 2023

A que tipo de conflitos você está se referindo?

Th0rynn · 19 de janeiro de 2023

@apresenta problemas Laza

Sofremos hoje com conflito de IP na rede DHCP, ai tem todo o trabalho de fixar o IP na máquina, porém, fica naquela de adivinhar o IP que esteja livre dentro todos eles, pra que possa navegar normalmente.

Buga Laza · 19 de janeiro de 2023

Mas a função do DHCP é justamente evitar conflitos de endereços IP. Tem alguma outra coisa errada aí.

Th0rynn · 19 de janeiro de 2023

@apresenta problemas Laza

Entendi...

Mas de qualquer forma, existe uma maneira de eu conseguir realizar o que propus ali em cima ?

Buga Laza · 19 de janeiro de 2023

Sim, é possível, mas se você quer que os equipamentos localizados em redes diferentes possam se comunicar, precisará de um switch com suporte a VLAN. Também pode ser feito com o uso de roteadores comuns, desde que tenham suporte para a criação de rotas estáticas.

Th0rynn · 19 de janeiro de 2023

@apresenta problemas Laza

Eu havia pensado em utilizar o PFSense, porém, ainda não sei dizer se atenderia a minha necessidade.

Os switches que utilizamos hoje são não-gerenciáveis.

Buga Laza · 19 de janeiro de 2023

Eu acho que a tua necessidade primária deve ser investigar o motivo da existência de conflitos de endereços.

Você tem mais de um servidor DHCP na rede? Tem certeza que não existe algum servidor DHCP não autorizado?

Th0rynn · 19 de janeiro de 2023

@apresenta problemas Laza A rede aqui ta da seguinte forma:

Modem da provedora de internet > switch principal > distribui para os outros switches em outros andares

Buga Laza · 19 de janeiro de 2023

Se existe conflito de endereços com a utilização de um servidor DHCP, vejo dois prováveis motivos:

Múltiplos servidores DHCP, autorizados ou não, distribuindo endereços com sobreposição de faixa;
Endereços configurados manualmente dentro da faixa de distribuição DHCP.

Segmentar a sua rede sem descobrir a causa inicial do problema não vai resolvê-lo, pois ainda poderá ter conflitos de endereços em um ou mais segmentos.

Th0rynn · 23 de janeiro de 2023

@apresenta problemas Laza

Bom dia rei!
Pois então, temos 2 links de internet, porém, só utilizamos 1 por vez, caso caia, entramos com o de backup.

Já com relação a definição manual de IP's, era assim que estava sendo feita, porém, é extremamente fácil de acabar inserindo o mesmo IP duas vezes. Dito isso, fiz a configuração num Load Balance, mas ele sobrecarregou e até o momento não estou utilizando ele novamente.

Dito isso que vem a minha dúvida referente à configuração de rede pelas faixas de IP.

arfneto · 23 de janeiro de 2023

42 minutos atrás, Th0rynn disse:

á com relação a definição manual de IP's, era assim que estava sendo feita, porém, é extremamente fácil de acabar inserindo o mesmo IP duas vezes

Bem, você já sabe uma das razões de DHCP ser tão conveniente: em um ambiente onde dispositivos podem e são conectados e desconectados a toda hora é um inferno e por vezes impossível mesmo gerenciar isso

Um outro ponto é que com DHCP você pode usar menos endereços para atender muitos dispositivos, reaproveitando os endereços. Assim um restaurante pode separar 50 endereços numa faixa para convidados e atender mais de 1000 durante o dia, usando intervalos de Lease na cada de poucos minutos.

46 minutos atrás, Th0rynn disse:

fiz a configuração num Load Balance, mas ele sobrecarregou

isso foi engraçado: balanceador de carga sobrecarregado...

46 minutos atrás, Th0rynn disse:

Dito isso que vem a minha dúvida referente à configuração de rede pelas faixas de IP.

Durante MUITO tempo toda rede local funcionava assim como quer. Era e é o simples. Só que os dispositivos eram basicamente computadores grandes e pesados que ficavam sempre no mesmo lugar, ou outros roteadores. E os roteadores roteavam redes e não pacotes entre dispositivos.

Com a popularização da internet o roteador virou outro bicho. E surgiram dispositivos de toda sorte, muitos (quase todos) ligados via rádio. E o roteador virou um adaptador LAN/WAN que usa NAT para compartilhar um endereço na WAN com uma infinidade de dispositivos na LAN.

O simples para o seu caso é voltar ao passado: apenas use um roteador com serviço DHCP em cada andar ou departamento, fornecendo endereços do modo como precisa. E do lado WAN coloque todos na mesma rede com seu gateway (o roteador do provedor), ligados em um switch master na infraestrutura.

No roteador do provedor desabilite NAT e ligue apenas roteadores no primeiro nível.

E como todas as redes estarão na mesma rede primária todos ainda podem se comunicar, já que é a next hop para todo mundo e é a rede onde vai estar o gateway padrão... Assim usa rotas simples para a intranet.

Buga Laza · 23 de janeiro de 2023

52 minutos atrás, arfneto disse:

No roteador do provedor desabilite NAT e ligue apenas roteadores no primeiro nível.

A menos que o rapaz tenha disponível um bloco de IP válidos com pelo menos o mesmo número de roteadores, essa é uma ótima maneira para restringir o acesso à internet apenas ao roteador do provedor, impossibilitando o acesso aos demais dispositivos.

58 minutos atrás, arfneto disse:

E como todas as redes estarão na mesma rede primária todos ainda podem se comunicar, já que é a next hop para todo mundo e é a rede onde vai estar o gateway padrão... Assim usa rotas simples para a intranet.

Todos vão se comunicar, desde que se adicione as devidas rotas no roteador principal. Do contrário, quaisquer pacotes endereçados às outras redes internas serão descartados.

arfneto · 23 de janeiro de 2023

37 minutos atrás, apresenta problemas Laza disse:

A menos que o rapaz tenha disponível um bloco de IP válidos com pelo menos o mesmo número de roteadores, essa é uma ótima maneira para restringir o acesso à internet apenas ao roteador do provedor, impossibilitando o acesso aos demais dispositivos

Um modo comum é ir numerando por andar. Não vai restringir o acesso à internet porque o gateway padrão da rede dos roteadores é a rede do modem e o gateway da rede do modem é o roteador da operadora...

37 minutos atrás, apresenta problemas Laza disse:

Todos vão se comunicar, desde que se adicione as devidas rotas no roteador principal. Do contrário, quaisquer pacotes endereçados às outras redes internas serão descartados.

Não precisa de rotas no roteador principal. Todos os roteadores secundários estão na mesma rede. Pode precisar de rotas sim nos secundários para os andares. Os pacotes intra-redes irão para o gateway e o gateway vai estar na mesma rede de todos os outros. E não tem NAT na primeira rede. Então para rotear as respostas na mesma rede basta o IP.

Buga Laza · 23 de janeiro de 2023

@arfneto Parece que você nunca fez o que sugere, ou então saberia que:

Caso desative o NAT no roteador da operadora, os pacotes enviados terão como endereço de origem um endereço IP privado e serão descartados nos roteadores na internet;
É verdade que no lado WAN os roteadores secundários estão na mesma rede; mas essa é a única rede que o roteador principal conhece e, sem a definição das rotas, este será incapaz de determinar qual é o roteador de cada sub-rede, e enviará os pacotes para o seu gateway padrão.

@Th0rynn Você pode fazer como o @arfneto disse. Quando descobrir que não funcionou, faça o seguinte:

Ative o NAT no roteador da operadora;
Se possível, desative o NAT nos roteadores secundários;
Adicione as rotas para cada sub-rede no roteador principal.

Pode ser que você encontre limitações no roteador fornecido pela operadora ou em roteadores domésticos. O mais recomendado seria um switch com suporte a VLAN e usar o roteador da operadora em modo bridge. Desta forma, não precisaria nem alterar os switchs já existentes nos andares.

No entanto, lembre-se que mesmo fazendo tudo isso, se houver algum servidor DHCP não autorizado em sua rede, continuará tendo problemas com conflito de endereços.

arfneto · 23 de janeiro de 2023

22 minutos atrás, apresenta problemas Laza disse:

Parece que você nunca fez o que sugere

... Ou você pode estar enganado e eu estar usando uma rede assim toda hora. Como eu disse TCP/IP não nasceu hoje e as redes eram assim quando os roteadores eram roteadores. Não sei se já esteve errado antes mas pode ser essa a primeira vez.

24 minutos atrás, apresenta problemas Laza disse:

Caso desative o NAT no roteador da operadora, os pacotes enviados terão como endereço de origem um endereço IP privado e serão descartados nos roteadores na internet

NAT é um protocolo de retorno, a translação de endereços só vai acontecer do lado da LAN. É o AT de NAT: address translation. Se você tem apenas roteadores ligados no roteador da operadora os pacotes que chegam vão voltar para quem enviou. Se você tivesse um computador só não precisaria de NAT e nem do roteador por exemplo. Porque acha que isso funciona? RouterBoard ou um micro com 4 placas de rede tem que usar NAT?

28 minutos atrás, apresenta problemas Laza disse:

É verdade que no lado WAN os roteadores secundários estão na mesma rede; mas essa é a única rede que o roteador principal conhece e, sem a definição das rotas, este será incapaz de determinar qual é o roteador de cada sub-rede, e enviará os pacotes para o seu gateway padrão

Todos os roteadores secundários estão na mesma rede. E o gateway padrão dela é que é o roteador da operadora. Não precisa de rotas para a rede deles. É única. Todos os roteadores secundários tem a configuração comum padrão e rodam NAT na rede deles. Todos os pacotes saem com o endereço público do roteador na rede primária e as respostas voltam para ele porque assim é: cada pacote TCP tem o endereço de retorno. E o NAT faz com que as respostas chequem aos dispositivos nos andares. O que precisa dizer é nos roteadores dos andares ou em scripts de login ter rotas apontando para os departamentos na rede interna para os pacotes da intranet. Ex: sua rede primária é uma rede privada clássica como 10.0.1.0/24 com o aparelho da operadora em 10.0.1.200. Em cada andar tem um roteador em 10.0.1.X. 10 para o terreo, 11 para o primeiro piso, etc. Sem NAT.

No terceiro andar o roteador em 10.0.1.13 precisa de rotas para o segundo andar em 10.0.1.12 e outros andares. E vice-versa. E a rota seria qual? O gateway de cada andar, que está na rede acima, next hop. E não vai usar NAT porque vai sair pela rota certa e ir para o gateway do outro piso que sabe exatamente onde está a impressora da contabilidade por exemplo

38 minutos atrás, apresenta problemas Laza disse:

Você pode fazer como o @arfneto disse. Quando descobrir que não funcionou

E se funcionar apenas continue usando e agradeça não ao @arfneto mas a Vint Cerf e Tim Bernes-Lee

Buga Laza · 23 de janeiro de 2023

2 horas atrás, arfneto disse:

Ex: sua rede primária é uma rede privada clássica como 10.0.1.0/24 com o aparelho da operadora em 10.0.1.200. Em cada andar tem um roteador em 10.0.1.X. 10 para o terreo, 11 para o primeiro piso, etc. Sem NAT.

No terceiro andar o roteador em 10.0.1.13 precisa de rotas para o segundo andar em 10.0.1.12 e outros andares. E vice-versa. E a rota seria qual? O gateway de cada andar, que está na rede acima, next hop.

Prezado @arfneto .

Estou supondo que esses roteadores secundários estão conectados ao roteador primário através da porta WAN, e possuem sua própria sub-rede na br-lan - se não for isso, não está havendo segmentação da rede, e nem faria sentido o uso de roteadores.

Então, obviamente os roteadores podem se comunicar entre si e com a internet, pois as interfaces wan deles estão na mesma sub-rede, ou seja, 10.0.1.0/24. Mas, por definição, cada br-lan deve ter uma sub-rede diferente. Por exemplo, no roteador do primeiro andar, com wan 10.0.1.10, deve ter uma br-lan 10.0.2.0/24. E como você acha que esse roteador saberá onde está o próximo salto para a rede 10.0.3.0/24, se tudo que ele conhece é a rede 10.0.1.0/24 e 10.0.2.0/24? Seria o roteador primário, que só conhece a rede 10.0.1.0/24 e a rede pública?

Cadu Campos · 23 de janeiro de 2023

@Th0rynn Olá amigo, tudo bem?

Para este caso você precisa de um roteador de borda e switchs gerenciáveis, vai depender do tamanho do parque de TI que tens. Qts computadores/servidores/usuários utilizam essa infra?

att;

arfneto · 24 de janeiro de 2023

3 horas atrás, apresenta problemas Laza disse:

E como você acha que esse roteador saberá onde está o próximo salto para a rede 10.0.3.0/24, se tudo que ele conhece é a rede 10.0.1.0/24 e 10.0.2.0/24? Seria o roteador primário, que só conhece a rede 10.0.1.0/24 e a rede pública

E uma tabela de rotas como essa de um roteador antigo a que tenho acesso indica o gateway de cada andar.

2 horas atrás, Cadu Campos disse:

Para este caso você precisa de um roteador de borda

seria como isso que @Cadu Campos disse, ou um micro rodando RouterOS, já que não tem NAT na rede primária: rotas "de borda" como nos anos 80/90. Como o comando route no sistema operacional, que como eu disse bem antes pode estar em um script de login fornecendo as rotas de saida para a intranet.

Buga Laza · 24 de janeiro de 2023

16 minutos atrás, arfneto disse:

E uma tabela de rotas como essa de um roteador antigo a que tenho acesso indica o gateway de cada andar.

E não foi o que eu disse desde o início?

Th0rynn · 24 de janeiro de 2023

@Cadu Campos

Bom dia!

Tenho 2 servidores de arquivos, 1 link principal e 1 link secundário.

Referente aos colaboradores, são 90 pessoas, com em torno de 100 máquinas, desde a notebook/desktop, até catraca de acesso, relógio ponto, etc.

arfneto · 24 de janeiro de 2023

@Th0rynn Como a rede é relativamente pequena pode usar algo bem mais simples e ficar com uma única rede, como 192.168.10.0 por exemplo, e usar algo assim

Fixos		1-29	roteadores, impressoras, servidores 
			catracas e relógios, etc. E os links para internet
Mkt		30-45    16 DHCP
ADM		46-60    14 DHCP
OP		61-75    15 DHCP

E ajustar conforme a necessidade. Assim tem uma rede única e fica tudo trivial. E não perde acesso aos roteadores. E o DHCP reserva IP dentro do grupo alocado para o departamento.

Nesse caso vai usar um roteador para cada grupo. Precisa de roteadores que tenham a configuração de DHCP assim:

De modo que possa especificar o endereço de gateway. Muitos roteadores hoje em dia não tem mais essa opção, em especial os mais baratos. Eles sempre assumem que o gateway padrão é o próprio roteador, o comum em redes domésticas.

Note que se conectar os links em .1 e .2 por exemplo pode usar isso onde preferir e mudar o provedor de acesso a internet sem gastar com nada. E um simples script pode mudar isso em alguns departamento ou ou todos em minutos.

Nesse caso vai conectar os roteadores todos via portas LAN ao switch principal