Alcanzar FTP desde Mitrastar a otro router

[Jeroba]

Hola, a ver  si alguien me hecha una mano con un pequeño problema, que seguro es una tonteria pero no lo veo, y menos a estas horas :). Es de configuracion y no estoy seguro que sea en el router Mitrastar.

He creado 2 redes cableadas independientes entre si pero con conexion a internet, ninguna ve a la otra, una es de trabajo y la otra de ocio, he dejado la configuracion estandar (192.168.1.x) para cuando viene la familia, para que use esta y no acceda a ninguna de las privadas. Las privadas estan en el rango 10.5.5.1 y 10.10.10.1 y estan gestionadas en un router neutro Edgerouter Lite, este router conecta al Mitrastar por cable, todo funciona bien.

Lo he planteado asi porque aun perdiendo internet (cortes, mejoras servicios etc) las redes privadas siguen separadas y gestionadas por el otro router.

El problema es cuando intento crear un servidor FTP en una de las redes privadas, haciendo un port forward en el Mitrastar a la red privada, este no alcanza el ftp. Antes cuando tenia toda la red de la casa en el mismo rango, el 192.168.1.x no habia problema, el ftp funcionaba bien. Estoy seguro que es problema de configuracion del otro router pero pregunto por aqui antes de romperme la cabeza con configuraciones o por si es algo de configuracion en el Mistrastar por si alguien me hechara una mano.

Gracias por adelantado.

[Theliel · Accepted solution]

No me he enterado demasiado bien con lo de la de trabajo y la de ocio, suena entonces a 4 redes, no???

En cualquier caso lo que dices es que desde el Mitrastar 192.168.1.1 no ve de ningún modo la otra red 10.x.x.x. Esto es completamente normal. Presupongo que esto es lo que tienes hecho, las IPs me las voy a inventar:

Internet -> WAN (IP Pública) Mitrastar (192.168.1.1) - LAN1 <-> WAN (192.168.1.2) - Edgerouter Lite (10.5.5.1) - LAN1 <-> PC FTP(10.5.5.1)

Hay dos problemas.

El primer problema es que la red del Mitrastar no puede ver de ningún modo la red del Edger, no puede alcanzarla. Ningún paquete que vaya dirigido hacia ella sabe que hacer con el. Así que para esto es necesario crear una ruta nueva en el Mitrastar para que la red del Mitrastar pueda alcanzar al Edger:

Dest: 10.5.5.0, S. Mask: (la que estés usando para la red del edge), GW: 192.168.1.2

El segundo problema es que (y esto ya dpeende de como tengas configurado el Edger) lo normal el Edge esté filtrando lo que entre por WAN. En este caso es necesario decirle al Edger que acepte el tráfico que venga desde arriba:

iptables -I FORWARD -s 192.168.1.0/24 -j ACCEPT

Dado que a priori tan solo te interesa acceso al FTP, como tienes la regla ya creada para este, debería de funcionar sin la regla anterior, eso sí... tan sólo para el acceso a FTP. Sería muy sencillo dar también internet a dicha red, pero eso no te interesa has dicho con lo que... problema arreglado.

[Jeroba]

Hola Theliel, si, serian 3 redes independientes, dos administradas en el edge y la otra en el Mitrastar.

Voy a probar en cuanto tenga tiempo lo que me comentas a ver si lo soluciono. Gracias por la ayuda.

[Jeroba]

Pues lo he intentado pero no doy con la tecla, no he direccionado nunca una red a otra subred diferente y estoy perdido con el tema de mascaras y rutas. Lo que si he quitado son los filtros en el edge para que deje pasar todo y he direccionado en el edge el puerto del ftp al destino que quiero.

Estoy seguro que es esto que comentas:

El primer problema es que la red del Mitrastar no puede ver de ningún modo la red del Edger, no puede alcanzarla. Ningún paquete que vaya dirigido hacia ella sabe que hacer con el. Así que para esto es necesario crear una ruta nueva en el Mitrastar para que la red del Mitrastar pueda alcanzar al Edger:

Dest: 10.5.5.0, S. Mask: (la que estés usando para la red del edge), GW: 192.168.1.2

El destino seria 10.5.5.12, es la ip del servidor ftp, la mascara es 255.255.255.0. ¿el gateway no deberia estar en el rango 10.5.5.1?. si no meto la gamba, estos datos tengo que ponerlos en Static Routing ¿no?

[Theliel]

No no, cuidado, el destino es la RED de destino. Si la máscara de subred como dices es 255.255.255.0 estás usando el rango privado A pero como ip de clase C con lo que el destino sería la red 10.5.5.0, la máscara de subred sería 255.255.255.0 y el gateway sería la IP privada que debería de estar asignando el mitrastar al edger por LAN

Piensa que el Edger debe de tener 2 IPs diferentes. Una que es la que tenga asignada a su interfaz WAN. Si está asignada dinámicamente por DHCP por el mitrastar OJO QUE PUEDE VARIAR, he puesto 1.2 en el supuesto de que el mitrastar asigne siempre 1.2 al Edger, pero esto no tiene por qué ser así.

Lo más cómodo es que al Edger le asignes de forma estática una IP fija desde el mitrastar (esta IP es la IP de la interfaz WAN del Edge). El edge a su vez le configuras su interfaz wan para obtener dinámicamente (la obtiene por el mitrastar). Esta IP es totalmente diferente a la que el propio edger tenga y la red que tenga.

El Mitrastar no sabe ni tiene que saber la IP en la que el trabaja, el mitrastar lo único que ve es que hay un dispositivo cuya IP es la 1.2 (por ejemplo, ya hemos dicho que puede no ser la 1.2). Lo que haga ese dispositivo con la IP asignada por el mitrastar es cosa de él. El Edger usa esa IP para su comunicación hacia fuera, sólo para eso.

La ruta estática por tanto lo que le dice al mitrastar es que todo el tráfico cuya red de desitno sea 10.5.5.0-10.5.5.255 (dado que la máscara es 255.255.255.0) se envíe a través de 192.168.1.2, es decir, hacia la IP WAN que tenga asignada el Edger. Así el tráfico llega al Edge, y a partir de aquí será esteo quien diga que hace con ese tráfico. Si en el Edger directamente hay una regla de reenvío que dice que todo lo que venga por WAN (la IP que sea) por el puerto 21 lo mande al equipo 55.12, pues es lo que hará

[Jeroba]

No sabes lo agradecido que estoy por la informacion que aportas a este problema que tengo, aunque no lo tengo totalmente configurado ya tengo acceso desde el mitrastar al edge y llego al FTP en la red privada, no solo al ftp, cualquier puerto que abra y encamine en el mitrasta a la red privada, se encamina al edge. Estuve a punto de tirar la toalla y estava equivocado con el concepto de IP destino, aunque la cabeza me da aun vueltas con estos conceptos de subredes 😞 te agradezco la ayuda.

Para pruebas he añadido una ruta a 10.5.5.0 con la gateway 192.168.1.36 que es la asignada por el mitrastar para la red local, pero exactamente como me has comentado y es exactamente como esta configurado en el edge el puerto wan, el mitrastar asigna por DHCP esta ip al edge, en el momento que el mitrastar se resetee la configuracion de asignacion de puertos se pierde al ser otra ip la asignada al edge.

Ahora estoy rompiendome la cabeza para entender como una ip dinamica se puede asignar a una ip fija 🙂 y tengo el problema que cuando meto la pata, pierdo la conexion al edge y por ende al mitrasta, me quedo a cero sin poder loguearme a uno o a otro y tengo que reconectar el cable de lan etc..

Voy a ver si soy capaz. Gracias.

[Theliel]

Pues eso es muy sencillo. Puedes hacerlo de dos formas

1º. Dejas que la asigne el Mitrastar: Entras en la interfaz web, , LAN, Static DHCP, añades un ease nuevo que sólo tienes que tener IP/MAC de la interfaz wan del edger

2º. En vez de esperar que el Mitrastar se la asigne, configuras el edger manualmente la interfaz wan con la IP 1.x que quieras y los datos de la conexión que de otro modo le daría el mitrastar, es decir la puerta de enlace 1.1, la máscara....

[Jeroba]

Muchísimas gracias Theliel, he aprendido mas de tus consejos y experiencia que por mi cuenta con manuales.

Ya lo tengo todo configurado, con ip fija y tocando poco el Mitrastar, asi si hubiera que cambiar el router tendría que hacer pocos cambios y además no corro el riesgo de configurar mal el Mitrastar y en el caso de que el edgerouter se estropeara, mientras lo remedio solo tendria que conectar el Hub/switch al mitrastar para tener internet en segundos. 

En el Mitrastar solo dejo los puertos a redirigir y la ip hacia el edgerouter con ip fija. El Edge es el que lleva la carga de configuraciones y demás con reglas para bloquear IPs, puertos etc.

Gracias de nuevo.

[Técnico.Global-Movistar]

Hola @Jeroba

Gracias por tu participación en la Comunidad, nos alegramos este solucionado con la ayuda del buen aporte de @Theliel

Saluds