Маршрутизация между двумя подсетями

@KateS · Регистрация: 11.12.2009

Студворк — интернет-сервис помощи студентам

Здравствуйте мне нужно настроить Juniper SRX100 как маршрутизатор с двумя интерфейсными портами, чтобы была маршрутизация между двумя подсетями, кто может подсказать где это прописать нужно?
Нужно в ge/0/0 прописать одну подсеть а в ge/0/1 другую или нет, что то я вообще не могу понять(

@outl4w · 22.09.2014, 09:40

Сообщение от user988

In: 192.168.20.2/1111 --> 192.168.25.2/1;icmp, If: fe-0/0/3.0, Pkts: 1, Bytes: 60
Out: 192.168.25.2/1 --> 192.168.20.2/1111;icmp, If: fe-0/0/4.0, Pkts: 0, Bytes: 0

Вот эти строки явно говорят о том, что к Вам не возвращаются пакеты от 192.168.25.2. Уходят, но не возвращаются.
Проверьте на целевом ПК наличие брэндмауэра, разрешает ли он icmp из других подсетей.
Выключите на время все антивирусы и брэндмауэры и проверьте снова.

@user988 · 26.09.2014, 15:16

Извините, долго отсутствовал. Рубанул сплеча. Все проще но загвоздка та же.
влан 100(192.168.100.1/24) и влан 200(192.168.200.1/24)
пк 192.168.100.5 пк 192.168.200.5
джуник видит и шлюзы и компы, компы видят свой шлюз и шлюз соседнего влана, НО НЕ ВИДЯТ ДРУГ ДРУГА.

Кликните здесь для просмотра всего текста

root> show security flow session
Session ID: 45299, Policy name: self-traffic-policy/1, Timeout: 1800, Valid
In: 192.168.100.5/64237 --> 192.168.100.1/22;tcp, If: vlan.4, Pkts: 105, Bytes : 6840
Out: 192.168.100.1/22 --> 192.168.100.5/64237;tcp, If: .local..0, Pkts: 131, B ytes: 13357

Session ID: 45309, Policy name: allow/5, Timeout: 46, Valid
In: 192.168.100.5/1928 --> 192.168.200.5/1;icmp, If: vlan.4, Pkts: 1, Bytes: 6 0
Out: 192.168.200.5/1 --> 192.168.100.5/1928;icmp, If: vlan.5, Pkts: 0, Bytes: 0

Session ID: 45313, Policy name: allow/5, Timeout: 52, Valid
In: 192.168.100.5/1929 --> 192.168.200.5/1;icmp, If: vlan.4, Pkts: 1, Bytes: 6 0
Out: 192.168.200.5/1 --> 192.168.100.5/1929;icmp, If: vlan.5, Pkts: 0, Bytes: 0

Session ID: 45316, Policy name: allow/5, Timeout: 56, Valid
In: 192.168.100.5/1930 --> 192.168.200.5/1;icmp, If: vlan.4, Pkts: 1, Bytes: 6 0
Out: 192.168.200.5/1 --> 192.168.100.5/1930;icmp, If: vlan.5, Pkts: 0, Bytes: 0
Total sessions: 4

root> show security flow session
Session ID: 45299, Policy name: self-traffic-policy/1, Timeout: 1800, Valid
In: 192.168.100.5/64237 --> 192.168.100.1/22;tcp, If: vlan.4, Pkts: 119, Bytes: 7624
Out: 192.168.100.1/22 --> 192.168.100.5/64237;tcp, If: .local..0, Pkts: 149, Bytes: 15953

Session ID: 45313, Policy name: allow/5, Timeout: 4, Valid
In: 192.168.100.5/1929 --> 192.168.200.5/1;icmp, If: vlan.4, Pkts: 1, Bytes: 60
Out: 192.168.200.5/1 --> 192.168.100.5/1929;icmp, If: vlan.5, Pkts: 0, Bytes: 0

Session ID: 45316, Policy name: allow/5, Timeout: 8, Valid
In: 192.168.100.5/1930 --> 192.168.200.5/1;icmp, If: vlan.4, Pkts: 1, Bytes: 60
Out: 192.168.200.5/1 --> 192.168.100.5/1930;icmp, If: vlan.5, Pkts: 0, Bytes: 0

Session ID: 45319, Policy name: allow/5, Timeout: 14, Valid
In: 192.168.100.5/1931 --> 192.168.200.5/1;icmp, If: vlan.4, Pkts: 1, Bytes: 60
Out: 192.168.200.5/1 --> 192.168.100.5/1931;icmp, If: vlan.5, Pkts: 0, Bytes: 0

Session ID: 45339, Policy name: allow/5, Timeout: 50, Valid
In: 192.168.200.5/282 --> 192.168.100.5/1;icmp, If: vlan.5, Pkts: 1, Bytes: 60
Out: 192.168.100.5/1 --> 192.168.200.5/282;icmp, If: vlan.4, Pkts: 0, Bytes: 0

Session ID: 45340, Policy name: allow/5, Timeout: 54, Valid
In: 192.168.200.5/283 --> 192.168.100.5/1;icmp, If: vlan.5, Pkts: 1, Bytes: 60
Out: 192.168.100.5/1 --> 192.168.200.5/283;icmp, If: vlan.4, Pkts: 0, Bytes: 0

Session ID: 45348, Policy name: allow/5, Timeout: 60, Valid
In: 192.168.200.5/285 --> 192.168.100.5/1;icmp, If: vlan.5, Pkts: 1, Bytes: 60
Out: 192.168.100.5/1 --> 192.168.200.5/285;icmp, If: vlan.4, Pkts: 0, Bytes: 0
Total sessions: 7

обратите внимание, подозрение вызывают первые сессии.

Добавлено через 1 час 4 минуты
Ребята, Всем спасибо, всё заработало. Причиной стал акаянный брендмауэр на одном из компов.
В ближайшее время выложу итоговый конфиг для джуника с пояснениями, может кому пригодится почитать.

Добавлено через 1 час 15 минут

Кликните здесь для просмотра всего текста

edit interfaces vlan
set unit 1 family inet address 192.168.5.1/24
set unit 2 family inet address 192.168.10.1/24
set unit 3 family inet address 192.168.15.1/24
top
edit vlans
set vlan-trust2 vlan-id 4 l3-interface vlan.1
set vlan-trust3 vlan-id 5 l3-interface vlan.2
set vlan-trust4 vlan-id 6 l3-interface vlan.3
top
edit interfaces
delete fe-0/0/7 unit 0 family ethernet-switching vlan members vlan-trust
set fe-0/0/7 unit 0 family ethernet-switching vlan members vlan-trust4
delete fe-0/0/6 unit 0 family ethernet-switching vlan members vlan-trust
set fe-0/0/6 unit 0 family ethernet-switching vlan members vlan-trust3
delete fe-0/0/5 unit 0 family ethernet-switching vlan members vlan-trust
set fe-0/0/5 unit 0 family ethernet-switching vlan members vlan-trust2
top
set security zones security-zone lan15 interfaces vlan.3 host-inbound-traffic system-services all
set security zones security-zone lan15 interfaces vlan.3 host-inbound-traffic protocols all
set security zones security-zone lan10 interfaces vlan.2 host-inbound-traffic system-services all
set security zones security-zone lan10 interfaces vlan.2 host-inbound-traffic protocols all
set security zones security-zone lan5 interfaces vlan.1 host-inbound-traffic system-services all
set security zones security-zone lan5 interfaces vlan.1 host-inbound-traffic protocols all

set security policies from-zone lan15 to-zone lan10 policy 1 match source address any
set security policies from-zone lan15 to-zone lan10 policy 1 match destination address any
set security policies from-zone lan15 to-zone lan10 policy 1 match applikation any

set security policies from-zone lan10 to-zone lan15 policy 1 match source address any
set security policies from-zone lan10 to-zone lan15 policy 1 match destination address any
set security policies from-zone lan10 to-zone lan15 policy 1 match applikation any

и подобным образом разрешаем трафик между любыми нужными зонами.
Либо если трафик между вланами ограничивать не требуется, то просто заносим vlan.3 , vlan.2 , vlan.1
в зону по умолчанию trust и пропишем только одну политику: trust-to-trust ибо у меня не пинговались
без неё даже шлюзы.
Затем вырубаем на машинах, подключенных к джунику, брендмауэр и антивирус, которые режут icmp из другой подсети.
Вуаля! чудесным образом получаем маршрутизацию между вланами.Пинг между компьютерами из разных подсетей идёт.

@MonaxGT · 27.09.2014, 01:18

user988, рады были Вам помочь

@alexandr8613 · 26.04.2019, 23:07

Сообщение от MonaxGT

set sec zone secu LAN_192.168.1.0 host-in sys any proto all
set sec zone secu LAN_192.168.2.0 host-in sys any proto all
Настроим политику доступа:
Код
set sec po from LAN_192.168.1.0 to LAN_192.168.2.0 policy 1 match sou-ad any dest-add any applic any
set sec po from LAN_192.168.1.0 to LAN_192.168.2.0 policy 1 then permit
set sec po from LAN_192.168.1.0 to LAN_192.168.1.0 policy 1 match sou-ad any dest-add any applic any
set sec po from LAN_192.168.1.0 to LAN_192.168.1.0 policy 1 then permit

Если кому-нибудь не сложно, объясните, что значат эти команды. Я еще слишком зеленый в этом деле(
Применить я их применил и всё заработало, но вот еще понять бы логику всего, что я натворил

@MonaxGT · 28.04.2019, 15:19

alexandr8613, В первой части ты создаешь две зоны безопасности, некий объект, который описывает принаждлежность трафика к нему. В данном случае весь трафик.
Далее ты создаешь переходы между объектами, типа объект такой может обращаться по любым портам/протоколам и адресам с одного в другой без запретов и все. (Так же там нужно конкретные интерфейсы привязать к данным зонам безопасности)

По уму, так делать не надо, это отключать основную идею - безопасность через сегментирование сетей.

@alexandr8613 · 28.04.2019, 15:24

MonaxGT, Спасибо вам!

Новые блоги и статьи Все статьи Все блоги /
Запустил конкурс "тем и промптов для текстовых квестов созданных почти чисто ИИ" Adler 06.10.2026 Всем привет! За последние три-четыре дня я создал более 16 текстовых квестовых игр используя преимущественно по одному запросу к ИИ на игру. Мне так понравилось смотреть все ветки/ сцены во всех. . .	ИИ не может найти нужный язык в списке Supersumestria 05.10.2026 Я ему даю вот такое изображение и прошу найти и подчеркнуть немецкий язык. Возвращает он вот это: https:/ / i. **********/ vqBWLe2. png Нужную строчку в 3й колонке просто выдумал. . Это. . .	Новая последняя моя музыка в SUNO zorxor 05.10.2026 Здравствуйте, дорогие мои друзья! С большой радостью я хотел бы представить вам свою новую последнею музыку, которую сгенерировала мне по моей просьбе нейросеть SUNO. С уважением, zorxor. Это. . .	Nekobox - outbounds[0].transport: unknown transport type: raw damix 01.10.2026 Фикс ошибки Правым кликом по серверу -> отладочная информация -> edit Заменить "net": "raw", на "net": "tcp", Нажать кнопку reload.
Программный домашний кинотеатр russiannick 27.09.2026 Сподобился на программный домашний кинотеатр. В качестве ЯВУ по традиции выбрал js. В помощники взял Яндекс-Алису. Было создано три зала на разные интересы. исторические и ретро сериал Хичкок. . .	Беседа с ИИ о программистах, недопускающих к созданию и правке кода генеративные ИИ и причины этого zorxor 21.09.2026 Раньше я радовался или получал некоторые эмоции, пусть небольшие, но всё же, от самого процесса написания кода, рекомпиляции и запуска, видя постепенное развитие программы и прочее. А теперь лень. . .	Мобильное приложение ColorStep pavlinmavlin 17.09.2026 Реализовал приложение Красный, Зеленый, Синий в Unity3d + c#. Название изменил на ColorStep. Приложение прошло модерацию и теперь доступно для скачивания. Делал его сам, шаг за шагом — и вот,. . .	Запрет дублирования строк в табличной части Maks 13.09.2026 Реализация из решения ниже выполнена на нетиповом справочнике "Нормы ТО" с табличной часть "Виды ТО", разработанного в КА2, со следующими реквизитами: - ВидТО (СправочникСсылка. ВидыТО); - ВидГСМ. . .

@KateS 1 / 1 / 0 Регистрация: 11.12.2009 Сообщений: 62

	Маршрутизация между двумя подсетями 08.08.2014, 13:41. Показов 12079. Ответов 25 Метки juniper, security, srx (Все метки) Здравствуйте мне нужно настроить Juniper SRX100 как маршрутизатор с двумя интерфейсными портами, чтобы была маршрутизация между двумя подсетями, кто может подсказать где это прописать нужно? Нужно в ge/0/0 прописать одну подсеть а в ge/0/1 другую или нет, что то я вообще не могу понять( 0

@user988 0 / 0 / 0 Регистрация: 18.09.2014 Сообщений: 12
	26.09.2014, 15:16
	Извините, долго отсутствовал. Рубанул сплеча. Все проще но загвоздка та же. влан 100(192.168.100.1/24) и влан 200(192.168.200.1/24) пк 192.168.100.5 пк 192.168.200.5 джуник видит и шлюзы и компы, компы видят свой шлюз и шлюз соседнего влана, НО НЕ ВИДЯТ ДРУГ ДРУГА. Кликните здесь для просмотра всего текста root> show security flow session Session ID: 45299, Policy name: self-traffic-policy/1, Timeout: 1800, Valid In: 192.168.100.5/64237 --> 192.168.100.1/22;tcp, If: vlan.4, Pkts: 105, Bytes : 6840 Out: 192.168.100.1/22 --> 192.168.100.5/64237;tcp, If: .local..0, Pkts: 131, B ytes: 13357 Session ID: 45309, Policy name: allow/5, Timeout: 46, Valid In: 192.168.100.5/1928 --> 192.168.200.5/1;icmp, If: vlan.4, Pkts: 1, Bytes: 6 0 Out: 192.168.200.5/1 --> 192.168.100.5/1928;icmp, If: vlan.5, Pkts: 0, Bytes: 0 Session ID: 45313, Policy name: allow/5, Timeout: 52, Valid In: 192.168.100.5/1929 --> 192.168.200.5/1;icmp, If: vlan.4, Pkts: 1, Bytes: 6 0 Out: 192.168.200.5/1 --> 192.168.100.5/1929;icmp, If: vlan.5, Pkts: 0, Bytes: 0 Session ID: 45316, Policy name: allow/5, Timeout: 56, Valid In: 192.168.100.5/1930 --> 192.168.200.5/1;icmp, If: vlan.4, Pkts: 1, Bytes: 6 0 Out: 192.168.200.5/1 --> 192.168.100.5/1930;icmp, If: vlan.5, Pkts: 0, Bytes: 0 Total sessions: 4 root> show security flow session Session ID: 45299, Policy name: self-traffic-policy/1, Timeout: 1800, Valid In: 192.168.100.5/64237 --> 192.168.100.1/22;tcp, If: vlan.4, Pkts: 119, Bytes: 7624 Out: 192.168.100.1/22 --> 192.168.100.5/64237;tcp, If: .local..0, Pkts: 149, Bytes: 15953 Session ID: 45313, Policy name: allow/5, Timeout: 4, Valid In: 192.168.100.5/1929 --> 192.168.200.5/1;icmp, If: vlan.4, Pkts: 1, Bytes: 60 Out: 192.168.200.5/1 --> 192.168.100.5/1929;icmp, If: vlan.5, Pkts: 0, Bytes: 0 Session ID: 45316, Policy name: allow/5, Timeout: 8, Valid In: 192.168.100.5/1930 --> 192.168.200.5/1;icmp, If: vlan.4, Pkts: 1, Bytes: 60 Out: 192.168.200.5/1 --> 192.168.100.5/1930;icmp, If: vlan.5, Pkts: 0, Bytes: 0 Session ID: 45319, Policy name: allow/5, Timeout: 14, Valid In: 192.168.100.5/1931 --> 192.168.200.5/1;icmp, If: vlan.4, Pkts: 1, Bytes: 60 Out: 192.168.200.5/1 --> 192.168.100.5/1931;icmp, If: vlan.5, Pkts: 0, Bytes: 0 Session ID: 45339, Policy name: allow/5, Timeout: 50, Valid In: 192.168.200.5/282 --> 192.168.100.5/1;icmp, If: vlan.5, Pkts: 1, Bytes: 60 Out: 192.168.100.5/1 --> 192.168.200.5/282;icmp, If: vlan.4, Pkts: 0, Bytes: 0 Session ID: 45340, Policy name: allow/5, Timeout: 54, Valid In: 192.168.200.5/283 --> 192.168.100.5/1;icmp, If: vlan.5, Pkts: 1, Bytes: 60 Out: 192.168.100.5/1 --> 192.168.200.5/283;icmp, If: vlan.4, Pkts: 0, Bytes: 0 Session ID: 45348, Policy name: allow/5, Timeout: 60, Valid In: 192.168.200.5/285 --> 192.168.100.5/1;icmp, If: vlan.5, Pkts: 1, Bytes: 60 Out: 192.168.100.5/1 --> 192.168.200.5/285;icmp, If: vlan.4, Pkts: 0, Bytes: 0 Total sessions: 7 обратите внимание, подозрение вызывают первые сессии. Добавлено через 1 час 4 минуты Ребята, Всем спасибо, всё заработало. Причиной стал акаянный брендмауэр на одном из компов. В ближайшее время выложу итоговый конфиг для джуника с пояснениями, может кому пригодится почитать. Добавлено через 1 час 15 минут Кликните здесь для просмотра всего текста edit interfaces vlan set unit 1 family inet address 192.168.5.1/24 set unit 2 family inet address 192.168.10.1/24 set unit 3 family inet address 192.168.15.1/24 top edit vlans set vlan-trust2 vlan-id 4 l3-interface vlan.1 set vlan-trust3 vlan-id 5 l3-interface vlan.2 set vlan-trust4 vlan-id 6 l3-interface vlan.3 top edit interfaces delete fe-0/0/7 unit 0 family ethernet-switching vlan members vlan-trust set fe-0/0/7 unit 0 family ethernet-switching vlan members vlan-trust4 delete fe-0/0/6 unit 0 family ethernet-switching vlan members vlan-trust set fe-0/0/6 unit 0 family ethernet-switching vlan members vlan-trust3 delete fe-0/0/5 unit 0 family ethernet-switching vlan members vlan-trust set fe-0/0/5 unit 0 family ethernet-switching vlan members vlan-trust2 top set security zones security-zone lan15 interfaces vlan.3 host-inbound-traffic system-services all set security zones security-zone lan15 interfaces vlan.3 host-inbound-traffic protocols all set security zones security-zone lan10 interfaces vlan.2 host-inbound-traffic system-services all set security zones security-zone lan10 interfaces vlan.2 host-inbound-traffic protocols all set security zones security-zone lan5 interfaces vlan.1 host-inbound-traffic system-services all set security zones security-zone lan5 interfaces vlan.1 host-inbound-traffic protocols all set security policies from-zone lan15 to-zone lan10 policy 1 match source address any set security policies from-zone lan15 to-zone lan10 policy 1 match destination address any set security policies from-zone lan15 to-zone lan10 policy 1 match applikation any set security policies from-zone lan10 to-zone lan15 policy 1 match source address any set security policies from-zone lan10 to-zone lan15 policy 1 match destination address any set security policies from-zone lan10 to-zone lan15 policy 1 match applikation any и подобным образом разрешаем трафик между любыми нужными зонами. Либо если трафик между вланами ограничивать не требуется, то просто заносим vlan.3 , vlan.2 , vlan.1 в зону по умолчанию trust и пропишем только одну политику: trust-to-trust ибо у меня не пинговались без неё даже шлюзы. Затем вырубаем на машинах, подключенных к джунику, брендмауэр и антивирус, которые режут icmp из другой подсети. Вуаля! чудесным образом получаем маршрутизацию между вланами.Пинг между компьютерами из разных подсетей идёт. 0

@MonaxGT 278 / 278 / 25 Регистрация: 02.08.2012 Сообщений: 1,232
	27.09.2014, 01:18
	user988, рады были Вам помочь 0

@MonaxGT 278 / 278 / 25 Регистрация: 02.08.2012 Сообщений: 1,232
	28.04.2019, 15:19
	alexandr8613, В первой части ты создаешь две зоны безопасности, некий объект, который описывает принаждлежность трафика к нему. В данном случае весь трафик. Далее ты создаешь переходы между объектами, типа объект такой может обращаться по любым портам/протоколам и адресам с одного в другой без запретов и все. (Так же там нужно конкретные интерфейсы привязать к данным зонам безопасности) По уму, так делать не надо, это отключать основную идею - безопасность через сегментирование сетей. 1

@alexandr8613 1 / 1 / 0 Регистрация: 26.04.2019 Сообщений: 12
	28.04.2019, 15:24
	MonaxGT, Спасибо вам! 0