Viva Amigos,
Tenho estado muito ausente por motivos profissionais.
No entanto na semana passada, passou-se algo que me fez agora vir aqui escrever umas linhas para ajudar a malta.
Quantos de vocês já teve de mudar um router da vodafone/meo e teve de andar a repor configurações de NAT com aquela interface web bomboca?
Pois bem… aqui vai um mini howto de como gerar regras de instalação:
a) No router e por interface de consola (telnet/ssh) ANTES de ser substituído ( e se ainda conseguirem entrar nele) façam os seguintes comandos:
ip rtlist
nat maplist
Guardem os outputs.
O primeiro comando dá-vos a tabela de routeamento do router. Podem ser malucos e terem várias redes publicadas na vossa home Lan.
O segundo comando dá-vos a tabela de NAT / PAT que tem implementada no vosso equipamento.
Em ambos os comandos, só vos interessa as vossas configurações. Não as do operador.
Exemplo:
{Administrator}=>ip rtlist
Label Destination Gateway Interface Mtc Admin Oper
10.49.16.12/32 127.0.0.1 loop 0 UP [UP]
10.49.127.255/32 127.0.0.1 loop 0 UP [UP]
77.54.116.22/32 127.0.0.1 loop 0 UP [UP]
77.54.127.255/32 127.0.0.1 loop 0 UP [UP]
127.0.0.1/32 127.0.0.1 loop 0 UP [UP]
192.168.1.254/32 127.0.0.1 loop 0 UP [UP]
192.168.1.255/32 127.0.0.1 loop 0 UP [UP]
255.255.255.255/32 127.0.0.1 loop 0 UP [UP]
87.103.113.139/32 77.54.96.1* ipInternet 0 UP UP
87.103.113.203/32 77.54.96.1* ipInternet 0 UP UP
87.103.119.196/32 ipVideo 1 UP UP
213.30.36.212/32 ipVideo 1 UP UP
213.30.43.16/32 10.49.0.1 ipVideo 1 UP UP
95.136.4.112/29 10.49.0.1 ipVideo 1 UP UP
213.30.36.208/29 10.49.0.1 ipVideo 1 UP UP
212.18.177.96/27 10.49.0.1 ipVideo 1 UP UP
93.108.253.128/25 10.49.0.1 ipVideo 1 UP UP
10.10.0.0/24 192.168.1.1 LocalNetwork 0 UP [UP]
10.10.1.0/24 192.168.1.1 LocalNetwork 0 UP [UP]
10.10.2.0/24 192.168.1.1 LocalNetwork 0 UP [UP]
10.10.3.0/24 192.168.1.1 LocalNetwork 0 UP [UP]
10.10.50.0/24 192.168.1.1 LocalNetwork 0 UP [UP]
192.168.1.0/24 192.168.1.254 LocalNetwork 0 UP [UP]
10.20.100.0/24 10.49.0.1 ipVideo 1 UP UP
10.20.110.0/24 10.49.0.1 ipVideo 1 UP UP
10.20.120.0/24 10.49.0.1 ipVideo 1 UP UP
10.20.150.0/24 10.49.0.1 ipVideo 1 UP UP
95.136.4.0/23 10.49.0.1 ipVideo 1 UP UP
87.103.116.0/22 10.49.0.1 ipVideo 1 UP UP
77.54.96.0/19 77.54.116.122 ipInternet 0 UP UP
10.49.0.0/17 10.49.16.12 ipVideo 0 UP UP
0.0.0.0/0 77.54.96.1 ipInternet 1 UP UP
{Administrator}=>nat maplist
Idx Type Interface Outside Address Inside Address Use
1 NAT ipInternet 77.54.116.22:8 127.0.0.1:8 0
2 NAT ipInternet 77.54.116.22 127.0.0.1 0
3 NAPT ipInternet 77.54.116.22:22 10.10.0.153:22 1
4 NAPT ipInternet 77.54.116.22:25 10.10.0.147:25 2
5 NAPT ipInternet 77.54.116.22:53 10.10.0.149:53 0
6 NAPT ipInternet 77.54.116.22:80 10.10.0.148:80 7
7 NAPT ipInternet 77.54.116.22:119 192.168.1.100:22 0
8 NAPT ipInternet 77.54.116.22:120 192.168.1.101:22 0
9 NAPT ipInternet 77.54.116.22:443 10.10.0.148:443 1
10 NAPT ipInternet 77.54.116.22:514 10.10.0.52:514 2
11 NAPT ipInternet 77.54.116.22:993 10.10.0.147:993 1
12 NAPT ipInternet 77.54.116.22:5060 77.54.116.22:5060 0
13 NAPT ipInternet 77.54.116.22:[7000-7003] 10.10.3.5:[7000-7003] 18
14 NAPT ipInternet 77.54.116.22:9103 10.10.0.4:9103 1
15 NAPT ipInternet 77.54.116.22:[10003-10010] 10.10.3.5:[10003-10010] 1
16 NAPT ipInternet 77.54.116.22:12005 10.10.2.5:12005 1
17 NAPT ipInternet 77.54.116.22:23595 10.10.3.251:23595 1
18 NAPT ipInternet 77.54.116.22:51005 127.0.0.1:51005 0
19 NAPT ipInternet 77.54.116.22:53 10.10.0.149:53 0
20 NAPT ipInternet 77.54.116.22:68 77.54.116.22:68 0
21 NAPT ipInternet 77.54.116.22:5060 77.54.116.22:5060 0
22 NAPT ipInternet 77.54.116.22:[7000-7003] 10.10.3.5:[7000-7003] 136
23 NAPT ipInternet 77.54.116.22:[10003-10010] 10.10.3.5:[10003-10010] 469
24 NAPT ipInternet 77.54.116.22 unmapped 73
1 NAT ipVideo 10.49.16.12:8 127.0.0.1:8 0
2 NAT ipVideo 10.49.16.12 127.0.0.1 0
3 NAPT ipVideo 10.49.16.12:22 10.10.0.153:22 0
4 NAPT ipVideo 10.49.16.12:25 10.10.0.147:25 0
5 NAPT ipVideo 10.49.16.12:53 10.10.0.149:53 0
6 NAPT ipVideo 10.49.16.12:80 10.10.0.148:80 0
7 NAPT ipVideo 10.49.16.12:119 192.168.1.100:22 0
8 NAPT ipVideo 10.49.16.12:120 192.168.1.101:22 0
9 NAPT ipVideo 10.49.16.12:443 10.10.0.148:443 0
10 NAPT ipVideo 10.49.16.12:514 10.10.0.52:514 0
11 NAPT ipVideo 10.49.16.12:993 10.10.0.147:993 0
12 NAPT ipVideo 10.49.16.12:5060 10.49.16.12:5060 0
13 NAPT ipVideo 10.49.16.12:[7000-7003] 10.10.3.5:[7000-7003] 0
14 NAPT ipVideo 10.49.16.12:9103 10.10.0.4:9103 0
15 NAPT ipVideo 10.49.16.12:[10003-10010] 10.10.3.5:[10003-10010] 0
16 NAPT ipVideo 10.49.16.12:12005 10.10.2.5:12005 0
17 NAPT ipVideo 10.49.16.12:23595 10.10.3.251:23595 0
18 NAPT ipVideo 10.49.16.12:51005 127.0.0.1:51005 0
19 NAPT ipVideo 10.49.16.12:53 10.10.0.149:53 0
20 NAPT ipVideo 10.49.16.12:68 10.49.16.12:68 0
21 NAPT ipVideo 10.49.16.12:5060 10.49.16.12:5060 0
22 NAPT ipVideo 10.49.16.12:[7000-7003] 10.10.3.5:[7000-7003] 0
23 NAPT ipVideo 10.49.16.12:[10003-10010] 10.10.3.5:[10003-10010] 0
24 NAPT ipVideo 10.49.16.12 unmapped 3
Só nos interessa no primeiro campo o que está atribuído a LocalNetwork, e no segundo comando o que está com o endereçamento publico/porto que nos interessa replicar.
Ou seja:
10.10.0.0/24 192.168.1.1 LocalNetwork 0 UP [UP]
10.10.1.0/24 192.168.1.1 LocalNetwork 0 UP [UP]
10.10.2.0/24 192.168.1.1 LocalNetwork 0 UP [UP]
10.10.3.0/24 192.168.1.1 LocalNetwork 0 UP [UP]
10.10.50.0/24 192.168.1.1 LocalNetwork 0 UP [UP]
192.168.1.0/24 192.168.1.254 LocalNetwork 0 UP [UP]
e
1 NAT ipInternet 77.54.116.22:8 127.0.0.1:8 0
2 NAT ipInternet 77.54.116.22 127.0.0.1 0
3 NAPT ipInternet 77.54.116.22:22 10.10.0.153:22 1
4 NAPT ipInternet 77.54.116.22:25 10.10.0.147:25 2
5 NAPT ipInternet 77.54.116.22:53 10.10.0.149:53 0
6 NAPT ipInternet 77.54.116.22:80 10.10.0.148:80 0
7 NAPT ipInternet 77.54.116.22:443 10.10.0.148:443 1
8 NAPT ipInternet 77.54.116.22:5060 77.54.116.22:5060 0
No primeiro output temos as rotas publicadas que este router dá internet, e no segundo as portas que estão mapeadas:
SSH, DNS, SMTP, HTTP, HTTPS, SIP
Assim sendo, temos que configurar da seguinte forma:
B) Mal o novo router esteja instalado, coloquem os seguintes comandos (entre parentisis estão os comentários e explicação dos comandos):
:ip rtadd dst=10.10.0.0/24 gateway=192.168.1.1
:ip rtadd dst=10.10.1.0/24 gateway=192.168.1.1
:ip rtadd dst=10.10.2.0/24 gateway=192.168.1.1
:ip rtadd dst=10.10.3.0/24 gateway=192.168.1.1
:ip rtadd dst=10.10.50.0/24 gateway=192.168.1.1
(adição de rotas no formato – rede/mascara gateway=ip_da_firewall_que_da_servico_a_rede)
:connection timerconfig timer=udpidle value=20
:connection timerconfig timer=udpkill value=15
:hostmgr config state=disabled
(desativar o autodiscovery de rede para poupar CPU do router, diminuir o timeout de udp para múltiplas ligações – ver outros posts do blog)
:hostmgr saveall
:hostmgr clear
:saveall
(gravar configurações)
:service host add name=SSH mode=custom
:service host add name=smtpcluster mode=custom
:service host add name=wwwcluster mode=custom
:service host add name=wwwscluster mode=custom
:service host add name=dnscluster mode=custom
(criar novos servicos com os nomes que se deseja)
:service host rule add name=SSH protocol=tcp baseport=22 portrange=22
:service host rule add name=smtpcluster protocol=tcp baseport=25 portrange=25
:service host rule add name=wwwcluster protocol=tcp baseport=80 portrange=80
:service host rule add name=wwwscluster protocol=tcp baseport=443 portrange=443
:service host rule add name=dnscluster portrange=53
(atribuir portas tcp/udp/IP aos serviços)
:service host assign name=SSH host=10.10.0.153
:service host assign name=smtpcluster host=10.10.0.147
:service host assign name=wwwcluster host=10.10.0.148
:service host assign name=wwwscluster host=10.10.0.148
:service host assign name=dnscluster host=10.10.0.149
(atribuir os serviços aos hosts)
:saveall
(gravar configurações)
Após isto, se forem ao vosso router por web, vao la ver as vossas configurações de nat todas como estavam no antigo router.
Pode não parecer muito, mas imaginem que tem 30 ou 40 regras simultaneas, e vão ver o tempo que este truque vos irá poupar.
Se tiverem duvidas ou ideias enviem-me e-mail para xupetas <at> filhodaputa.net. Como sempre não sou responsável se meterem os pés pelas mãos, ou se o operador se lembrar de inventar alguma coisa para impedir este tipo de consolas.
Normalmente em caso de borrada apenas tem que fazer hardreset ao router a coisa volta a estaca 0.
Abraço,