Re: nat ou routage ?

トップ ページ

このメッセージに返信
著者: Arnaud Chiaberge
日付:  
To: Henry-Pascal ELDIN, guilde
題目: Re: nat ou routage ?
----- Original Message -----
From: "Henry-Pascal ELDIN" <Henry-Pascal.Eldin@???>
To: <guilde@???>
Sent: Friday, January 04, 2002 12:18 PM
Subject: Re: nat ou routage ?


> > Si ta DMZ possede des IP publiques, tu n'es en effet pas oblige de faire

du
> > NAT sur ta passerelle, du routage suffit. En revanche, les informations

de
> > routage permettant de savoir que pour atteindre ta DMZ il faut passer

par
> > l'IP externe de ta passerelle (je parle des paquets de retour, ceux qui
> > viennent du net et qui vont sur ta DMZ), doivent etre connues au moins

du
> > premier routeur apres ta passerelle. Je suppose que tu es dans le cas
> > suivant:
> >
> > - DMZ ------- Passerelle ------- Routeur A (de ton provider)
> >
> > Dans ce cas, si tu ne fais que du routage sur ta passerelle ET que les

IP de
> > ta DMZ sont publiques, alors le routeur 'A' (au moins lui) doit savoir

que
> > pour atteindre les IP de ta DMZ, il doit faire suivre a la passerelle.
>
> C'est pas obligatoire. Il est possible en configurant le firewall avec

l'option
> bridge d'éviter de diffuser les routages. Même, la machine n'a pas
> d'adresses Ip ! Invisible depuis l'internet ou la dmz d'ailleurs !


Effectivement, en utilisant la fonction de bridging de la passerelle, le
routeur n'a pas besoin de savoir que les IP de la DMZ sont derriere la
passerelle, puisque chaque segment ethernet semblera apparaitre comme un
seul segment (sans 'hop' de routage au mileu).
Neanmoins, un routage minimal est necessaire : le subnet destination (celui
dont fait parti l'IP publique de la passerelle) doit etre connu partout,
ensuite le routeur emet simplement le paquet sur son interface, sans se
douter que pour atteindre sa destination les paquets seront "bridges" par la
passerelle.

Cependant, et apres une discussion privee avec Pascal, cette hypothese de ma
part concernant sa configuration n'etait pas la bonne puisque sa DMZ est en
fait constituee d'IP privees et que la passerelle fait donc du port
forwarding (DNAT quoi)...

Arno