abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 01:11 | Komunita

Před třemi týdny Mozilla.cz představila projekt Photon, jehož cílem je návrh a implementace nového vzhledu Firefoxu. Včera zveřejnila první náhled vzhledu Photon. Práce na projektu Photon jsou rozděleny do pěti týmů, které celkem čítají 19 lidí. Zaměřují se na zlepšení prvního spuštění Firefoxu a zaujetí nových uživatelů, celkovou úpravu vzhledu, zlepšení animací, zrychlení odezvy uživatelského rozhraní a také upravení nabídek. Vývoj lze sledovat v Bugzille.

Ladislav Hagara | Komentářů: 0
včera 20:00 | Komunita

OneDrive pro firmy je již ve webových prohlížečích na Linuxu stejně rychlý jako na Windows. Microsoft opravil chybu z listopadu loňského roku. OneDrive pro firmy běžel na Linuxu mnohem pomaleji než na Windows. V popisu chyby bylo uvedeno, že stačilo v prohlížeči na Linuxu nastavit v user-agentu Windows a vše se zrychlilo. Odpovědí Microsoftu bylo (Internet Archive: Wayback Machine), že Linux není podporován. Po bouřlivých diskusích na redditu i Hacker News byla chyba nalezena a opravena.

Ladislav Hagara | Komentářů: 3
včera 19:00 | Zajímavý projekt

Byla vyhlášena soutěž Hackaday Prize 2017. Soutěž je určena vývojářům open source hardwaru. Pro výherce je připraveno celkově 250 tisíc dolarů. Každý ze 120 finalistů získá tisíc dolarů. Nejlepší pak navíc 50, 30, 20, 15, 10 a 5 tisíc dolarů. Jedná se již o čtvrtý ročník soutěže. V roce 2014 zvítězil projekt globální sítě open source pozemních satelitních stanic SatNOGS. V roce 2015 zvítězil open source systém pro řízení elektrických invalidních vozíků pohybem očí Eyedriveomatic. V roce 2016 zvítězil modulární robot Dtto.

Ladislav Hagara | Komentářů: 0
včera 15:00 | Bezpečnostní upozornění

Byla vydána Samba ve verzích 4.6.1, 4.5.7 a 4.4.12. Řešen je bezpečnostní problém CVE-2017-2619. Pomocí symbolických odkazů a souběhu (symlink race) lze "teoreticky" získat přístup k souborům, které nejsou sdíleny. Linuxové distribuce jsou postupně aktualizovány (Debian).

Ladislav Hagara | Komentářů: 0
včera 07:43 | Nová verze

Na Steamu se objevil port hry Arma: Cold War Assault (Operation Flashpoint) pro Mac a Linux. … více »

creon | Komentářů: 25
včera 05:55 | Nová verze

Po 18 měsících od vydání verze 8.0 byla vydána verze 9.0 open source alternativy GitHubu, tj. softwarového nástroje s webovým rozhraním umožňujícího spolupráci na zdrojových kódech, GitLab. Představení nových vlastností v příspěvku na blogu a na YouTube.

Ladislav Hagara | Komentářů: 0
včera 03:33 | Komunita

Platnost posledního patentu souvisejícího s Dolby Digital (AC-3) vypršela. Po MP3 se tak do Fedory oficiálně dostane také kodek AC-3.

Ladislav Hagara | Komentářů: 5
včera 00:44 | Komunita

Feral Interactive, společnost zabývající se vydáváním počítačových her pro operační systémy macOS a Linux, nabízí své hry na Steamu vývojářům open source 3D grafické knihovny Mesa zdarma. Podmínkou je minimálně 25 commitů za posledních 5 let. Stejnou nabídku dostali vývojáři knihovny Mesa v roce 2015 od Valve. O rok dříve dostali od Valve tuto nabídku vývojáři Debianu a Ubuntu.

Ladislav Hagara | Komentářů: 0
22.3. 23:55 | Nová verze

Opera 44, verze 44.0.2510.857, byla prohlášena za stabilní. Nejnovější verze tohoto webového prohlížeče je postavena na Chromiu 57. Z novinek vývojáři Opery zdůrazňují podporou Touch Baru na nejnovějších MacBoocích Pro (gif). Přehled novinek pro vývojáře na blogu Dev.Opera.

Ladislav Hagara | Komentářů: 1
22.3. 20:56 | Pozvánky

V úterý 28. dubna se koná další Prague Containers Meetup. Přijďte si zopakovat, jak psát kvalitnější Dockerfile a jaké novinky a ulehčení přináší ansible-container, který vám umožní spravovat celý životní cyklus vašeho kontejneru. Místo konání: Concur, Bucharova 11, Praha-Stodůlky.

little-drunk-jesus | Komentářů: 0
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (14%)
 (2%)
 (72%)
 (3%)
 (10%)
Celkem 921 hlasů
 Komentářů: 72, poslední 1.3. 11:16
    Rozcestník

    Dotaz: Proxy z 1 verejne IP na X neverejnych pri zachovani portu

    31.1.2013 00:26 martin
    Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Přečteno: 671×
    Příloha:

    Ahoj,
    potrebuji z Internetu pristupovat na nekolik pocitacu s neverejnou IP. Mam to vyresene OpenVPN tunelem z kazdeho PC na jeden centralni server s 1x verejnou IPv4.
    Kdyz pak se pak pripojuji na jednotlive "schovane" PC, davam IPserveru:cisloPortu.

    Na prikladu VNC (nejde mi jen o VNC, potrebuji zpristupnit asi 10 sluzeb na kazdem PC).

    PC A TCP port 5900, na server IP.AD.RE.SA:5901,
    PC B TCP port 5900, na server IP.AD.RE.SA:5902...

    Rad bych na klientskem PC (ze ktereho se pripojuji) neuvadel cislo portu - tedy pouzivat vzdy defaultni.
    Pro webserver to resim virtualhostem:

    a.example.com:80 -> PC A TCP 80,
    b.example.com:80 -> PC B TCP 80...

    U webserveru je to jasne. Jak ale timto zpusobem poresit sluzby jako napr. VNC, RDP, SSH, ...?
    Kdybych mel pro kazdy stroj na serveru jednu verejnou IPv4, tak by nebyl problem. Bohuzel server ma jen jednu.

    Jedine reseni me napadlo pomoci iptables. Zkoumat domenu cile a podle ni smerovat do VPN:

    iptables -t nat -A PREROUTING -d a.example.com -p tcp -m tcp --dport 22 -j DNAT --to-destination 192.168.100.1:22
    iptables -t nat -A PREROUTING -d b.example.com -p tcp -m tcp --dport 22 -j DNAT --to-destination 192.168.100.2:22

    Je to dobry napad? Znate nejake lepsi reseni?

    Odpovědi

    31.1.2013 02:25 Michal
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Jedine reseni me napadlo pomoci iptables. Zkoumat domenu cile a podle ni smerovat do VPN.
    To asi neklapne protoze k iptables (resp. kernelu) se ta domena vubec nedostane. Prichozi paket uz obsahuje jen IP adresu, ktera - hadam - je stejna pro a.example.com i b.example.com.

    Nemohl bys mit i ty klienty na VPN? Pak by byla prima viditelnost po privatnich adresach na ty servery a nemusel bys resit zadny NAT.

    Nebo samozrejme IPv6 ;)
    31.1.2013 11:16 martin
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    To asi neklapne protoze k iptables (resp. kernelu) se ta domena vubec nedostane. Prichozi paket uz obsahuje jen IP adresu, ktera - hadam - je stejna pro a.example.com i b.example.com.
    To prevent outgoing access to www.facebook.com, enter:
    # iptables -A OUTPUT -p tcp -d 69.171.224.0/19 -j DROP
    You can also use domain name, enter:
    # iptables -A OUTPUT -p tcp -d www.facebook.com -j DROP
    # iptables -A OUTPUT -p tcp -d facebook.com -j DROP
    Nemohl bys mit i ty klienty na VPN? Pak by byla prima viditelnost po privatnich adresach na ty servery a nemusel bys resit zadny NAT. Nebo samozrejme IPv6 ;)
    VPN pro klienty pouzit nemuzu. A IPv6 ma dost malo lidi. Jedine pouzivat teredo ;-)
    31.1.2013 13:59 Radovan Garabik
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    To prevent outgoing access to www.facebook.com, enter:
    # iptables -A OUTPUT -p tcp -d 69.171.224.0/19 -j DROP
    You can also use domain name, enter:
    # iptables -A OUTPUT -p tcp -d www.facebook.com -j DROP
    # iptables -A OUTPUT -p tcp -d facebook.com -j DROP
    Tá doména je resolvovaná pri spustení iptables, takže v packete sa samozrejme porovnáva len IP adresa. Možno by sa to dalo parsovaním obsahu packetu, ale to samozrejme nebude fungovať pre SSH a je to v praxi nepoužiteľné riešenie...

    Asi by som sa pozrel na DNS SRV record - nepoužívajú to všetky služby, ale aspoň niektoré by to vyriešilo.

    Ja na to tiež používam IPv6 - VPN má IPv6 adresy a tam už nie je problém. A automaticky to vyrieši aj IPv6 pripojenie klientov - OpenVPN počúva na IPv4, po pripojení klient dostane IPv6 adresu.
    1.2.2013 02:26 Michal
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    To prevent outgoing access to www.facebook.com, enter:
    # iptables -A OUTPUT -p tcp -d 69.171.224.0/19 -j DROP
    # iptables -A OUTPUT -p tcp -d www.facebook.com -j DROP
    

    Tohle sice vypada jako ze iptables rozumi domenovym jmenum ale ve skutecnosti te jen chteji zmast (a dari se jim to).

    1. Zaprve je potreba vedet ze filtrovani packetu probiha primo v jadre a ten prikaz iptables jen strka do jadra pravidla s filtrama. To je vsechno co dela, je to takovej sroubovak na utahovani jaderneho firewallu.
       
    2. Zadruhe je potreba vedet ze v obou pripadech, at tedy zadas -d 4.2.2.1 nebo -d a.resolvers.level3.net se do jadra dostane jen ta prelozena IP adresa, tedy 4.2.2.1. Jiste, muzes zadat domenove jmeno, ale jedine co se stane je ze iptables prikaz to prelozi na IP a strci do jadra tu IP. Takze tak.
       
    3. No a posledni vec je ze v prichozim packetu od klienta na server je v naproste vetsine pripadu jen cilova IP adresa a port. Vyjimkou je HTTP a HTTPS kde je hluboko uvnitr toho packetu pribaleno i jmeno webu o ktery ma klient zajem, ale to je fakt vyjimka (a v pripade HTTPS navic s dost komplikacema).

    Takze v naproste vetsine pripadu bude mit server k dispozici jen zdrojovou a cilovou IP adresu a port a bude se muset rozhodnout podle toho kam ten packet poslat. Obavam se ze bez ruznych portu pro ruzne vnitrni servery se neobejdes. Pokud ti tak moc vadi ten port zadavat rucne muzes si treba v pripade SSH udelat ~/.ssh/config:

    Host a.example.com
            HostName                tvuj-server.example.com
            Port                    2201
    
    Host b.example.com
            HostName                tvuj-server.example.com
            Port                    2202
    

    Pak muzes dat ssh a.example.com a dostanes se na tvuj-server:2201 odkud se to forwarduje na a.example.com:22. Pokud nechces mit VPN i pro klienty tak ze obavam ze nic lepsiho se vymyslet neda.

    rADOn avatar 31.1.2013 11:13 rADOn | skóre: 44 | blog: bloK | Praha
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    U webserver to funguje protoze se hostname posila uvnitr http requestu. Jinde ti to fungovat nebude a nemuze, ostatne ani https nebude. IMO jediny zpusob jak to udelat je mit na tom centralnim serveru nekolik ip a smerovat to podle nich.
    "2^24 comments ought to be enough for anyone" -- CmdrTaco
    31.1.2013 11:30 martin
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    HTTPS s SNI by snad fungovat melo.

    Vic IP nemam :-(

    Proc to nejde? Iptables prece dokaze poznat domenove jmeno a podle neho pak muze delat DNAT do VPN. Jenom by prestalo fungovat ssh na ip adresu serveru. To bych prezil - stejne kazdy pouziva domenova jmena.
    31.1.2013 13:01 darkenik
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    pretoze iptables nepracuje s dns menami ale si ich automaticky prelozi na ip adresy

    takze ak

    a.example.com a b.example.com bolo DNS meno pre tvoju verejnu ip serva dajme tomu 88.88.88.88

    tak z pravidiel iptables -t nat -A PREROUTING -d a.example.com -p tcp -m tcp --dport 22 -j DNAT --to-destination 192.168.100.1:22 iptables -t nat -A PREROUTING -d b.example.com -p tcp -m tcp --dport 22 -j DNAT --to-destination 192.168.100.2:22

    by sa stalo

    iptables -t nat -A PREROUTING -d 88.88.88.88 -p -m tcp --dport 22 -j DNAT --to-destination 192.168.100.1:22 iptables -t nat -A PREROUTING -d 88.88.88.88 -p -m tcp --dport 22 -j DNAT --to-destination 192.168.100.2:22
    rADOn avatar 31.1.2013 13:04 rADOn | skóre: 44 | blog: bloK | Praha
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Ach ty zaklady ip protokolu :-)

    iptables domenove jmeno poznat nedokaze a nemuze, protoze v hlavicce ip paketu jsou jen adresy. Kdyz zadas jmeno do pravidla, tak se zase prelozi na adresu a ta se porovnava.
    "2^24 comments ought to be enough for anyone" -- CmdrTaco
    Jendа avatar 31.1.2013 14:20 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Proc to nejde? Iptables prece dokaze poznat domenove jmeno a podle neho pak muze delat DNAT do VPN.
    Tak si to zkusíme: jsem klient, připojil jsem se k tvému serveru (kde se dělá ten NAT) a říkám:
    CONNECT
    Co mi odpovíš?
    Nezapomeňte si příští víkend posunout časovače na svých bombách o hodinu dopředu!
    31.1.2013 12:45 Milan Roubal | skóre: 25
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    no zaridit se to teoreticky da. Do DNS ci hosts souboru zapsat vymyslene adresy (v pripade dobre konfigurace to dokonce muzou byt i stejne adresy, jako maji ty skutecne stanice):
    a.example.com XXX.XXX.XXX.1
    b.example.com XXX.XXX.XXX.2
    pak na tom klientovi rozbehnout preklad, ze XXX.XXX.XXX.1 s portem 5900 je ta IPv4 adresa s portem 5901, XXX.XXX.XXX.2 s portem 5900 je ta IPv4 adresa s portem 5902, etc... Potom na tom serveru s IPv4 nastavit zase rozdeleni tech sluzeb na jednotlive ovladane stanice.

    31.1.2013 23:23 martin
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    To se mi libi! Slo by pouzit nasledujici reseni? :

    U domeny nastavim DNS zaznam na server *.example.com.

    Do /etc/hosts dam:
    a.example.com 127.10.0.1
    b.example.com 127.10.0.2
    a pomoci iptables udelam DNAT:
    iptables -t nat -A PREROUTING -i inet0 -d 127.10.0.1 -p tcp --dport 22 -j DNAT --to-destination 192.168.100.1:22
    iptables -A FORWARD -i inet0 -p tcp --dport 22 -d 192.168.100.1 -j ACCEPT
    
    iptables -t nat -A PREROUTING -i inet0 -d 127.10.0.2 -p tcp --dport 22 -j DNAT --to-destination 192.168.100.2:22
    iptables -A FORWARD -i inet0 -p tcp --dport 22 -d 192.168.100.2 -j ACCEPT
    Je to realne? Muze to fungovat?
    Jendа avatar 31.1.2013 23:32 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    iptables -t nat -A PREROUTING -i inet0 -d 127.10.0.1 -p tcp --dport 22 -j DNAT --to-destination 192.168.100.1:22
    iptables -t nat -A PREROUTING -i inet0 -d 127.10.0.2 -p tcp --dport 22 -j DNAT --to-destination 192.168.100.2:22
    Počkej, kam že chceš dát tahle pravidla?
    • Na klienta těžko, nezná 192.168.100.1
    • Na server těžko, má jenom jednu IP
    Nezapomeňte si příští víkend posunout časovače na svých bombách o hodinu dopředu!
    1.2.2013 00:41 Milan Roubal | skóre: 25
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    takhle napsane je to urcite spatne. Spise neco takoveho na te masine, odkud se bude pripojovat
    Do /etc/hosts dam:
    
    a.example.com 192.168.100.1
    b.example.com 192.168.100.2
    
    a pomoci iptables udelam DNAT:
    
    iptables -t nat -A PREROUTING -i inet0 -d 192.168.100.1 -p tcp --dport 22 -j DNAT --to-destination IP.V4.VER.ADD:8022
    
    iptables -t nat -A PREROUTING -i inet0 -d 192.168.100.2 -p tcp --dport 22 -j DNAT --to-destination IP.V4.VER.ADD:8023
    
    A pak na serveru s adresou IP.V4.VER.ADD smerovat port 8022 na 192.168.100.1 port 22 a port 8023 smerovat na 192.168.100.2 port 22
    1.2.2013 00:53 lertimir | skóre: 59 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    No ale to je možné, jen pokud to je v podstatě v lokální síti. Routerům v internetu se informace o tom, že 192.168.100.1 mají směrovat na jeho stroj předat nedá. (A pokud by dala byl by pěkný binec.)
    1.2.2013 01:00 Milan Roubal | skóre: 25
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    nikoliv :) Z jeho masiny po aplikovani toho pravidla nakonec odejde paket s verejnou adresou na verejnou adresu serveru na port 8022. O to se postara ten prvni preklad. Pak ten paket dorazi na ten server s verejnou adresou a ten se zase postara o druhy preklad na tu lokalni adresu.
    1.2.2013 11:48 lertimir | skóre: 59 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Jo já přehlédl to "na odesilateli". Takhle to samozřejmě fungovat bude, ale to není zpřístupnění obecných služeb. V jistém směru je to jako vytvoření virtuální sítě (i když ne "private").
    1.2.2013 00:56 Milan Roubal | skóre: 25
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Mimochodem pokud uz jsou klienti pripojeni pres nejake OpenVPN pripojeni k tomu serveru, tak by melo stacit se pripojit take pres openVPN k tomu serveru z venku a nastavit korektne routovani. Pak ani ten dvojity preklad nemusi byt treba.
    Jendа avatar 31.1.2013 23:30 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Taková pakárna jenom kvůli tomu, abych nemusel zadávat port? OMG.
    Nezapomeňte si příští víkend posunout časovače na svých bombách o hodinu dopředu!
    1.2.2013 00:18 martin
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Presne tak. Nechci zadavat port.

    Existuje nejake funkci reseni?

    HTTP poresim na jednom portu virtualhostem - to neni problem.

    Jak s HTTPS? Da se pri pouziti SNI take nastavit virtualhost na jednom portu?

    Pro ostatni sluzby tedy budu asi zadavat cislo portu... :-(

    A hlavne prenos souboru. Umi nejaky protokol napr. FTPS, SFTP, FTP pouzit neco jako virtualhost? Jediny co me napada je WebDAV (https) ale jeho podpora je proti ostatnim nic moc.
    Jendа avatar 1.2.2013 00:23 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Presne tak. Nechci zadavat port.
    No když ti to za to stojí, tak zkus, co napsal předřečník.
    Jak s HTTPS? Da se pri pouziti SNI take nastavit virtualhost na jednom portu?
    Blbě, TLS by se muselo zakončovat už na té proxy/natujícím routeru.
    A hlavne prenos souboru. Umi nejaky protokol napr. FTPS, SFTP, FTP pouzit neco jako virtualhost?
    Ne.
    Nezapomeňte si příští víkend posunout časovače na svých bombách o hodinu dopředu!
    1.2.2013 00:40 lertimir | skóre: 59 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Místo diskutování si přece stačí přečíst základy TCP/IP. Konkrétně, co je v hlavičkách. A v IP hlavičce jsou jen IP adresy (a technické udaje jako fragmentace nebo TTL) a v TCP jsou jen porty (a řízení spojení SN, ACK a window). Pokud chce jakýkoliv protokol reagovat na více doménových jmen pro stejnou IP adresu, musí si informace o jméně přenést sám. HTTP to má v položce Host:. Staré protokoly nikoliv. FTP a osvozeniny nic takového neumožňují.
    rADOn avatar 1.2.2013 16:55 rADOn | skóre: 44 | blog: bloK | Praha
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Presne tak. Nechci zadavat port.
    Ty se asi hodne nudis :-D Jako cviceni sitovani je to bezvadny, ale jinak dost prasarna. Pokud se uz musis hrabat ve smerovani na klientech, tak to uz tam rovnou muzes dat taky nejakou tu vpnku.

    Pokud opravdu nechces port jen _zadavat_, ssh umoznuje dat port do konfiguraku pro ruzne hosty ruzne, totez se pak aplikuje na scp. A co nejde silou, jde jeste vetsi silou pomoci shell aliasu nebo inputrc.
    "2^24 comments ought to be enough for anyone" -- CmdrTaco
    tomas789 avatar 1.2.2013 17:31 tomas789 | skóre: 15 | blog: big_blog | Litomyšl
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Uz z principu toto samozrejme mozne neni. Projdeme to pekne od spodu po vrstvach sitove komunikace. Predpokladejme, ze na ten smerovac prijde nejaky paket. Co se deje na jednotlivych vrstvach?

    L1 - Fyzicka - Tedy nic nemuzu. Tady se mi jen posilaji logicke informace po mediu (napr. kabelu). Tato vrstva neinterpretuje zadnym zpusobem data. Pouze je predava dale.

    L2 - Linkova - Zde se jiz adresuje. Takzvanymy MAC adresamy. Tyto adresy jsou ale platne pouze na jedne lince. Coz je typicky nejaky kabel. Takze pokud nejsou vychozi i cilovy stroj na jedne lince (jeden kabel, jedna wifi sit) tak tyto adresy pouzit nemuzete (a vy jste na internetu a to samozrejme neni jeden kabel obecne)

    L3 - Sitova - Tady adresujeme IP adresami (pokud se jedna o sit na bazi IP). Vy mate pouze jedinou IP adresu, takze ani na tomto miste nemuzete jednotlive pakety "zaskatulkovat"

    L4 - Transportni - Tady je moznost rozlisit pakety podle cisla portu. To je obecne prijatelna moznost, ale byla vyloucena.

    V tuto chvili tedy neni moznost, jak pakety rozlisit. Dale nasleduje uz pouze aplikacni vrstva, tedy cilova stanice onoho paketu. Ted chcete aby system nejak poznal, ze to ma podstrcit jinym aplikacim (nehlede na to, ze jsou na jinych strojich, to neni relevantni). Ted je jiz na to pozde. Pokud se podivate nazpet v rozpise, jedine dve moznosti (prijatelne na internetu obedce) jsou IP adresa nebo cislo portu.

    Jeste bych chtel uvest na pravou miru jednu dezinterpretaci ktere myslim jste se dopustil. DNS preklada domenova jmena na IP adresy (zejmena). To co jste predpokladal vy bylo, ze prelozim DOMENA -> IP. Tedy nekolik domen na jednu IP adresu. Pak po routeru ale chcete, aby zobrazil IP -> DOMENA kde IP je jedna, ale DOMENA ty jsou tri. Z matematickeho hlediska tento zpetny preklad neni funkce a nelze tedy provest. (to plyne z toho, ze prvni preklad DOMENA -> IP neni prosta funkce, rozmyslete si to, je to zajimava skutecnost ktera prida na celkovem prehledu)

    HTTP umi vami pozadovanou vec proto, ze v samotnem obsahu "PAYLOAD" obsahuje dalsi skatulkovani (HTTP hlavicku nesouci jmeno serveru). Ta nutne neni zadnou validni domenou. Muze to byt i libovolny jiny retezec. Pak pouze staci, aby byl paket spravne dorucen a vas server vam odpovi napriklad na dotaz na google.com nebo cokoliv jineho. Pokud tedy najdete dalsi protokol se stejnou schopnosti (nebo ji podobnou v kontextu onoho protokolu), muzete podobnou vec aplikovat. V opacnem pripade mate smulu.

    Dalsi moznost je pouzit nejake na miru usite reseni, ktere routeru oznami informaci stylu "ted budou prichazet data pro pocitac A". To lze realizovat napriklad port-knockingem, ruznymy ICMP, IGMP zpravami a podobne. Spolehlivost je ale pochybna (ICMP, IGMP funguje nespojovane, nespolehlive, takze paket rikajici komu maji data dojit muze dorazit az po samotnych datech. co s nimi v mezicase udela ale router a jak to vubec pozna ze nekdy takovou zpravu vubec obdrzi? hint: nepozna ;-) ) K mizerne spolehlivosti pripojme jeste nulovou prenositelnost (nula je tu doslova, kdo podobny "trik" nezna, nemuze na to zareagovat). Jeste si dovolim poznamenat, ze tato technika lze pouzit pro vytvoreni temer nepostrehnutelnych backdoors (tady je to naopak nedocenitelny pomocnik).
    Začínal jsem z ničeho a většinu z toho pořád mám.
    5.2.2013 10:19 Marek
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    Přesně tohle se řešilo v milonech diskusí, k čemu je IPv6 a tohle byl jeden z příkladů. Výsledek: Kdo má IPv6, nemusí zadávat port. Kdo ho nemá, musí zadávat port. Jiná cesta prostě není, možná nějaká proxy typu SOCKS, jestli se to ještě používá. Ale pochybuju jestli to půjde.
    pavlix avatar 5.2.2013 14:50 pavlix | skóre: 53 | blog: pavlix
    Rozbalit Rozbalit vše Re: Proxy z 1 verejne IP na X neverejnych pri zachovani portu
    SOCKS je sice podstatně schopnější než NAT, jenže pořád musíš počítat jen s těmi veřejnými adresami, které máš.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.