☰

可以将 /29 网络分成两个 /30 网络吗？

tag-icon • tag-icon networking router routing subnet
可以将 /29 网络分成两个 /30 网络吗？

我有一个来自 ISP 的网络，由八个 IP 地址 (/29) 组成。假设它是 1.1.1.0/29。ISP 的网关是 1.1.1.1。这个网络应该分开，以便两个不同的公司可以使用，并且两个网络彼此隔离。此外，两家公司都需要外部 IP 地址。不幸的是，使用 NAT 是不可能的。

我可以拆分这个 /29 网络，以便为两家公司分别分配一个 /30 网络吗？或者更准确地说：是否可能出现以下情况：

  • 公司 1 和公司 2 均需连接到互联网
  • 有一个可管理的网络交换机可用，可以有 VLAN
  • 公司一：
    • 公司 1 的防火墙的 IP 地址为 1.1.1.2
    • 公司 1 的子网掩码为 255.255.255.252
    • 公司 1 的默认网关是 1.1.1.1
  • 公司2：
    • 公司 2 的防火墙的 IP 地址为 1.1.1.6
    • 公司 2 的子网掩码为 255.255.255.252
    • 公司2的默认网关是1.1.1.5（这是交换机上的VLAN接口地址）
  • 转变
    • 交换机上配置了两个VLAN
    • 在 VLAN 1 上，有来自 ISP 的上行链路和所连接的公司 1 的防火墙。
    • VLAN 1 没有接口地址。
    • 在 VLAN 2 上，连接了公司 2 的防火墙
    • VLAN 2 的接口 IP 地址为 1.1.1.5/30
    • 路由表：
      • 0.0.0.0/0 下一跳：1.1.1.1（这是与互联网的连接）
      • 1.1.1.0/30 VLAN-1
      • 1.1.1.4/30 VLAN-2

这样的设置可行吗？是否可以将一个公共 /29 IPv4 网络拆分为两个公共 /30 IPv4 网络，并将上传地址置于两个子网之一中？

网络设置

答案1

这绝对是可能的，但如果重新配置 ISP 网关以直接将两个 VLAN 作为 /30 来处理，那就最容易了。（从技术角度来看，这应该是一个非常简单的更改 - 至少我希望从企业级路由器开始 - 困难的部分是让 ISP 真正做到这一点。）

（如果将 ISP 网关重新配置为路线整个 /29 通过您自己的路由器路由交换机。然后您的路由器交换机可以对这些数据包进行任何它想做的事情。

最后，在无需 ISP 合作的情况下拆分网络在技术上也是可行的。但是，只要 ISP 网关认为它是 /29 子网的一部分，它就会发出 ARP 查询全部/29 中的地址。如果你将其中一半移到另一个路由器后面，某物仍然需要回答那些 ARP 查询！

这意味着你的第二个网关（1.1.1.5 路由交换机）需要与 ISP 的网关相连——它需要运行代理ARP在 VLAN 1 上并代表整个 1.1.1.4/30 回答 ARP 查询。

答案2

不要划分子网。将 1.1.1.2 和 1.1.1.3 分配给第一家公司，将 1.1.1.4 和 1.1.1.5 分配给第二家公司，1.1.1.6 将作为您的“热保留”。

在这种情况下，您的路由器必须充当透明桥。此外，不需要路由器，普通的 L3 转换器就足够了。

如果您想禁止公司间访问（正式来说这是非法的，您没有任何凭证来过滤互联网流量）那么您可以根据路由器上的拒绝防火墙规则进行过滤。

相关内容