Добавление нескольких IP-адресов на интерфейсе

В этой статье мы кратко обсудим часто задаваемый вопрос – “Можно ли использовать несколько IP адресов на интерфейсе и как сделать это правильно”

Фаерволы Palo Alto Networks предлагают 2 варианта использования и мы рассмотрим оба сценария.

Если ваш провайдер предоставил вам внешний IP-диапазон, позволяющий использовать более двух узлов (фаервол и маршрутизатор) в подсети, например маску подсети /29 или больше, эти дополнительные IP-адреса могут быть назначены определенным серверам или службам, размещенным в вашей сети, или использоваться для скрытия различных сегментов ваших внутренних ресурсов при выходе в Интернет.

Для настройки NAT дополнительные IP-адреса не обязательно должны быть настроены на интерфейсе: брандмауэр может выполнить поиск внутренних маршрутов, чтобы найти, к какому интерфейсу подключен IP-диапазон, и использовать proxy arp для ответа на ARP-запросы для IP-адресов, настроенных в NAT на интерфейсе. Эта техника делает сконфигурированный IP-адрес доступным для внешних узлов, пытающихся достичь его, не будучи физически сконфигурированным на интерфейсе.

Существует 2 варианта добавление дополнительного адреса:

1. Добавьте IP-адрес в качестве подсети /32 к существующему интерфейсу:

2. Добавьте IP-адрес в качестве интерфейса loopback:

Предпочтительной и рекомендуемой конфигурацией является использование опции loopback-интерфейса, позволяющей выполнять некоторые дополнительные настройки безопасности, которые, в зависимости от обстоятельств, могут пригодиться. Интерфейс loopback может быть настроен на собственную зону безопасности. Это позволяет применять к этому IP-адресу различные политики безопасности по сравнению с диапазоном IP-адресов, подключенных к интерфейсу.

В случае возникновения сложностей или дополнительных вопросов, Вы можете обратиться в поддержку Bakotech и мы будем рады помочь Вам.