Probleme mit Routing interner LANs

Sorry, I can't get my brain to write everything in German right now...

You are right Mario, it's sloppy of us to use "segment" when we are talking about routed subnets.

But, I don't understand that you say there's no probnlem with double natting (masquerading)  when IPSec and, I thought, other protocols have difficulty with it.  Can you be more specific?

Entschuldigt mein Englisch zurück auf Deutsch, bitte.

vD im Voraus - Bob

Nun ich versuche zu erklären, dass es etwas anderes bedeutet als hier offenbar mehrfach angenommen wird.

OK, also für mich ist ein Lan-Segment (sehr vereinfacht dargestellt):
ein Switch wo nur Geräte angeschlossen sind, die sich das selbe IP-Netz teilen.

Mann kann natürlich via VLAN eine quasi Trennung auf dem Switch bewirken,
oder mit mehreren IPs auf der selben Hardware eine logische Trennung bewirken.
Ich meinte aber aber eine strikte physikalische Trennung also mehrere Lan-Segmente. Oder habe ich wieder was was falsch verstanden ? 

Gregor Kemter

Wenn die Netze physikalisch getrennt sind (Durch Router), spricht man von mehreren Netzen und nicht von Segmenten. Denn genau das sind sie [:D]

Segmente _sind_ physikalisch getrennt (Bei Verwendung von Switches statt Hubs). Sonst könnte man an jedem Port am Switch den gesamten Verkehr der anderen Ports mithören (Wie bei einem Hub), wenn tatsächlich dasselbe Medium verwendet würde.

Also nochmal:
Switch oder Router/Rechner  Switch oder Router/Rechner
=> Dann ist genau das eine Kabel genau ein Segment.

Switch oder Router/Rechner  Hub  Switch oder Router/Rechner
=> Dann ist es auch genau ein Segment.

Switch oder Router/Rechner  Switch  Switch oder Router/Rechner
=> Dann sind es 2 Segmente.

Ist doch ganz einfach?

But, I don't understand that you say there's no probnlem with double natting (masquerading)  when IPSec and, I thought, other protocols have difficulty with it.  Can you be more specific?

Well. Surfing using one Masquerading Router seems no problem for you, right? Every Soho-Router does it so one can assume it just works [:P].

So, what do the two Masquerading Routers do here?

Lets assume the SQL-Server in LAN II wants to access the web. It sends the packet to its default Gateway which should be Router I. Router I translates the SOURCE-IP of the SQL-Server to its own IP of its interface in DMZ I and keeps a record for that translation in its NAT-Table (including unchanged DEST-IP) so that answer-packets can be translated back to the SQL-Server. That translated packet is now being send to the ASG which sould be default gateway of Router I. The ASG translates the SOURCE-IP of Router I to its public Internet-IP and keeps a record for that translation in its NAT-Table (including unchanged DEST-IP) so that answer-packets can be translated back to the  ASG. Then it sends the packet into the Internet.

When the answer comes from the Internet, the ASG translates it back to Router I and Router I translates it to the SQL-Server. That works as long as the Masquerading Routers still have the matching record for that packet in their NAT table.

So:
Masquerading does NAT for a whole IP-Network with very simple configuration. The NAT-Table is filled and maintained fully automatically.

NAT on its own just describes the actual translation of IP-Adresses and/or IP-Port numbers (for UDP/TCP). S/D/FNAT are _single_ NAT configurations. The NAT-Table is filled and maintained manually.

But both methods can be combined.

IPSec does not necessarily work because IPSec disallows by design the manipulation of the IP packet itself - which happens during NATing.

Other connections are just blocked if there is no NAT entry for them. Thats why many users think their Masquerading Router is some sort of firewall and it in fact is. Only connections that have been _initiated from the inside_ can pass trough (except manual NAT entries, also called "Port Forwardings" in Soho-Routers).

Ooops sorry habe erst zum schluss gemerkt dass ich hier eigentlich  im deutschen Forum bin...