{"id":832,"date":"2015-09-15T18:13:47","date_gmt":"2015-09-15T16:13:47","guid":{"rendered":"http:\/\/blog.systemconnect.dk\/?p=832"},"modified":"2015-09-16T07:48:43","modified_gmt":"2015-09-16T05:48:43","slug":"zyxel-zywall-110-dmz-uden-nat-samtidigt-med-nat-paa-lan","status":"publish","type":"post","link":"https:\/\/scblog.lynge.org\/?p=832","title":{"rendered":"ZyXEL ZyWALL 110 DMZ uden NAT samtidigt med NAT p\u00e5 LAN"},"content":{"rendered":"

Ja, det er ren go’\u00a0NAT :-).<\/p>\n

NAT st\u00e5r for Network Address Translation og er den teknik der g\u00f8r at du kan have et enkelt offentligt IP-nummer, mens du internt p\u00e5 dit netv\u00e6rk (LAN)\u00a0bruger interne, private IP-adresser som fx 192.168.x.x.<\/p>\n

En del af NAT er s\u00e5 at du kan mappe fx offentligt ip-nummer, port 8080 til et internt, privat ip-nummer, port 80 mv.<\/p>\n

 <\/p>\n

Vil man gerne alt det, men samtidigt OGS\u00c5 har et routet netv\u00e6rk med offentlige IP-numre (typisk noget man tilk\u00f8ber hvis man skal drive flere servere), som man gerne vil route til et andet internt LAN eller DMZ – ja s\u00e5 er det ikke super logisk lige at ops\u00e6tte p\u00e5 en ZyXEL ZyWALL 110 – og da jeg ikke har kunnet google det, deler jeg lige den ops\u00e6tning jeg har fundet:<\/p>\n

Grunden til mis\u00e6ren er at NAT er noget man sl\u00e5r til p\u00e5 WAN-interfacet – og ikke er noget man kan sl\u00e5 fra p\u00e5 DMZ interfacet. Samtidigt er ZyWALL’en ikke intelligent nok til at se at det er rigtige IP-numre (alts\u00e5 ikke private IP-numre) man har opsat p\u00e5 sit DMZ og derfor k\u00f8rer den NAT p\u00e5 retursvaret. Det betyder at du fint nok kan kontakte din server p\u00e5 dens offentlige IP-adresse, men at svaret kommer retur fra routerens WAN-adresse og ikke fra serverens offentlige IP-adresse – og det er mildest talt noget rod.<\/p>\n

Fremgangsm\u00e5den er:<\/p>\n

    \n
  1. Din ISP skal b\u00e5de tildele dig en WAN-adresse og et offentligt routet IP-subnet.<\/li>\n
  2. P\u00e5 din ZyWALL bruger du den tildelte WAN-adresse og ops\u00e6tter det offentligt routede IP-subnet p\u00e5 dit DMZ-interface. Husk at f\u00f8rste og sidste adresse i s\u00e5dan et IP-subnet er hhv. netv\u00e6rkets adresse og broadcast adressen. Dem m\u00e5 du ikke tildele til noget! Routeren skal p\u00e5 sit DMZ-interface have et IP-nummer fra subnettet og dine servere (tilsluttet DMZ-stikket i routeren) kan s\u00e5 bruge de andre (de skal jo s\u00e5 have gateway = routerens IP p\u00e5 DMZ-interfacet og netv\u00e6rkets subnet).<\/li>\n
  3. S\u00e5 kommer magien: Man kan ikke overbevise Zywall’en om at den ikke skal k\u00f8re NAT p\u00e5 retursvaret fra dine servere, men man kan bede den om at lave en “Many 1:1 NAT” – dvs. i praksis mappe dine offentlige ip-numre 1:1 til samme offentlige ip-nummer – og dermed er det problem l\u00f8st:
    \n\"DMZudenNAT\"<\/a><\/li>\n<\/ol>\n
    Skriv gerne hvis du har en mere elegante l\u00f8sninger p\u00e5 samme problem.<\/div>\n
    <\/div>\n
    <\/div>\n
    \n

    Bem\u00e6rk: Denne vejledning er skrevet til og testet p\u00e5 en ZyXEL ZyWALL 110 HP VPN Firewall med firmwaren 4.13 (AAAA.0) C0, men ogs\u00e5 burde fungerer p\u00e5 disse routere:<\/p>\n