Configuración de enrutamiento de red de dos enrutadores

Tengo dos enrutadores, el enrutador A está conectado a Internet y el enrutador B está conectado al puerto LAN del enrutador A.

Enrutador A: 192.168.1.1 Subred 255.255.255.0

Enrutador B: IP alquilada del enrutador A: 192.168.1.2 Su propia ip: subred 192.168.0.1 255.255.255.0

Tengo una máquina C conectada al enrutador A con ip 192.168.1.3 también una máquina D conectada al enrutador B con ip 192.168.0.199

Quiero acceder a la máquina D desde una máquina C. ¿Qué configuraciones necesito cambiar para hacer eso?

El enrutador A necesita saber qué ruta usar para llegar a la red 192.168.0.0/24.

Inicialmente intente agregar una ruta estática que indique que puede alcanzar 192.168.0.0/24 a través de 192.168.1.2.

En un enrutador Cisco que ejecute IOS, lo haría

 ip route 192.168.0.0 255.255.255.0 192.168.1.2

En su marca y modelo de enrutador no especificados, tendrá que usar una interfaz web o leer el manual para encontrar su equivalente.

Si su red es tan simple como su diagrama, sin sorpresas NAT, entonces solo debe haber una ruta estática para 192.168.0.0/255.255.255.0 que apunte a 192.168.1.2. Esta ruta puede estar en el enrutador A o en la máquina C, siendo este último más restrictivo que el primero.

Si se trata de "enrutadores" residenciales estándar con 4 puertos LAN, entonces realmente tiene un dispositivo que es una combinación de enrutador y conmutador. Los 4 puertos LAN son un conmutador. Los dispositivos conectados se verán sin que tenga que hacer nada más que ocuparse de la configuración de la dirección IP, que normalmente es el trabajo de DHCP. Puede "conectar en cascada" interruptores y las cosas funcionarán bien.

Si solo está buscando conectar más de 4 dispositivos en su hogar a Internet, el enrutador B no necesita estar enrutado o DHCP, y la funcionalidad debería estar desactivada. Conecte el "enrutador" B a un puerto LAN en el enrutador A, y cualquier otra cosa que necesite a los puertos LAN en el enrutador B y siempre que el enrutador B no esté haciendo DHCP o cualquier otra cosa, simplemente debería funcionar.

Supongo que 192.168.0.1 no es la puerta de enlace utilizada en el enrutador B, sino más bien su propia IP en la interfaz LAN. Si el enrutador A está dando direcciones a través de DHCP, también está informando a B de qué puerta de enlace usar, y esto debería ser 192.168.1.1. Si puede acceder a Internet desde la subred de B, este es el caso, a menos que tenga una configuración muy interesante que necesite una explicación mucho más detallada.

Para responder a su pregunta, las máquinas C y D están en redes separadas, pero D puede iniciar una conexión con C muy bien. No puede encontrar la IP 192.168.1.3 en su propia subred, por lo que pasa la solicitud a su puerta de enlace, es decir, el enrutador B, que sabe dónde se encuentra la máquina de destino.

Al revés es más difícil. Ni el host D ni su puerta de enlace, el enrutador A, saben que el tráfico destinado a 192.168.0.199 debe atravesar el enrutador B. Incluso si lo hicieran, por ejemplo, definiendo una ruta '192.168.0.0/24 a través de 192.168.1.2', enrutador B no permitiría que los paquetes pasen de su interfaz WAN a la interfaz LAN.

Aunque es mejor que use B como un interruptor "tonto" en lugar de un enrutador simplemente conectando todo a sus puertos LAN, es posible evitar este problema sin cambiar la topología de la red. Deberá reenviar los puertos del enrutador B que se utilizan en la comunicación que se origina fuera de la red 192.168.0.0/24.

Por ejemplo, si la máquina D está ejecutando un servidor web, para el cual se debe iniciar la comunicación desde la máquina C, deberá configurar el enrutador B para reenviar el puerto 80 hacia 192.168.0.199. Alternativamente, dado que su enrutador admite dicha función, puede colocar la máquina D en la DMZ del enrutador B, reenviando todos los puertos a esta máquina, a menos que estén configurados de otra manera. Normalmente, esto podría considerarse inseguro, pero en este caso, la máquina aún estará protegida a través del enrutador A, a menos que la red 192.168.1.0/24 se vea comprometida.

(Suponiendo que puede lograr que la interfaz WAN del enrutador B sea una interfaz ethernet normal, como en un enrutador por cable)

Debe establecer rutas estáticas en ambas máquinas C y D. Si tiene algo más que básico haciendo DHCP y las máquinas C y D obtienen sus direcciones de DCHP, puede enviar las rutas a todos los clientes DHCP automáticamente.

De lo contrario, puede configurar las rutas de esta manera:

Ventanas

Máquina C

route -p ADD 192.168.0.0 MASK 255.255.255.0 192.168.1.1 METRIC 1

Máquina D

route -p ADD 192.168.1.0 MASK 255.255.255.0 192.168.0.1 METRIC 1

Linux (agregado a la configuración de la interfaz de red)

Máquina C

route add -net 192.168.0.0/24 gw 192.168.1.1 

Máquina D

route add -net 192.168.1.0/24 gw 192.168.0.1

Está realizando la traducción de direcciones de red dos veces y probablemente esté configurada en configuraciones moderadas / estrictas. Entonces, el enrutador B está ocultando sus direcciones privadas de las conexiones iniciadas desde la subred del enrutador externo y viceversa. Esto se debe a que supone que la red conectada a su puerto WAN es la web pública. Normalmente esto está bien porque si la conexión se establece desde el interior de la red privada, el enrutador sabe a dónde enviar el tráfico entrante. Pero en su caso, ambos lados están preformando NAT, por lo que cada lado está ocultando sus direcciones privadas del otro. Es por eso que necesita el reenvío de puertos detrás de un NAT para que el enrutador sepa dónde enrutar las conexiones que se inician desde fuera de la red. Una excelente manera de entender lo que está sucediendo es mirar la perforación de agujeros UDP que es lo que muchas aplicaciones de VNC y juegos usan para permitir que las conexiones se inicien desde el exterior.

NAT estricto es generalmente una limitación con los enrutadores de grado de consumidor, pero algunos de los mejores le permiten ajustar la configuración de NAT. Alternativamente, puede usar DD-WRT, tomate u otro firmware de terceros que permita realizar ajustes en el NAT. También puede usar el reenvío de puertos (que es un poco más engorroso) como lo mencionan otros usuarios.