Antik a ich úchylné ponímanie verejnej IP (diskuse)

[Ondrej 'SanTiago' Zajicek]

S timto problemem jsem se take setkal, ale z druhe strany - jako administrator CRFreeNetu. Vnitrni sit mame na privatnich adresach (a je asi nerealne ji celou preklopit na verejne, a ani tolik verejnych adres nemame) a verejne adresy resime metodou NAT 1:1 na brane. Problem je takovy, ze pri tomhle pristupu nefunguje zminena verejna adresa z vnitrni site. A zatim vsechny zpusoby, jak tenhle problem obejit, (ktere me napadly) maji vic problemu nez je jejich prinos. Na druhou stranu - ve vnitrni siti je pocitac dostupny pod privatni adresou, tak neni takovy problem, ze neni dostupny pod verejnou adresou.

[unamed]

A zatim vsechny zpusoby, jak tenhle problem obejit, (ktere me napadly) maji vic problemu nez je jejich prinos.

Toto: iptables --table nat --append PREROUTING --destination ${MOJA_VEREJNA_IP_88.212.X.X} --jump DNAT --to-destination ${MOJA_SUKROMNA_IP_10.32.X.X} požívam dosť často v mojich sieťach s takýmto používaním verejnej IP a funguje to úplne bez problému.

Na druhou stranu - ve vnitrni siti je pocitac dostupny pod privatni adresou, tak neni takovy problem, ze neni dostupny pod verejnou adresou.

Ale to je problém a sakra veľký, lebo ja som zasa doteraz neprišiel na to ako prinútiť DNS aby odpovedal na požiadavky z rozsahu 10.32.X.X inak ako na požiadavky zo sveta. Samozrejme, že nemyslím na to, že by som mal nejaké problémy s viacerými DNS zónami, ale keď si používateľ na tom intranete "klikne" na www.domena.sk tak ho to odkáže na DNS 88.212.X.X a je to v prdeli, tam sa proste nedostane aby od neho dostal už tú neverejnú IP.

[Ondrej 'SanTiago' Zajicek]

> Toto: iptables --table nat --append PREROUTING --destination ${MOJA_VEREJNA_IP_88.212.X.X} --jump DNAT --to-destination ${MOJA_SUKROMNA_IP_10.32.X.X} požívam dosť často v mojich sieťach s takýmto používaním verejnej IP a funguje to úplne bez problému.

Pokud myslis dat tohle pravidlo na branu, tak to obecne nemusi fungovat - paket od druhe strany pujde podel default gateway na branu, tam se prenatuje na vnitrni adresu a dojde do cile, ale odpoved bude smerovana na puvodni zdrojovou adresu, muze se vyhnout brane a puvodnimu odesilateli dojde odpoved s privatni zdrojovou adresou (kterou zahodi). Takze to funguje jen kdyz cesta mezi dvema komunikujicimi pocitaci v siti vede pres branu (nebo pres misto, kde probiha ten NAT).

Slo by to vynutit tak, ze na brane by se vzdy natoval i zdrojova adresa (z privatni na verejnou), ale to ma zas jine problemy.

[unamed]

Slo by to vynutit tak, ze na brane by se vzdy natoval i zdrojova adresa (z privatni na verejnou), ale to ma zas jine problemy.

Aké? Nepodrývam, ale sa fakt seriózne pýtam, lebo mi evidentne niečo ušlo.

[Ondrej 'SanTiago' Zajicek]

Minimalne to, ze veskery interni provoz pak musi jit pres branu (i kdyz jde treba o komunikaci mezi dvema pocitaci na stejne ethernetove siti). Pak taky je docela netrivialni popsat pripady, kdy se ma na brane provadet SNAT a kdy ne (zatimco tradicne se provadi SNAT jen kdyz paket odchazi na vnejsi rozhrani). Myslim, ze tam byla jeste nejaka dalsi potiz vyplyvajici z te posledne zminene, na kterou si ted nevzpominam.

[Kvakor]

Takze to funguje jen kdyz cesta mezi dvema komunikujicimi pocitaci v siti vede pres branu (nebo pres misto, kde probiha ten NAT).

Múj provider používá nejspíš přesně tuhle metodu - veškerá komunikace musí jít skrz brány, které dělají NAT, navíc každý má vnitřní adresu ve formě 10.x.x.x/2 - sudá je adresa stroje, lichá adresa brány (tj. každý klient má vlastni adresu na místní bránu).

[xxx]

To je podezrele. Me tohle totiz kdysi nefungovalo. Tusim, ze problem byl v tom, ze na vnitrinm rozhrani dojde k tomu ze se pouzije prerouting, z nej vypadne [SRC=addr_in_cli, DST=addr_ext_srv] z gw pak odejde [SRC=addr_ext_gw DST=addr_in_srv]. Ta doputuje k serveru, ten logicky odpovi se [SRC=addr_in_srv, DST=addr_ext_gw]. Jenze to pravidlo u preroutingu uz tenhle paket nepozna, protoze ocekava [SRC=addr_ext_srv, DST=addr_in_cli]. Doufam, ze je to alespon trochu pochopitelne. Podivjete se na to prochazeni. Melo by to vyt videt pokud si dokreslite adresy do toho digramu.

Pokud vam to funguje, tak jsem asi neco tehda opominul. nicmene resit se to nejak da.

[Josef Kufner]

Na druhou stranu - ve vnitrni siti je pocitac dostupny pod privatni adresou, tak neni takovy problem, ze neni dostupny pod verejnou adresou.

Ale to je problém a sakra veľký, lebo ja som zasa doteraz neprišiel na to ako prinútiť DNS aby odpovedal na požiadavky z rozsahu 10.32.X.X inak ako na požiadavky zo sveta.

To mám doma rozchozené: Běžná domácí síť, pár počítačů a server, na privátním rozsahu za NATem. DNS (bind) běží na serveru, který je současně i routerem a firewallem. Na požadavky z Internetu odpovídá, že všecko je on (tedy *.domena.tld = verejna IP adresa) a z vnitřní sítě (192.168.*.*) vraci poslušně privátní IP adresy jednotlivých počítačů.

Navíc mám ještě nastavený mailserver tak, aby poštu z Internetu přijímal na všech adresách a uživatelé si je pak mohou vyzvednout. Takže pokud je odeslán mail z Internetu na neco.domena.tld, je doručen na server a tam počká než si ho stáhnu. A pokud je odeslán z vnitřní sítě, jde rovnou na daný počítač.

Nastavení zón v bindu:

acl lan {
        127.0.0.1;
        192.168.0.0/16;
};
acl internet {
        !lan;
        any;
};
view "local_net_view" {
        match-clients   { lan; };
        allow-recursion { lan; };
        ...
}
view "internet_view" {
        match-clients   { internet; };
        ...
}

Soubory s adresama pak samozřejmě existují ve dvou variantách.

Btw, uvažoval jsi o reklamaci?

[CEST]

Jednou jsem mel v jednej firme podobnej problem na Wifi, ze se dva servery ve stejnej wifi siti nevidely, ale z internetu vsechno fungovalo dobre.

IMHO je to problem nekde v ethernetu, protoze jeden host si zjisti MAC toho druhyho, protoze jsou na stejnym segmentu a pak se snazi mezi sebou komunikovat primo. Coz se ale z nejakyho duvodu nelibi tem wifi zarizenim, neco jako ze to AP nedela bridge. Presne ti ale nereknu. A nebo maji mozna zapnuty "client separation".

Mozna by mohlo fungovat nastavit pevnou routu na ten host ve stejnej siti pres jejich router. Tvuj comp by posilal komunikaci na jejich router a ten by to preposilal na cilovej server. Muzes to treba zkusit, bohuzel je to uchylny reseni.

Ovsem to vsechno za predpokladu, ze to jsou wifi.

Ale je to vsechno "mozna".

Dalsi moznost je pouzivat VPN nekde v inetu.

[Josef Kufner]

Mozna by mohlo fungovat nastavit pevnou routu na ten host ve stejnej siti pres jejich router. Tvuj comp by posilal komunikaci na jejich router a ten by to preposilal na cilovej server. Muzes to treba zkusit, bohuzel je to uchylny reseni.

Mám podobně řešené routování do sousední LAN. Abych nemusel nastavovat routy na každém počítači v síti, tak to mám nastavené jen na serveru. Může se zdát, že pak pakety lítají zbytečně tam a zpět, ale naštěstí jsou ty počítače celkem chytré a server pošle ICMP redirect a vyjma pár prvních paketů to lítá přímo (doporučuji ověřit tcpdumpem).

[Dr. Eddy]

Jak bylo zmíněno nade mnou, tak by měl být počítač přístupný pod privátní adresou z vnitřní sítě. A pokud tomu tak je, tak logicky stačí jen záznam v privátním DNS, ne? Sice byste měl dva záznamy (venku v Internetu na vaší veřejnou IP a uvnitř na vaši privátní IP) ale mohlo by to fungovat, nepletu-li se někde...

[unamed]

Ale to sa bohužiaľ pletieš. Pokiaľ mi je známe, tak ešte neexistuje možnosť vytvárania zón v koreňovom DNS. Proste po lopate povedané, ako som to napísal už vyššie: ja si môžem urobiť do DNS novú zónu pre celú sieť 10.0.0.0 ale je mi to prd platné, lebo keď si hocijaký klient na tejto sieti klikne na moju www.domenu.sk tak ho to koreňový DNS odkáže na IP adresu 88.212.X.X a tým pádom celá komunikácia skončila. Takže asi tak.

[Zdeněk Štěpánek]

Resenim muze byt dohodnout se s ISP aby ti udelal na svy interni DNS zaznam tvujstroj.domena.sk -> 10.1.2.3

Zvenku budes pres verejny DNS videt na verejny IP a zevnitr pres interni DNS na interni IP.

Tenhle postup vcetne vyse zmineneho NAT 1:1 pouzivame taky (ono je to ostatne dost bezna praxe v natovanych sitich) a problem s tim neni.

Dat zevnitr na branu SNAT/DNAT je taky moznost, ale pak opravdu vsechen provos klidne ze dvou kompu na jednom switchi tece na branu a zpet.

Zdenek

[misch]

Blbé je, že stačí aby pak někdo v síti Antiku nepoužíval jejich DNS (z jakéhokoli důvodu), a celý problém je to znovu. A když někdo nepoužije DNS a nastaví si někde přímo IP adresu?

Jako jediné spolehlivě funkční řešení bych viděl tu nápravu routingu, ale když všichni píšou že to sebou nese další komplikace ... :(. A proč vlastně brána nemůže jen oběma stranám poslat ICMP redirect místo aby se o celý provoz starala sama (když jsou oba počítače na vnitřní síti zjevně schopné bavit se spolu samy)? Samozřejmě za předpokladu že ten počítač bude mít na příslušném interfejsu jak interní IP, tak i alias pro externí IP.

No, každopádně jsem rád že nemám takovéhohle ISP :).

[petr_p]

Tak tak. Korektní přístup je veřejnou adresu proroutovat až na zákazníka. Pokud je ta síť složitější s dynamickým směrováním, tak to ani nestojí žádnou lidskou práci.

[AraxoN]

Odpoveďou sú T-Com, Orange, Chello, a možno aj ďalší, ktorí majú v Košiciach optickú sieť a defaultne poskytujú normálne verejné IPčky.

[unamed]

No - to je posledné a asi aj jediné riešenie - jedine čo ma pri antiku držalo bolo synchrónne 34Mb (sice reálne okolo 10-15Mb ale aj tak) za cenu 690,- Sk. No čo už - čo iné by som mohol asi chcieť za takú cenu (okrem pravidelných výpadkov )

[Arbeit]

To su Ti k0k0tk0via z Antiku?

[unamed]

Tak, tak

[jose17]

btw ja mam od antiku public IP a zdarma. 150 kaciek stalo povodne, potom ten poplatok zrusili. j

[victor8]

Nuze kamo, neviem, kde ten problem je, ale u Antiku to s najvacsou pravdepodobnostou nebude

1.) za verejnu IP uz peknych par mesiacov platit nemusis, staci ak prides na sidlo spolocnosti a po podpise novej zmluvy ju dostnanes zdarma

2.) priamo v zmluve je uvedene, ze je to verejna IP adresa realizovana formou NAT1:1 (ako v starej zmluve, kde sa za nu platilo150,- , tak aj v novej, kde ju mas zdarma)

3.) sam verejnu IP od nich mam uz peknych par rokov, a vzdy mi fungovala aj v ich vnutornej sieti. Jedina nefungujuca vec bola, ze som sa na nu nevedel dopingat zo svojho vlastneho stroja (toho, na ktory bol ten NAT nasmerovany). Z hociktoreho ineho stroja v ich sieti to uz slo.

 

Skus si pre istotu este raz skontrolovat, ci problem nie je niekde u teba

Bolo by mozne, ze v jednej casti siete to ide a v druhej nie, ale po tohtorocnej modernizacii, ked presli na optiku a vsade nakupili nove masiny neverim, ze by ich siet nebola pekne homogenna co sa vlastnosti tyka.

 

Viktor

[unamed]

1.) to svedčí len o ich neserióznosti

2.) no a?

3.) ked ju máš omylom routovanu, tak ti to samozrejme, že funguje a ak máš NAT 1:1 tak ti neverím - klameš

Problém u mňa nie je a to potvrdil aj pán Hrabčák (vedúci sieťového oddelenia) z antiku a ináč fakt nič proti antiku (lebo až na dosť časté výpadky ktoré prežijem) taká ponuka za takú cenu v KE proste nie je ale žeby sa dala ich sieť považovať za homogénnu, ha ha, väčší zliepanec si len tažko predstaviť.

[victor8]

 

1.) to svedčí len o ich neserióznosti

ja v tom sice ziadnu neserioznost nevidim, ale to je vec uhla pohladu

2.) no a?

reagoval som na  toto:

Preto sa pýtam (sorry, že je to v blogu - ale z poradne by to asi bolo vymazané): môžu toto robiť, že "prenajímajú" IP adresu ktorá nefunguje tak ako by normálny používateľ očakával?

V zmluve je priamo uvedene, akym technockym sposobom je tato verejna IP realizovana, ze to nie je routovana IP, ale len NATovana

3.) ked ju máš omylom routovanu, tak ti to samozrejme, že funguje a ak máš NAT 1:1 tak ti neverím - klameš

Problém u mňa nie je a to potvrdil aj pán Hrabčák (vedúci sieťového oddelenia) z antiku a ináč fakt nič proti antiku (lebo až na dosť časté výpadky ktoré prežijem) taká ponuka za takú cenu v KE proste nie je ale žeby sa dala ich sieť považovať za homogénnu, ha ha, väčší zliepanec si len tažko predstaviť.

Routovanu je nemam, mam je NATovanu. Tak ako kazdy radovy zakaznik. A ide mi to Na svojej masine mam FTP server, z ktoreho si cucaju veci kamosi z kosic (menovite tahanovce, mesto a KVP, ja som z Furce)

Samozrejme, aby som nezavadzal, len co budem doma, vyskusam si to este raz, ci sa nahodou za posledny meciac nieco nezmenilo.

Co sa homogennosti tyka, zrejme ani jeden z nas nie je kompetentny sa k tomu vyjadrovat

 

Pekny den

Viktor

 

 

[victor8]

ospravedlnujem sa za zmatocne formatovanie

[happy barney]

ak niekto robí NAT len na vonkajšom sieťovom interface (-i eth0), tak sa to imho môže takto blbo chovať.

[KaiSVK]

Si loosa, Antik su kapacity, NAT 1:1 je uplne bezne a nemozes s tym mat problem, i ked mi to robime bez toho, povodne sme zvazovali 1:1. Nic na tom nie je, a problem je niekde inde a nie v Antiku

[Luboš Doležel (Doli)]

Pořádný ISP ke mně proroutuje veřejnou IP normálním způsobem. Podobná banda je Starnet České Budějovice, kde je identický problém s NATem 1:1 a nemožností přistupovat na veřejnou IP ve vlastní síti. Nicméně jejich přístup k ostatním problémům potvrdil, že jsou tak postiženy všechny jejich služby.

[AraxoN]

Haha, Antik sú kapacity! Už od doby, keď Kolla doma na byte lepiacou páskou "opravoval" počítače Amiga aby ho nespokojní zákaznici neubili topánkou.

Ale vážne... počul som strašné veci o Antikáckej sieti ešte z dôb keď nemali optiku. Možno to je teraz už inak, ale vtedy sa mi vlasy ježili - ethernet omotaný okolo bleskozvodu, switche na priamom daždi a tak podobne. A to hovoríme o období cca 2004, a nie 10 rokov predtým, takže sa nemôže nikto vyhovárať, že sa ešte nevedelo ako sa to má správne robiť.

[unamed]

Keď to bolo myslene ako vtip, tak sa ti to nepodarilo. Ak to bolo myslene vážne, tak ... no všetci sme nejaký a väčšinou za to nemôžeme.

[ludvik]

Přidám se k názoru, že NATkovat veřejnou IP vevnitř sítě sice technicky jde, ale prakticky je to děs. Zvlášť třeba pokud stejná mašina dělá i řízení provozu - pak se vnitřní provoz započítává do internetového, a to je třeba v případě czfree sítí politický problém (o zbytečném zatěžování toho routeru nemluvě).

Další problém je též zde někde zmíněný ICMP redirect. Už ho někdo někdy viděl defaultně povolený na firewallech? A zkoušel navádět BFU na změnu firewallu na windows po telefonu "chceš vidět moje webové stránky? Povol si redirect ...". Ono to ani není zrovna bezpečné si to nechat povolené, přesměruju ti jedním paketem třeba mail.seznam.cz ... a ty nic nepoznáš a dáš mi heslo.

Ideální řešení je dvojitá DNS. Někde výše byly zmíněny "views" od BINDu. Pak je to jednoduché - členové sítě musí používat vnitřní DNSky, tedy vždy vyfasují vnitřní IP. Kdokoliv z internetu ale veřejnou. A je klid.

[samsung]

tak co, ako si u nich pochodil? ja mam s nimi len pozitivne skusenosti (az na wifi oddelenie, tam su sami jebovia, najma ten ich sef) a co sa tyka hocakeho problemu, stale ho dokazili vyriesit promptne a k mojej spokojnosti.

na druhej strane mam z overeneho zdroja, ze vobec nepouzivaju linux a teda iptables ako uvadzas priklad, vsetko routuju na cisco zariadeniach. uz ani pomaly neviem, kedy som mal vypadok, aj ked v minulosti to bolo horsie