Double-NAT 네트워크를위한 네트워크 재구성 방법

몇 년 전에 여기저기서 몇 가지 비용을 절약하기 위해 일련의 불충분 한 네트워크 설계 결정으로 인해 결정적으로 최적화되지 않은 네트워크가 있습니다. 이 불쾌한 상황을 개선하기위한 제안을 찾고 있습니다.

우리는 Linux 기반 IT 부서와 제한된 예산으로 비영리 단체입니다. (참고 : 우리가 운영하는 Windows 장비 중 어느 것도 인터넷과 대화하거나 Windows 관리자가없는 직원은 없습니다.)

키 포인트:

• 본사와 물리적으로 분리 된 스위치로 서브넷을 본질적으로 두 배로 NAT하는 약 12 ​​개의 원격 사이트가 있습니다. (VLAN 없음 및 전류 스위치로 제한 가능)
• 이러한 위치에는 각 사이트에서 동일하게 할당 된 10.0.0 / 24 서브넷에 NAT 된 "DMZ"서브넷이 있습니다. 이 서브넷은 서버와 인접한 "방화벽"사이를 제외하고 다른 곳에서는 라우팅하지 않기 때문에 다른 위치에서 DMZ와 통신 할 수 없습니다.
• 이러한 위치 중 일부에는 Linux에서 IP 도구를 사용하여 수동으로 라우팅하는 여러 ISP 연결 (T1, 케이블 및 / 또는 DSL)이 있습니다. 이러한 방화벽은 모두 (10.0.0 / 24) 네트워크에서 실행되며 대부분 "프로슈머"등급 방화벽 (Linksys, Netgear 등) 또는 ISP 제공 DSL 모뎀입니다.
• 관리되지 않는 간단한 스위치를 통해 이러한 방화벽을 연결하는 것은 공개적으로 액세스 할 수있는 하나 이상의 서버입니다.
• 본사의 10.0.0 / 24 서브넷에 연결된 이메일, 재택 근무자 VPN, 원격 사무실 VPN 서버, 내부 192.168 / 24 서브넷에 대한 기본 라우터 서버가 있습니다. 트래픽 유형 및 연결 소스를 기반으로 특정 ISP 연결에서 액세스해야합니다.
• 우리의 모든 라우팅은 수동으로 또는 OpenVPN 경로 설명으로 이루어집니다
• 사무실 간 트래픽은 자체 NAT가 포함 된 기본 '라우터'서버에서 OpenVPN 서비스를 통과합니다.
• 원격 사이트는 각 사이트에 하나의 서버 만 설치되며 예산 제약으로 인해 여러 서버를 감당할 수 없습니다. 이 서버는 모두 LTSP 서버이며 여러 5-20 터미널입니다.
• 192.168.2 / 24 및 192.168.3 / 24 서브넷은 VLAN을 수행 할 수있는 Cisco 2960 스위치에 있지만 대부분은 아닙니다. 나머지는 DLink DGS-1248 스위치로, VLAN과 함께 사용하기에 충분히 신뢰할 수 있는지 잘 모르겠습니다. 또한 선임 네트워킹 직원 만이 작동 방식을 이해하므로 VLAN에 대한 내부적 인 우려가 남아 있습니다.

모든 일반 인터넷 트래픽은 CentOS 5 라우터 서버를 통과합니다.이 서버는 아웃 바운드 트래픽을 기반으로 올바른 인터넷 연결을 가리키는 데 사용하는 수동 구성 라우팅 규칙에 따라 192.168 / 24 서브넷을 10.0.0.0/24 서브넷으로 NAT합니다. '-host'라우팅 문.

이러한 공개 서비스를 포함하여이를 단순화하고 ESXi 가상화를위한 모든 것을 준비하고 싶습니다. Double-NAT를 제거 하고이 혼란에 약간의 정신을 회복하여 미래의 교체품이 나를 사냥하지 못하게하는 무료 또는 저렴한 솔루션이 있습니까?

본사의 기본 다이어그램 :

이것이 나의 목표입니다 :

• 중간 10.0.0 / 24 네트워크에 인터페이스가있는 공개 서버는 ESXi 서버의 192.168.2 / 24 서브넷으로 이동됩니다.
• 이중 NAT를 제거하고 단일 네트워크에서 전체 네트워크를 확보하십시오. 내 이해는 이것이 어쨌든 IPv6에서해야 할 일이라는 것이지만,이 혼란은 방해가되고 있다고 생각합니다.

1.) 기본적으로 다른 무엇보다 먼저 IP 주소 계획을 세우십시오. 번호를 다시 매기는 것은 고통 스럽지만 실행 가능한 인프라에 도달하는 데 필요한 단계입니다. 워크 스테이션, 서버, 원격 사이트 (자연스럽게 고유 한 IP가있는), 관리 네트워크, 루프백 등을위한 편안하고 큰 요약 된 수퍼 넷을 따로 설정하십시오. RFC1918 공간이 많고 가격이 적당합니다.

2.) 위의 다이어그램을 기반으로 네트워크에서 L2를 배치하는 방법을 이해하기 어렵습니다. 다양한 게이트웨이에 충분한 수의 인터페이스와 충분한 수의 스위치가 있으면 VLAN이 필요하지 않을 수 있습니다. # 1에 대한 이해가 있으면 L2 질문에 개별적으로 다시 접근하는 것이 좋습니다. 즉, VLAN은 특히 복잡하거나 참신한 기술이 아니며 그렇게 복잡 할 필요는 없습니다. 일정량의 기본 교육이 필요하지만 최소한 표준 스위치를 여러 포트 그룹 (예 : 트렁킹 없음)으로 분리하는 기능은 많은 비용을 절약 할 수 있습니다.

3.) DMZ 호스트는 워크 스테이션과 병합되지 않고 자체 L2 / L3 네트워크에 배치해야합니다. 이상적으로는 경계 라우터가 L3 장치 (다른 라우터 세트? L3 스위치?)에 연결되어 외부를 향한 서버 인터페이스 (SMTP 호스트 등)가 포함 된 네트워크를 연결하게됩니다. 이러한 호스트는 별도의 네트워크 또는 최적의 서버 서브넷에 다시 연결될 수 있습니다. 서브넷을 적절하게 배치 한 경우 인바운드 트래픽을 지시하는 데 필요한 고정 경로는 매우 간단해야합니다.

3a.) VPN 네트워크를 다른 인바운드 서비스와 분리하십시오. 이를 통해 보안 모니터링, 문제 해결, 계정 등을 쉽게 파악할 수 있습니다.

4.) 인터넷 연결 통합 및 / 또는 여러 통신 업체를 통한 단일 서브넷 라우팅 (BGP 읽기)이 부족한 경우 경계 라우터가 인바운드 및 아웃 바운드 트래픽을 적절하게 리디렉션하려면 중간 홉이 필요합니다. 나는 당신이 지금하고 있다고 생각합니다). 이것은 VLAN보다 큰 두통처럼 보이지만 모든 것이 상대적이라고 생각합니다.