一個Firewall後的IP問題

[clyde]

請教各位:
公司的專線從外面進來時先接到Router然後進Firewall再連到Switch最後才到用戶端,

512K Leased Line---->Router----->Firewall----->Switch======>PC

內部的PC採用DHCP,Gateway指向Firewall的內部IP,當內部PC連到外面時,外面的人Ping
到內部PC的ip是 Router的還是Firewall的IP ? (p.s. Router&Firewall都有一個外部真實IP)

[kaiser]

不太了解你的意思
何謂ping到內部的ip是router or firewall?
你ping 後面是給ip or hostname
因為一般Firewall 都會作NAT
所以內部的IP是不可能會ping 到

[clyde]

我的意思是指所有內部的PC出去都是共用同一個真實IP
那各IP是Router的還是Firewall的?
因為有些站因為security的關係需要鎖IP,我要給他Router的還是Firewall的?
Thks

[aerocat]

router

[kaiser]

應該不是router的ip
因為是firewall作轉ip的工作,所以是firewall的ip作為封包的source address
否則封包回來時,只會到ROUTER而不會回到firewall

[clyde]

我搞糊塗ㄌ
到底是Router還是Firewall
請有經驗的大大幫幫忙

[mus000]

找一個對方會秀你 IP 的站台去測試吧~

[timas]

最初由 clyde 發表
我搞糊塗ㄌ
到底是Router還是Firewall
請有經驗的大大幫幫忙

是Firewall

[Johnson]

沒錯...我也認為是Firewall
因為是透過Firewallㄉ真實IP出去ㄉ!!

[kevinsu]

首先來說Router
一般Lease專都是兩點互連(ISP給定的,Subnet為255.255.255.252),ISP那端的Router只管把往你整個真IP的packets送到你Router WAN的IP,再來就由你的Router來作封包forward的動作,相對的你的Router一般也會設定0.0.0.0 0.0.0.0往ISP的IP送,而ISP給你的真IP你要拿來用在Router的LAN上及在這個LAN上的所有主機.

再來說Firewall
一般會定一個真IP給Firewall,Firewall上再來設定PAT或是NAT.
PAT是一對多,設定另一個真IP給內部主機出去所使用的,當然你也可以抓Firewall上的IP出去,原理是用port去做對應.
NAT是一對一或多對多IP所使用,一對一是指靜態指定另一個IP給內部某台特定的主機如Mail.多對多則是內部有三十台主機,你防火牆就定三十個IP給內部主機連外使用,每次的連線都會隨機去抓真IP對應,PAT跟NAT可同時存在端看管理人員的設定.

你要連結的網站有設定防火牆只允許指定的IP連結的話,那你得請網管人員對應個真IP給你才行.