Dotaz: Modem Zyxel P-660HN-T3A a port forwarding

[jan.rok]

Ahoj, narazil jsem na zvláštní problém s ADSL modemem Zyxel P-660HN-T3A.

Situace je taková: ve vnitřní LAN je výrobní stroj, který má ovládání založené na webovém rozhraní (port 80). Stroj má přidělenou statickou IP adresu a z vnitřní sítě je normálně dostupný z kteréhokoliv PC (po zadání IP adresy do prohlížeče se objeví okno pro přihlášení).

K tomuto stroji jsem potřeboval nastavit přístup z internetu přes výše zmíněný modem pomocí port forwardingu. Nastavil jsem tedy vše dle návodu (NAT --> SUA only --> pravidlo pro přemapování vnějšího portu 80 na vnitřní port 80 na statické IP adrese stroje; vnitřní firewall ADSL modemu je vypnutý. Protože samotný modem má na portu 80 svoji konfigurační stránku, změnil jsem její port na 8080, abych předešel kolizím).

Toto nastavení však nedovolí přístup z vnější sítě (internetu). Po zadání veřejné IP adresy se v prohlížeči nic neobjeví (resp. pouze chyba). Pokud však místo stroje zařadím PC s běžícím webserverem (port 80), pak se na tento PC dostanu.

Otázka tedy zní: v čem může být chování webového serveru ve stroji jiné, než chování běžného Apache na testovacím PC? Nedávám vinu modemu (byl zkoušen i Zyxel P660HW se stejným výsledkem), spíše nestandardnímu (ale v čem?) chování interního webserveru anebo mnou opakované (?) zásadní chybě při konfiguraci.

Děkuji za nápady. J.R.

---

---

Odpovědi

[Šangala]

Nebude mít výrobní stroj nějaké firewall pravidlo dovolující přístup jen z lokální sítě?

[jan.rok]

Tohle mě napadlo, ale výrobce nic takového neuvádí. Naopak hovoří neurčitě o správě "přes internet", z toho usuzuju, že by to jít mělo i z WAN.

[jan.rok]

Vyřešeno. Teprve když jsem donutil techniky překontrolovat nastavení IP ve stroji, vyšlo najevo, že chyběla gateway. Po zadání správné adresy je již vše v pořádku. Děkuji všem za podněty.

[lertimir]

Typický problém na odposlech paketů. Zkusil bych někde vyhrabat starý hub a vedle stroje postavil nějaké pc s wiresharkem a podíval se na pakety. Pokud nevíte přesně, co je obsahem funkčních a nefunkčních paketů, je to věštění z křišťálové koule. Podíval bych se také do logů Zyxelu, jestli tam něco není. A asi by mělo smysl, pokud nepůjde připojit paralelně snifovací stroj, udělat záchyt paketů na připojujících se klientech.

Jen tak mimochodem používám Zyxel P660HW, také si přeposílám web na interní adresu, žádný port nepřemapovávám a spojení z vnějšku funguje. (ale nikdy bych si nedovolil otevřít konfigurační rozhraní routeru na WAN.)

[jan.rok]

Logy routeru říkají, že pakety projdou až k cíli (aspoň tak to chápu). Konfigurační rozhraní bude ve finále samozřejmě otevřené jen do LAN. S tím zachytáváním paketů to zkusím. Díky.

[Lazar]

Má ten výrobní stroj nastavenu správně IP adresu routeru? Její nepřítomnost pro spojení v rámci LAN vadit nemusí, ale pro zmiňovaný účel pravděpodobně ano.

[Šangala]

No jasně, brána musí být správně nastavená nebo to neví kudy-kam odpovědět

[jan.rok]

Tohle by mohlo být ono. Pokusím se to prověřit. Konfiguraci IP ve stroji dělala ext. firma. Díky.

[Šangala]

Velmi mě na mě mrzí, že jsem to nenapsal hned, protože jsem měl silně obdobný problém s komunikací taky ze strojem přes VPN-ku a bylo to přesně tím co se zde píše a to zhruba 14dnů zpět.
Zkontrolujte si když je to přes DHCP jestli se správně přiřadila, případně to tam šupněte natvrdo (což byl můj případ).