Управление NS Loco M5 (5.5.8) в режиме Bridge

[chukcha]

Уважаемые саксаулы, в смысле, аксакалы!

Имеется две Loco M5, канал точка-точка. Схема сети:
[провайдер]---[точка1] ~ ~ ~ [точка2]---[мой_роутер]---{LAN}

Между точками -- бридж и WDS. Работает стабильно, мощность низкая, скорость высокая.

Точка 1 подключена портом к провайдерскому свичу. Провайдер проверяет МАК-адрес, выдает реальный IP и прочие параметры по DHCP и пущает в интернет. Точка 2 подключена к роутеру в офисе. Этот роутер имеет тот самый MAK, получает по DHCP те самые параметры и делает NAT для локальной сетки. На роутере маленький линукс.

На точках для управления выставлены "серые" IP-адреса из 192.168.1.0/24, адрес из этого же диапазона добавлен для WAN-интерфейса (алиас wan1:1). Из LAN точки видятся всеми возможными способами.

Сейчас все работает, но кое-чего не хватает.

Хочется иметь возможность рулить точкой 1 из интернета, на случай возникновения проблем с радиоканалом.

Повторюсь, реальный IP провайдер дает, но получает его роутер. Просить у провайдера второй реальный IP - не вариант.

Я знаю только один вариант. Можно перевести точку 1 в режим "Router", получать на ней от провайдера по DHCP реальный IP и делать на NAT. На роутере NAT по-любому отключить не получится. Так что в итоге будет двойной NAT, которого хочется избежать. Не могу сказать, что совершенно осознанно, но тут у меня всякая телефония... И некоторые сервисы доступны из инета, соответственно, нужно будет два раза прокидывать порты... Хотя, может, это я зря страдаю, конечно..

Чем череповат двойной НАТ + радиоканал? Или делать и не парится?

Есть ли еще какие-то способы рулить точкой намба 1 со стороны интернета? Какая-нибудь крутая магия? :-)

[unicorp99]

Есть ли еще какие-то способы рулить точкой намба 1 со стороны интернета? Какая-нибудь крутая магия? :-)

Вариант:
После подключения интернета по DHCP выставление скриптами доп.адреса на wan интерфейсе роутера и проброс портов на адреса точек
Только при потери линка управлять точками нельзя..

-----------

А хоть двойной, хоть тройной NAT ничем особо не череват. IPv4 оно и в африке IPv4. Смело делай.
С другой стороны - если линк потеряется - всё одно связи не будет. Смысла особого нет в диагностике линка (если конечно не хочется сканить эфир или не маньячим обновлять ПО для точек)..
С третьей стороны - к линку хакеры не доберутся (кроме провайдерских) и не поставят свой пароль на точки..

[chukcha]

Спасибо, товарищ Юникорп.

С роутера порты пробрасывать на точки нету смысла. Они никому, кроме меня, не нужны, а себе я их могу хоть по SSH, хоть по VPN прокинуть. Если можно подключиться к роутеру..

Я просто надеялся на то, что есть какая-то фича типа Intel'овского AMT (vPro).

Это такая технология удаленного управления, встраиваемая в чипсет мат.платы (+проц), которая позволяет управлять на уровне BIOS компом по IPшнику, полученному операционкой. Т.е. комп загружается в OS, получает по DHCP параметры, и BIOS слушает на том же IP единственный порт. Можно использовать VNC, подключать диски и пр, даже при нерабочей OS. Удобная штука. Тут чего-то такого явно не хватает.

[kuslik]

сделать отдельный влан в него добавить управление точками и прокинуть вторым бриджем к себе на второй точке, которая ближе к вам можно отдать этот влан тегом, либо отроутить
все зависит от вашей фантазии по большому счету, кнопка адвансед вам в помощ

[chukcha]

Спасибо, уважаемый kuslik. Но, если я правильно понял ваше предложение, оно, к сожалению, не решит мою проблему. При падении линка точка, подключенная к провайдеру, доступна из инета не будет.

[kuslik]

ну если вам провайдер дает белый адрес то не вижу проблемы получить доступ из интернета, только непонятно почему линк должен пропасть, обычно линк пропадает если нет питания, так если нет питания то доступ и получать не к чему

[unicorp99]

ну если вам провайдер дает белый адрес то не вижу проблемы получить доступ из интернета, только непонятно почему линк должен пропасть, обычно линк пропадает если нет питания, так если нет питания то доступ и получать не к чему

Тут не про белый адрес, тут изыскание внутренних резервов в форс-замароженных случаях ..

А пропадание связи на Камчатке и на Чукотке (там и там холодно зимой) - нередкое явление в пургу, мороз и просто ветром может точечку вместе с опорой вырвать.. Да и свет часто рубают..

Спасибо, уважаемый kuslik. Но, если я правильно понял ваше предложение, оно, к сожалению, не решит мою проблему. При падении линка точка, подключенная к провайдеру, доступна из инета не будет.

Не нужно создавать проблему на том месте, где её нет..

Спасибо, товарищ Юникорп.

С роутера порты пробрасывать на точки нету смысла. Они никому, кроме меня, не нужны, а себе я их могу хоть по SSH, хоть по VPN прокинуть. Если можно подключиться к роутеру..

Я просто надеялся на то, что есть какая-то фича типа Intel'овского AMT (vPro).

Это такая технология удаленного управления, встраиваемая в чипсет мат.платы (+проц), которая позволяет управлять на уровне BIOS компом по IPшнику, полученному операционкой. Т.е. комп загружается в OS, получает по DHCP параметры, и BIOS слушает на том же IP единственный порт. Можно использовать VNC, подключать диски и пр, даже при нерабочей OS. Удобная штука. Тут чего-то такого явно не хватает.

Да нема за шо, товарищ Chukcha

такой фичи как ёпрст/intel/amd в Убиквити нет (что есть для подобных целей - так это Auto IP aliasing для назначения IP, заметьте, точка и так сетевое устройство, ВСЁ хватает)

Также можно обойтись одним нат на главной точке - а в роутер воткнуть кабель не в гнездо WAN - а в любое гнездо LAN и
IP поставить железкам принудительно, DHCP поднять на роутере для оставшихся адресов (заняты будут три адреса для точек и роутера)

по моему, чем избегать чего-то (типа второго нат или некошерно фтыкать инет в гнездо LAN, или лень поменять у прова MAC устройства для инета) и терять удалённую диагностику точек (с верой в фантастически чудесные несделанные технологии) - лудше настроить как полагается..
И, если я так правильно понимаю, только не менее чем три поездки в неизвестность отучат выключать дальнюю диагностику..

[chukcha]

Поездок к разному железу было уже гораздо, гораздо больше, поэтому и заморачиваюсь заранее.

"некошерно фтыкать инет в гнездо LAN" -- почему же? Вполне кошерно, если понимать, что делаем. Но в этом случае роутер используется как тупо свитч, все виндовые бродкасты и прочая хрень летают по линку между точками. Злыдень, прохачивший точку (а физический доступ к ней мы не контролируем, она на дикой крыше), получает доступ в локалку. Так что в данном случае -- не хочу так делать, и не знаю, когда стоит так делать вообще.

"Лень поменять у прова MAC устройства для инета" -- зачем менять у провайдера? В AirOS через конфиг удаленно меняются все MAKи..

Почитал про двойной NAT -- ничего особо страшного нет, если NAT нормально реализован. Проблемы обычно возникают с операторскими прошивками ADSL-модемов, с родными длинковскими и прочими недоделанными. Ну, и если нужно порты прокидывать, то руками и два раза. Пойду по этому варианту.

Благодарю поучаствовавших.