Hallo,

Probeer eens te googlen op NAT / PAT.

Iets met public ip's op de buitenzijde van de firewall en static (port) translaties naar de private ip spaces.

En dynamic van private naar public ip.

Vergeet niet de access-rules!

MrRight.

Subnetting

Het is mij niet helemaal exact duidelijk wat je wilt maar als jij een range van bijvoorbeeld 8 adresjes toegewezen krijgt, kan je met subnetting dit reeksje wel weer opdelen in verschillende nog kleinere reeksjes.
Voor jou provider maakt dit niets uit. Die stuurt alles naar jou toe, jouw router zal het vervolgens opknippen in nog kleinere reeksjes en doorzetten naar het juiste interface.
Dat subnetten kan je meestal doen als "/31" subnetten. Je mist dan een broadcast en netwerk adres, maar met slechts twee hosts maakt dat niet uit. Kijk wel even of je hardware het ondersteund. Anders worden het /30 subnet maar dan raak je weer 2 adressen kwijt per subnet.
Met nat kan je ook een heel eind komen. Het adres temineert dan op de router, die het vervolgens weer doorzet naar een interne machine. Maar hou er rekening mee dat nat niet altijd vlekkeloos gaat werken en dat het extra cpu belasting geeft op je router. Die moet het dus wel trekken.
Overweeg ook om een private VLAN te bouwen. Je gaat dan op laag twee knippen in het broadcast domein. De servers hebben dan wel een adres in hetzelfde subnet, maar kunnen onderling toch niet communiceren.
Je hebt dan echter wel een echte switch nodig. Dus geen doosje van de lokale computerboer.

Stap over op IPv6. Duizenden subnets voor iedereen die publiek routable zijn.
Geen gedoe meer met NAT!

Dit raakt kant noch wal. Hij vraagt zeer specifiek naar een manier om deze servers een public IP adres te geven en dus van buitenaf benaderbaar te maken. NAT is hiervoor dus geen optie.


Doordat je dit er bij zet werkt het een beetje verwarrend. Dit zou doen vermoeden dat er op de router dus al een firewall actief is (eventueel met NAT) en je nu een nieuwe transparante poort wilt toevoegen aan de router om daarachter een firewall te hangen. Eigelijk zou je dus de WAN poort zo moeten laten en een "LAN" poort moeten hebben waar de firewall aan zit. Hierachter komen dan de ip subnets 192.168.x.0/24 via een VLAN op de firewall. Deze subnets horen niet op de router.


Het hangt er vanaf hoe jouw ISP deze afleverd op de interface maar je zou zoals hierboven al is aangegeven kunnen subnetten, zodanig dat iedere host een eigen VLAN krijgt. Ik snap echter niet waarom je iedere server helemaal zou willen scheiden in een VLAN, dat is misschien een wat overkill.

Wat doen die poort 2 en 3?
Gezien het feit dat je "maar" een /24 van je provider gekregen hebt (ik zeg "maar" omdat het asociaal is om zoveel te krijgen terwijl je maar 5 adressen nodig hebt voor het bovenstaande) neem ik aan dat je vanuit deze twee netwerken met een many-to-one NAT naar internet gaat?
Dan heb je dus 2 externe (of misschien zelfs maar 1) adressen die corresponderen met die poort 2 en 3?

Ok dan moet je dus je /24 gaan subnetten. Dit gaat als je geen "truuks" wilt uithalen op de van dik hout zaagt men planken (en krijgt men veel zaagsel) manier.
Je deelt de /24 op in 2 /25 netwerken, uit een ervan geef je de adressen voor poort 2 en 3 en de andere routeer je door naar poort 4. Daaruit krijgt de router poort 4 en de firewall outside een adres.
Op de firewall deel je hem weer in 2 en heb je een /26 netwerk waarin de outside poort van de firewall en de router dus een adres hebben en de andere /26 routeer je naar de switch.
Op de switch kun je dan die /26 weer in kleinere blokken routeren naar de VLAN's in je switch, waar je ieder minimaal een /30 heen routeert. Je kunt dan dus 16 VLAN's maken met ieder 1 server erin waarvan je er nu 3 gebruikt.

Dit is de cleane manier, waarmee je helaas wel extreem veel van ons aller kostbare IPv4 adressen opstookt.
Als je "truuks" gebruikt kun je de hele exercitie ook wel met een /28 of zelfs /29 van je provider voor elkaar krijgen, maar dan gebruik je geen nette subnetting maar dingen als proxy-arp routing en in plaats van al die VLAN's gebruik je een switch die poorten kan isoleren van elkaar.
(je kunt een goede switch zo programmeren dat bijv poort 1-24 wel allemaal met poort 25 kunnen communiceren maar niet onderling met elkaar. dat zijn dan geen VLAN's maar het komt wel op hetzelfde neer voor wat de veiligheid betreft)

Hallo,

Hier de kant en tevens wal,

Volgens mij krijgen de server(s) met NAT/PAT een public ip address.
NAT is juist wel een optie.

Full NAT = 1:1 NAT van pubic IP naar private IP. Eventueel via proxy-arp.

Er is op Internet veel te vinden over NAT/PAT. Probeer google eens :-)
Mr Right.