Dotaz: mikrotik portforwarding 80

[jany2]

Nejak mi uz dochadzaju sily a ja si neviem rady presmerovat port 80 na vonkajsiu IP.
Topologia je nasledovna

Inet----vdsl-modem(bridge)----RB450(mikrotik)pppoe----server(192.168.1.3)

Na servery mam apache s vhostami. Https 443 funguju normalne port 443 je otvoreny (pravidlo v MK na 443)

add action=dst-nat chain=dstnat comment=virtualhost_z_vonku_ssl_443 dst-port=443 in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.1.3 to-ports=443

Na port 80 mam NAT v tom istom zmysle pre port 80

add action=dst-nat chain=dstnat comment=virtualhost_z_vonku dst-port=80 in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.1.3 to-ports=80

Na vedlajsom fore mi poradili v ip services vypnut www (tam je to defaultne na 80, alebo zmenit na iny ako 80). Toto mi nepomohlo
Padla tam aj taka moznost, ze vdsl modem v bridge ma webmanagment tiez na porte 80, ale skusil som aj v modeme zmenit port na iny vysoky a nepomohlo to. Kontaktoval som aj vyrobcu modemu a potvrdil mi, ze mam FW s bugom na bridge mode a poslal mi novsi FW. Po flashnuti FW do modemu to vobec nepomohlo.
Neviem .... nejak tomu nerozumiem. Forwardujem rozne porty a funguju vsetky, ale port 80 nie.
Samozrejme skusal som zakladne moznosti, ako vypnut firewall na MK, ale bohuzial ani toto nefunguje, port 80 je stale zavrety
Pred 2-3 rokmi mi to normalne fungovalo, ale od vtedy som asi 2x aktualizoval MK a je mozne, ze tam bude niekde problem, lebo inak to uz nevidim (alebo mi port blokuje poskytovatel (ale to by si orange asi nedovolil)).

---

---

Odpovědi

[mishkooo1]

Over si ci aj na tom serveri 192.168.1.3 na ktory tie poziadavky NATujes ma povoleny vo firewall-e port 80, alebo ci to web server na porte 80 pocuva.

firewall-cmd:

firewall-cmd --list-all

alebo iptables:

iptales -L -n -v

ci ti nieco na danom porte pocuva zistis:

ss -tnlp -4

Ak ti mozem oporucit, na http pouzi port 8080

[mishkooo1]

UPDATE: NAT pravidlo vyzera OK.

[jany2]

Pouzivam ufw a pri overovani disablujem ufw. Neni problem pouzit aj iny nestandardny port (kludne aj 20000), ale potrebujem letsencrypt certifikaty a tam sa vyzaduje port 80 a ak je zavrety, tak letsecrypt vyhlasi, ze web je nedostupny a mam skontrolovat A zaznam, firewall atd ... A je jasne, ze ked port 80 je cloced, tak letsencrypt neoveri domenu

[Max]

V MK vidíš, zda ti na ten port jde z venku komunikace. Podle toho pak víš, zda to ten modem pouští, nebo ne.
Buď se tedy díven na counter u pravidlo, nebo lépe, zapni si u pravidel logování.
Zdar Max

[jany2]

Ne, komunikacia neni ziadna, counter je 0. A cez torch tiez nic nevidno (ak testujem iny port, napr. 443, tak to je pekne vidiet, ze to funguje). Aj ked si v ip firewall connection odfiltrujem to co chcem, tak sa nenaviaze ziadne spojenie.
Skusil som si v LAN sieti na iny pc (raspberry) nainstalovat apache a skusil som forward na inu IP .... jednoducho cez ten port nic neprelezie ....
Zacina mi to pripadat ako keby poskytovatel (orange) ten port blokoval u seba, ale ja mam verejnu IP dynamicku, tak neviem ... hmm

[Max]

Mno, tak snad víš, jakou máš veřejnou IP, zkus si na to z venku sáhnout telnetem (v dnešní době má třeba každý telefon s datovým tarifem, tak není problém, nebo přes něčí wifi).
Každopádně pokud na MK nic nevidíš, tak problém bude asi na tom modemu. Ještě jsem se nestkal s tím, že by někdo blokoval port 80, ale setkal jsem se se spoustou zkriplených modemů a různých wifi krabiček.
Zdar Max

[jany2]

Jedna sa o vdsl modem Zyxel VMG1312-B30B a co sa tyka nastavenia, tak po nahrati FW (ktory mi poslal vyrobca) a resete modemu som nastavil nasledovne!
Dam sem obrazky aby to bolo jasnejsie: Najprv som odstranil predvolene nastavenie ptm a atm. Vo wan sluzbe som pridal ptm0 obr1, nastavil bridge obr2 a ulozil som nastavenie obr3. To je vsetko co sa pri bridge da nastavit. V MK mam nastavene pppoe (a vsetko funguje okrem presmerovania portu 80).
V modeme som potom este skusil prestavit port web managmentu obr4 na nejaku inu vysoku hodnotu (ale defaultne je web managment povoleny len v LAN a WLAN) a pre istotu som skusil vypnut aj firewall obr5
Nevidim v tom modeme nic co by mohlo blokovat port 80

[jany2]

manual k modemu

[Max]

Napadá mně ještě zkusit hodit modem do modu ppp, tzn. vytáčet na modemu a zkusit nastavit NAT na tom modemu na IP MK.
Zdar Max

[jany2]

jj, thx to ma napadlo tiez, ale musim pockat na vhodny cas (ale pojdem mimo MK a NATovat budem priamo na server)

[Vantomas]

Já jsem se zase nikdy nesetkal, že by modem do toho sahal, když je PPPoE až na nějakém zařízení dál. Nemůže spíš port 80 blokovat už někde provider, protože jsou dnes běžné útoky proti nezabezpečeným domácím routerům?

[jany2]

Teoreticky moze. Pamatam, sa (to bolo uz ale davnejsie) ze ked som sa chcel raz pripojit na svoj router (mal som ale predoslu IP adresu) tak som sa pripojil na uplne iny (a samozrejme meno a heslo bolo v defaulte (a potom som sa vedel pripojit na 10ky dalsich)). A ked si spominam, tak viem ze pred casom mal orange nejake utoky na domace routery (len tak narychlo som nieco o tom nasiel).
Ved nic za to nedam, ked sa to na zak. podpore orangeu opytam :) a hned to idem urobit

[Vantomas]

V tom článku je napsáno, že Orange blokuje port 80 z venku.

DSL.sk, 4.9.2017

Dnes sa v každom prípade objavila silná indícia, ktorá túto možnosť silne podporuje. Orange totiž aktuálne podľa nášho testu blokuje z Internetu pripojenia na TCP port 80 na IPv4 adresách zákazníkov DSL pripojenia.

[Petr Šobáň]

I když je povoleno www rozhraní modemu pouze z LAN tak okupuje port 80.

Takže aby to chodilo musíš to rozhraní modemu přehodit na jiný port třeba 8080.

A teď jde o to jak je zmršený FW zda ten port 80 přes ppoe projde až na mikrotik.

Taky skus vypnout firewall v modemu zda tam nedělá nějakou neplechu, nebo tam zadat port 80 povolit odkudkoliv...

Prostě pokud to nepůjde budeš muset modem použít v normálním režimu....

A co použít IPv6 ?

[jany2]

Skusil som este v modeme v sekcii firewall :

Vypnut firewall
Pridat pravidlo z akejkolvek ip na akukolvek IP port 80:80
web mangment som zmenil na 8080

Bohuzial nefunguje to. BTW nedaval som restart modemu, ale predpokladam, ze restart nie je pri takychto zmenach potrebny (inak by modem restart navrhol sam).
Cakam na odpoved s orangeu.
IPV6? o tom zatial toho vela neviem, Myslis IPV6 od poskytovatela ?? Tomu sa ja prave vyhybam.

[Petr Šobáň]

To bych netvrdil - restart po nastavení je jistota.

IPv6 = každý PC v síti má svoji IPv6 a tím pádem se na každý bez problémů dostanu. (Nepotřebuji řešit NAT a portforward ale mám zase problém že někteří i dnes IPv6 ignorují!)

Jinak blokace od orange portu 80 dle příspěvku výše je možná.....

[jany2]

Ja sa az tak velmi do tej IPV6 nevyznam, ze vraj sa tam robi nejaky dualstack, alebo tunelovanie ipv6 na ipv4 (ak by bol cely net ipv6, tak neni problem "asi" ale ak je toho hodne na ipv4, tak sa to musi tunelovat).
A ako by to bolo s prevadzkovanim sluzieb na domacich serveroch (ako by sa klient z wan prihlasoval do ipv6 siete) ?

[Petr Šobáň]

Obě sítě můžou existovat naráz.

Samozřejmě pokud tvůj ISP nedisponuje IPv6 musí se z routeru používat do sítě IPv6 tunel přes IPv4.

Obráceně se to většinou řešit nemusí většina ISP dnes poskytuje IPv4.

Viz třeba moje aktuální IP na notebooku:

petr@NT-Olomouc:~$ ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: enp4s0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc pfifo_fast state DOWN group default qlen 1000
    link/ether a4:5d:36:c7:de:5e brd ff:ff:ff:ff:ff:ff
3: wlo1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
    link/ether d8:fc:93:1b:d1:40 brd ff:ff:ff:ff:ff:ff
    inet 10.0.0.4/24 brd 10.0.0.255 scope global dynamic wlo1
       valid_lft 84972sec preferred_lft 84972sec
    inet6 2a00:1028:83cc:XXXX_schovano:3184:1c8c:f2de:7d07/64 scope global temporary dynamic 
       valid_lft 86375sec preferred_lft 3575sec
    inet6 2a00:1028:83cc:XXXX_schovano:1a92:25c8:8efd:309a/64 scope global mngtmpaddr noprefixroute dynamic 
       valid_lft 86375sec preferred_lft 3575sec
    inet6 fe80::ef24:7c36:f7d4:4079/64 scope link 
       valid_lft forever preferred_lft forever
petr@NT-Olomouc:~$ 

[jany2]

BTW na dsl.sk vysiel clanok ze orange uz zacal poskytovat IPV6 aj na optike (na dsl linkach to je povinne uz davno (ja som sa s orange dohodol, ze mi nechaju IPV4 bezplatne (lebo inak sa plati 99€))).
V tom clanku sa pise, ze pre zakaznikov s IPV6 sa pouziva tunel

Dual-Stack Lite, DS-Lite, popísané v RFC 6333

Neviem ci tomu dobre rozumiem, ale z popisu

U DS-Lite router zákazníka pre lokálnu sieť zákazníka prideľuje privátne IPv4 adresy a dátovú IPv4 prevádzku 
tuneluje cez IPv6 na zariadenia operátora realizujúce preklad adries NAT 
na verejné IPv4 adresy potenciálne zdieľané viacerými zákazníkmi. 

Orange tiež aspoň u DSL podporuje technológiu Port Control Protocol, PCP, popísanú v RFC 6887. 
Tá umožňuje automaticky nastaviť presmerovanie portov pre prichádzajúce spojenia na 
verejnú IPv4 adresu u NAT realizovaného na strane operátora. 

vypliva, ze ty, co maju IPV6, tak nemaju verejnu IPV6, ale su za routerom orangeu (vlastne su v takej vacsej LAN) a NAT, resp. presmerovanie portov sa sa robi na routery orangeu automaticky.
To znamena (cisto teoreticky), ze ja ked mam napr. ftp server, tak poskytovatel mi presmeruje z jeho verejnej IPV4 adresy na moju IPV6 adresu port 21 ??
Do orangeu som vcera poslal otazku ohladom blokovania portu 80 a prave teraz ma kontaktovali z orangeu, ze ma ohladom blokovania portu 80 budu informovat, ale asi to dnes uz nestihnu, lebo je piatok (super zak. podpora, nie ? )

[Vantomas]

To co je v té citaci hovoří o tom, že zákazníkovi do jeho LAN sítě pouští IPv4 (a asi i IPv6, když ho mají nasazené) a že IPv4 provoz je z modemu skrze infrastrukturu operátora tunelován skrze IPv6.

Jestli poskytovatel poskytuje IPv6, tak prostě až na zákaznické zařízení bude normální veřejná IPv6, protože je to prostě nejjednodušší a tím i nejlevnější.

Pokud je nyní PPPoE na Mikrotiku, tak prostě v Mikrotiku povolit ipv6 package a podívat se zda se na PPPoE přidělí IPv6 adresa. Přes DHCPv6 klienta se pak lízne celý pool, který se hodí na LAN interface. V Mikrotiku jsou defaultně povolené všechny autokonfigurační protokoly, takže zařízení v síti pak automaticky dostanou IPv6 adresu vč. default routy. V Linuxu se to dá ověřit pomocí "ip -6 a s", všechny adresy co nezačínají fe80::, jsou veřejné.

Zda je dostupný IPv6 internet lze zkusit jednoduše přes ping ipv6.google.com. V Mikrotiku přes příkaz "ping [/resolve ipv6.google.com]"

[Petr Šobáň]

vypliva, ze ty, co maju IPV6, tak nemaju verejnu IPV6, ale su za routerom orangeu (vlastne su v takej vacsej LAN) a NAT, resp. presmerovanie portov sa sa robi na routery orangeu automaticky.
To znamena (cisto teoreticky), ze ja ked mam napr. ftp server, tak poskytovatel mi presmeruje z jeho verejnej IPV4 adresy na moju IPV6 adresu port 21 ??

Trochu v tom máš zmatek.....

Takže pokud je to tak že orange běží na IPv6 tak to funguje tak že máš s největší pravděpodobností veřejné IPv6 na všech PC pokud to máš v mikrotiku nastavené a povolené.

A IPv4 jsou neveřejné a nejsou převáděné na IPv6 ale IPv4 jsou přenášeny přes síť IPv6 v tunelu a u ISP je to přes NAT připojené do IPv4 sítě.

Prostě IPv6 a IPv4 jsou rozdílné sítě běžící na jednom drátu laicky řečeno.

Měl by jsi zjistit parametry tvé přípojky, jak to máš s IPv4 a IPv6.

[V.]

Nestaci vlizt na http://who.is?

[[Jooky]]

Kontaktuj Orange. Po tom fiasku s DSL modemami blokuju pristup na niektore porty vratane portu 80.

[lertimir]

A jen tak ze zvědavosti. Máš ten router čistý?

[jany2]

To hadam nie ! Mal by som byt mimo napadnutch krajin

[jany2]

Takze je to jasne !!!
Poskytovatel (orange) po utoku skutocne zablokoval minimalne na xDSL klientom port 80.
Na xDSL sa IP adresy prideluju dynamicky a kedze zrejme nedokazu (res. nedasa) otvorit port pre konkretnu pripojku (casta zmena IP adresy), tak mi poskytovatel pridelil pevnu IP a otvoril port.
A ja som sa asi pol roka trapil, ze preco to nejde, rekonfiguroval som modem, router atd ... konecne vsetko funguje ako ma a zatial som spokojny (ziskal som aj pevnu IP zadara )

[Petr Šobáň]

Ale i tak by jsi měl zjistit jak to máš s IPv6.

[jany2]

Ako som spomenul, z toho ipv6 nie som nejaky mudry. Akurat o tom viem tolko, ze zo siete ipv4 sa nedostanes do ipv6 a to iste plati aj opacne. Ak by som chcel ist z ipv4 do ipv6 (alebo opacne) tak potrebujem tunel 4to6, alebo 6to4, cize niekde sa to musi tunelovat. Pred rokom mi poskytovatel ponukol ipv6, ale ja som to odmietol a vyslovne som ziadal o ipv4. Myslim, ze orange pouziva tunelovanie dual stack lite.
Ak by som dnes poziadal poskytovatela o ipv6, tak zajtra mam ipv6. Ako by som potom mohol pristupovat napr. na svoje web servery, alebo na sftp, ssh atd. s ipv4 ?
Zatial v tom vidim skor problem ako zjednodusenie.
Zacal som citat dokument od Satrapu ipv6 vydanie 2012, ale to je skor teoria o paketoch, hlavickach, fragmentacii atd... zatial som len na strane 40, ale vela z toho nemam. Skor by som na citanie privital nejake prakticke dokumenty a principialne fungovanie ipv6

[Petr Šobáň]

Panebože co furt meleš o tunelovaní.

IPv4 a IPv6 jsou dvě oddělené sítě - úplně izolované!!!!!!!

Takže od ISP máš jeden drát přes který ti do PC připojí obě sítě a PC dostane IP do obou sítí.

Pouze pokud ti ISP nedovede obě sítě až k tobě tak se musí ta jedna síť tunelovat pomocí druhé sítě na router který bude připojen do obou sítí.

Test IPv6 si můžeš vyzkoušet třeba tady: http://www.nebezi.cz/ na tuto adresu se nedostaneš z IPv4 existuje pouze v IPv6.

Test IPv6 je zde: http://test-ipv6.cz/

[jany2]

Ja nemelem, ale pisem o tunelovani preto, lebo ISP orange ti neda ipv4 a zaroven ipv6, ale da ti len jedno, alebo druhe, takze tunelovaniu sa pri ipv6 sa nevyhnes. Samozrejme sa to tuneluje u ISP na ich hranicnych routeroch.
Mna zaujma jedna vec: dajme tomu, ze mam IPv6 a mam web server, prip. sftp .... Ako sa klient z vonka, ktory ma IPv4 dostane na ten web server, ftp ...? (klient co ma IPv6 by nemal mat problem, pretoze v IPv6 by sa mal vidiet kazdy v ramci internetu).
Ale to uz sem asi nepatri (mozno by to chcelo novu temu).

[Petr Šobáň]

Nijak! Nedostane.

Jak ti říkám jsou to dvě různé sítě.

Takže pokud má jeden PC pouze IPv6 a druhý pouze IPv4 tak na sebe nikdy neuvidí.

Proto říkám že už by se IPv4 měla zrušit proč udržovat dvě sítě.

Pokud chce PC s IPv4 vidět IPv6 musí nějak získat IPv6 a připojit se do IPv6 sítě.

Tak stejně obráceně proto existují ty tunely které přes jednu síť zařídí připojení do té druhé a získání druhé IP.

Však si to skus dostat se na http://www.nebezi.cz/

Jeho IP je:

Name:      www.nebezi.cz

Address 1: 2001:1528:132:70::ebe2

petr@NT-Olomouc:~$ ping www.nebezi.cz
ping: unknown host www.nebezi.cz
petr@NT-Olomouc:~$ ping6 www.nebezi.cz
PING www.nebezi.cz(www.nebezi.cz) 56 data bytes
64 bytes from www.nebezi.cz: icmp_seq=1 ttl=59 time=11.3 ms
64 bytes from www.nebezi.cz: icmp_seq=2 ttl=59 time=11.3 ms
64 bytes from www.nebezi.cz: icmp_seq=3 ttl=59 time=11.3 ms
64 bytes from www.nebezi.cz: icmp_seq=4 ttl=59 time=11.3 ms
64 bytes from www.nebezi.cz: icmp_seq=5 ttl=59 time=11.3 ms
64 bytes from www.nebezi.cz: icmp_seq=6 ttl=59 time=11.4 ms
^C
--- www.nebezi.cz ping statistics ---
6 packets transmitted, 6 received, 0% packet loss, time 5007ms
rtt min/avg/max/mdev = 11.321/11.367/11.417/0.140 ms
petr@NT-Olomouc:~$ 

[lertimir]

To je velmi vypečený ISP.

[Vantomas]

Nemyslím si, že by poskytovatel podporoval pouze IPv4 nebo pouze IPv6. Všechny krabičky kolem DSL a to jak ty na straně operátora, tak ty na straně klienta umí dual-stack out of box. Samozřejmě by to šlo nakonfigurovat tak, aby to po aktivaci IPv6 fungovalo pouze IPv6 bez IPv4, ale to by musel konfigurovat síťař sadista a rozhodně by mu to nevydrželo déle jak pár měsíců.

Takže celý problém bude jen v tom, že to moc nechápeš

[Petr]

Ono to je tak, ze orange sk dava zakaznikum na xdsl jenom ipv6 a za xx eur si muzou koupit ipv4.

[Petr]

jenom doplnim jak to na slovensku orange implementoval - https://www.root.cz/zpravicky/slovensky-orange-nasadil-ipv6-na-dsl-za-ipv4-chce-99-eur/

[jany2]

IPv6 je tu viac ako 20 rokov a preco sa pouziva minimalne .. hmm ?
Nikto sa do IPv6 nehrnie a pokial nebude NET len na IPv6 tak bude chaos.
Tato tema bola o presmerovani portu http a nejak sa to zvrhlo na IPv6. Nejak ma to nikdy nezaujmalo, ale teraz by som sa o tom chcel dozvediet viac.
Teoreticky by som to mohol vyskusat napr. cez he.net a pod. ale chce to este asi hodne studovat.

[Petr Šobáň]

Tak dle předchozího příspěvku si nech veřejnou IPv4 když je orange tak blbé a nechce dávat IPv6 + IPv4.

Jinak já od O2 mám IPv6 + neveřejnou IPv4 na modemu od O2.

Na jiném místě RIO MEDIA zase nechce dát IPv6 ale mám zadarmo jednu veřejnou IPv4 takže tam na routeru mám tunel do sítě IPv6 a PC dostávají i IPv6 takže se z obou míst propojím s jakýmkoliv svým PC.

[lertimir]

T-mobile na ADSL dává jak veřejnou IPv4 tak /56 rozsh pro IPv6.

[lertimir]

No IPv6 je sice v RFC 20 let, ale další cca 10 let trvalo, než se některé důležité veci odladily tak do cca 2003-2005. (RFC dokumenty, které se IPv6 zabývají, tvoří opravdu dost dlouhý seznam.) Změna na IPv6 je skutečné závažná a dlouhodobá infrastrukturní změna a tak nastupuje pomalu, ale to, že se IPv6 používá minimálně, pomalu přestává být pravda. Statistika googlu, cznic, cisco Lars Eggert, APNIC, RIPE.

A samozřejmě pro veškeré subjekty jsou to náklady navíc, protože, jak už bylo řečeno, jsou to fakticky dvě různé sítě. S nástupem stovek milionů mobilů a IoT, ale náklady na ISP grade NAT podle mne rostou rychleji než na IPv6. To že na Slovensku je penetrace malá asi nikoho zajímat nebude. Očekávám, že až penetrace ve státech vyleze někam k 80-90% a nekteří z velkých poskytovalů usoudí, že ztráta zákazníků, kteří jsou jen na IPv4, je pro ně méně bolestná, než náklady na udržování a management dvou sítí, a IPv4 vypnou, začne ta hlavní legrace a poměrně urychlený přechod i jinde ve světě.