Cocot, nic víc než cocot.

13.6.2008 23:37 | Přečteno: 1753× | Nezařazené

Dneska jsem zjistil, jak moc velkej vůl jsem. Před nedávnem jsem přešel na novýho ISP. Z CDMA na WiFi. Ze začátku jsem byl doma přopjen jen já. Měl jsem přidělenou IP z lokálního rozsahu 10.134.173.128/28. Tato IP byla i věřejná, bylo to řešení pomocí NAT + forwarding portů. Problémy nebyly žádné, apache běžel OK i všechny další služby. Akorát u FTP bylo potřeba nastavit server tak, aby druhá strana používala veřejno IP místo lokální. Což řeší u vsftpd parametr pasv_adress (teda alspon si to myslim )

Pozdeji se brácha s tátou rozhodly, že by bylo vhodné si pořídit wifi router, aby se daly jejich notebooky taky připojit. Koupil jsem jeden z nejlevnějších routerů, co jsem našel. Jednalo se o TP-LINK TL-WR542G. Když krabička dorazila, moc se mi líbil design. Nastavení šlo hladce. Jediný co mě štvalo, bylo to, že to nedovolilo nastavit pro LAN a WAN adresy ze stejného subnetu. Takže jsme musel použít NAT. Chvíli jsem měl strach, že to bude mít vliv na veřejnou IP, ale nakonec jsme objevil, že to umí i port forwarding atd. Takže vše vypadalo OK. A původní nevýhoda se nakonec začala ukazovat, jako výhoda.

Výhodou tohoto řešení, byla možnost mít zaplé DHCP, které poskytovalo IP z rozsahu 192.168.1.100-120. Ale před pár dny (?týdny) se objevil problém. Všechny služby šli OK, ale FTP najednou přestalo fungovat. Teda přesněji nešel pasivní přenos. Což byl pro mě problém. Zkoušel jsem to řešit, ale nakonec jsme to vzdal. Dokonce jsme přemýšlel pořídit si, ještě switch, který bych mrskl před ten router. A tu IP která je veřejná bych si narval přímo do kompu a druhou IP bych nechal na tom TP-LINKu.

Dneska jsem náhodou zašel na lživě.cz. Týpek tam řešil situaci ohledně dvou routerů. Snažil jsme se mu pomoct. Nakonec to vyřešil, ale jinak než jsem mu radil já. Já mu radil, že má kábel napojit z router1-LAN do router2-WAN. A on to dal oboje na LAN, v podstate z routeru využil jen switch. A mě pak došlo. Že to samý můžu udělat u sebe. Tak jsme přepích kábel z WAN do LAN. Udělal pár úprav v nastavení a hle. Ono to faká. Na webovém rozhraní mého ISp. Jsem si namrskal 4 IP adresy z rosahu 10.134.173.128/28. A je to. Už mi zase jede pasive ftp .

       

Komentáře

[progdan]

Ja jsem taky za routerem s verjnou IP a nastavil sem si v nem port forwarding i pro nejaky porty v rozsahu 2000 az 2050, k tomu port 21 a s FTP sem nikdy problem nemel. Jen podotykam ze pouzivam proftpd.

[kozzi]

Já driv taky mel proftpd. Ale ono asi zalezi na tom routeru jestli ma spravne moduly. Zrocna se to resilo ted v dikuzi tady na abclinuxu.

[mimi.vx]

adresy z rozsahu 10.0.0.0 az 10.255.255.255 nejsou verejne .... ale za natem u ISP ...

[kozzi]

Vsak ne. Jsou lokalni. Ale ja mam i verejnou ale ta je na routeru u ISP a vsechen provoz nad ni je forwardovan na tu moji lokalni IP. Jsem to mozna spatne popsal.

[Grunt]

Akorát u FTP bylo potřeba nastavit server tak, aby druhá strana používala veřejno IP místo lokální. Což řeší u vsftpd parametr pasv_adress (teda alspon si to myslim )

Řekl bych, že ten parametr spíše nastavuje jako výchozí mód přenosu dat pasivní. U FTP v aktivním módu totiž navazuje spojení server a pokud je klient za NATem či jinou verbeží, tak to dost dobře nejde. Viz. více zde.

dyž krabička dorazila, moc se mi líbil design.

A o ten, zvláště když krabička trčí někde na hůře zaházená harampádím, jde především.

Nastavení šlo hladce. Jediný co mě štvalo, bylo to, že to nedovolilo nastavit pro LAN a WAN adresy ze stejného subnetu.

Z těch dvou slov předpokládám, že mezi oběma sítěmi byla routa a v takovém případě je už z principu nemožné mít na dvou rozhraních jednoho zařízení dva stejné subnety. Jak by se asi potom router rozhodoval do kterého z nich pakety házet?(No on rozhodne a bude je všechny házet do toho které je ve směrovací tabulce dřív)

Dokonce jsme přemýšlel pořídit si, ještě switch, který bych mrskl před ten router.

A to by mělo jaký smysl?

A tu IP která je veřejná bych si narval přímo do kompu a druhou IP bych nechal na tom TP-LINKu.

?

Týpek tam řešil situaci ohledně dvou routerů. Snažil jsme se mu pomoct. Nakonec to vyřešil, ale jinak než jsem mu radil já. Já mu radil, že má kábel napojit z router1-LAN do router2-WAN.

Předpokládám, že router1 nebyl router, ale bezdrátové AP a ty většinou využívají bridge.

A on to dal oboje na LAN, v podstate z routeru využil jen switch. A mě pak došlo. Že to samý můžu udělat u sebe. Tak jsme přepích kábel z WAN do LAN. Udělal pár úprav v nastavení a hle. Ono to faká. Na webovém rozhraní mého ISp. Jsem si namrskal 4 IP adresy z rosahu 10.134.173.128/28. A je to. Už mi zase jede pasive ftp

Ještě mi prosimtě vysvětli jak to teď máš, protože jestli jsem správně pochopil to co popisuješ, tak sis namrskal na rozhraní v síti ISP nějaké další 4 IP adresy, které ti nebyly vůbec přiděleny. Jenže pokud je na AP opravdu bridge, tak s největší pravděpodobností ti budou kolidovat s nějakými adresami, které ISP už používá a za to se většinou dává nekompromisně BAN.

BTW: Protože vidím, že máš o prázdninách stejně lautr hovno co na práci, tak mám pro tebe jeden knižní TIP.

[kozzi]

SNad ve všech bodech se pleteš . pasv_address opravdu dela co jsme predpokladal viz.

pasv_address 
Use this option to override the IP address that vsftpd will advertise in response to the PASV command. Provide a numeric IP address. 

Default: (none - the address is taken from the incoming connected socket)

No ona ta krabicka lezi u me na stalo takze je dulezitej design :-P.
Jasny ze to z principu neslo, ale ja chtel misto toho aby se to chovalo jako router, aby se to chovalo jako switch, kterej ma vsechny LAN a i WLAN v bridgy.
No tak ten switch by mel smysl takovej ze bych tim rozkouskoval sit na vice vetev.
Ja jsem spravce, takze si sam muzu priradit IP adresy i verejne , takze kolize nehrozi.

[kozzi]

Tim spravcem jsem myslel spravce casti site meho ISP. Je to komunitni internet na bazi CZFree.net

[Zdeněk Štěpánek]

No a prave proto jsem mel nejprve zeptat spravce AP nez zacnes jednat na vlastni pest. Kdybys neco takovyho zkousel v nasi siti, tak te s tim vyhodim. NAT nema ve vnitrni siti co delat, domaci AP bez regulace (toho tplinka znam) taky ne a do tretice tvuj wifi klient na pude je zrejme v rezimu bridge a za ten se vetsinou zapojuje jen jeden PC. Kdyz jich je vic tak to zlobi.

U nas by jsme ti wifinku na pude prenastavili jako router a dole by sis dal switch (pripadne vsechny kabely do routeru na pude). Na doma bys dostal subnet /28 (=5 IP adres pro kompy) pripadne /27 kdyby ti to nestacilo.

A domaci AP v rezimu bruidge se stahnutym vykonem tak aby to rusilo dulezitejsi spoje jen trochu...

Zdenek

[Grunt]

No a prave proto jsem mel nejprve zeptat spravce AP nez zacnes jednat na vlastni pest.

Vždyť správce je on, ne?

NAT nema ve vnitrni siti co delat

Jakože klient má právo přidělenou IP adresu používat jen na svém PC?

do tretice tvuj wifi klient na pude je zrejme v rezimu bridge a za ten se vetsinou zapojuje jen jeden PC. Kdyz jich je vic tak to zlobi.

Jak?

[Zdeněk Štěpánek]

Vždyť správce je on, ne?

Ale (zrejme) tomu az tak moc nerozumi, navic to z toho nebylo az tak patrny.

Jakože klient má právo přidělenou IP adresu používat jen na svém PC?

Klient dostane na doma rozsah adres z nich by mel pouzit ty co mame zapsane v DB. Kdyz chce pripojit dalsi komp, tak dalsi IP zapisu do DB. Nesmi si brat IP ktery nedostal prideleny. Proste kazdej jeho pocitac od nas dostal IP a tim to hasne. Nemuzeme ze site delat smetiste kde by si kazdej delal co chce.

Jak?

To pochazi z dob dlinku 900, dneska je to mozna lepsi, ale pouzivame to tak i nadale predevsim z toho duvodu ze na AP je rozsah /27 a kdyz by si na to 4 klienti chteli povesit kazdy po 4 pocitacich tak mame brzo plno.

[kozzi]

Ale jo rozumim . Jen mam problem veci vyjadrit tak jak by se to melo . Krom toho ten blog jsme psal ve spechu. Mozna priste radeji pockam a napisu zapiske az bude vic casu.

[Grunt]

Ale (zrejme) tomu az tak moc nerozumi, navic to z toho nebylo az tak patrny.

Já bych jen řekl, že se jen špatně vyjádřil.

Klient dostane na doma rozsah adres z nich by mel pouzit ty co mame zapsane v DB. Kdyz chce pripojit dalsi komp, tak dalsi IP zapisu do DB. Nesmi si brat IP ktery nedostal prideleny. Proste kazdej jeho pocitac od nas dostal IP a tim to hasne. Nemuzeme ze site delat smetiste kde by si kazdej delal co chce.

S tím souhlasím(proto to také mám ošéfované kombinací DHCP + ARP), ale není prostě lepší když klient dostane jednu IP, na ni si udělá maškarádu a za ní nech si má třeba i …?

To pochazi z dob dlinku 900, dneska je to mozna lepsi, ale pouzivame to tak i nadale predevsim z toho duvodu ze na AP je rozsah /27 a kdyz by si na to 4 klienti chteli povesit kazdy po 4 pocitacich tak mame brzo plno.

Proto se bavím o maškarádě. Pokud chce klient více PC, tak nech si to schová. Jinak já to řeším tak že si za rozsahem nechávam volné místo(třeba u /27 mám ještě volno, tak aby se v případě potřeby dal rozšířit na /26) a pokud to vypadá, že rozsah už se nebude zvětšovat tak to volné místo použiju pro další rozsah.

[xxx]

No a prave proto jsem mel nejprve zeptat spravce AP nez zacnes jednat na vlastni pest.

Vždyť správce je on, ne?

Tak to bych se radeji od site ktrou spravuje drzel pekne daleko.

[Grunt]

Tak to bych se radeji od site ktrou spravuje drzel pekne daleko.

Ale no tak, nikdo není dokonalý(teda samozřejmě kromě PT a mě).

[xxx]

Ja to nemyslel zle. Ja taky zacinal cross cablem mezi dvouma sitovka a ucil se veci za pochodu.

[kozzi]

No a proto mám rád tyto blogy, alspoň se tu nečemu přiučím. Krom toho jsem se správcem stal tak nějak neplánovaně. Prostě když mě připojovali viděli, že o sítích aspoň něco málo vím. No a aby sem nemusely kvůli všemu jezdit tak ze mě udělali správce. Krom toho by se měli konat nějaké kurzy, takže na těch bych se měl něco taky přiučit.

[Grunt]

Krom toho by se měli konat nějaké kurzy, takže na těch bych se měl něco taky přiučit.

Na kurzy se vykašli. Prostě bez základní znalosti TCP/IP(tedy od fyzické nebo linkové vrstvy až po vrstvu aplikační) do hospody nelez.

BTW: Neučí se něco takového i na FITku?

[kozzi]

Tu knížku už jsem si kdysi pujcil v knihovne a precetl. Ale ona teorie je jedna vec a praxe druha.

[Grunt]

V případě, že jsi ji opravdu četl a pochopil(né jen proletěl), tak praxe už musí jít sama.

[Luboš Doležel (Doli)]

NAT nema ve vnitrni siti co delat, domaci AP bez regulace (toho tplinka znam) taky ne

Řekl bych, že toto jsou věci zákazníka, do kterých už nemá ISP co strkat nos.

[Zdeněk Štěpánek]

Jenze my nejsme ISP ale CZFree. NAT se pouziva kvuli nedostatku verejnych IP a jejich problematickemu ziskani. V privatni siti zadne takove problemy nejsou, takze pro NAT neni sebemensi duvod. S bezpecnosti to nema nic spolecneho, od toho je firewall. Lidi maj jen zakazano blokovat pingy, ale jinak at si na svuj komp nainstalujou treba 10 firewallu.

Dalsi problem je napriklad P2P, VoIP (minimalne muj telefon pres druhy nat neprojde), prime sosani mezi lidma, hrani her atd.

Pletes si nat s firewallem (stejne jako spousta lidi), to je ten zakladni problem.

Zdenek

[Luboš Doležel (Doli)]

V privatni siti zadne takove problemy nejsou, takze pro NAT neni sebemensi duvod.

Důvod není, ale také není důvod to někomu zakazovat.

Pletes si nat s firewallem (stejne jako spousta lidi), to je ten zakladni problem.

Já si NAT s firewallem teda rozhodně nepletu.

[Zdeněk Štěpánek]

A co se tyce nejakyho doamciho AP, tak klient nema opravneni pripojovat na sit jakekoliv neschvalene zarizeni.

Klient je pouze uzivatel, spravce te site jsou lidi ze sdruzeni. Cokoliv chce klient pripojit tak zavola, zepta se a domluvime se. Pokud chce domaci AP tak mu reknu ktery typ a vetsinou to rovnou i objednam. A nasledne nastavim a ani heslo nedam.

------

Jsme v tomhle dost striktni a mnohokrat se nam to velice vyplatilo. Mame prehled co je kde v siti pripojeny, vsechno je dohledatelny v databazi a vim ze mam v siti poradek.

Zdenek

[kozzi]

Jo, no u nas se taky pouziva vyhradne Ovislink jako AP. Ale pokud nekdo u nas prechazi od jineho ISP, tak bych mu asi tezko vysvetloval, ze vsechno co si nakoupil, muze zahodit a poridit si neco jinaciho, jen proto že my jsme zvykli používat ovise.

[Luboš Doležel (Doli)]

A co se tyce nejakyho doamciho AP, tak klient nema opravneni pripojovat na sit jakekoliv neschvalene zarizeni. Klient je pouze uzivatel, spravce te site jsou lidi ze sdruzeni. Cokoliv chce klient pripojit tak zavola, zepta se a domluvime se. Pokud chce domaci AP tak mu reknu ktery typ a vetsinou to rovnou i objednam. A nasledne nastavim a ani heslo nedam.

Sorry, to ale pak není síť, to je buzerace. Technicky nezdatným to ale asi nevadí, spíš naopak.

Síť poskytovatele končí u vnějšího AP. To ostatní je můj majetek, má správa, má zodpovědnost.

[Grunt]

Sorry, to ale pak není síť, to je buzerace. Technicky nezdatným to ale asi nevadí, spíš naopak.

Zajímavé, že i technicky zdatnější, když jim něco nejde nastavit potom přehrávají zodpovědnost na jiné.

Síť poskytovatele končí u vnějšího AP. To ostatní je můj majetek, má správa, má zodpovědnost.

80% ISP je ovšem jiného názoru než ty. Já měl dokonce ISP ke kterému jsem se připojil vlastně zakoupeným APčkem(připojení jen sestávalo z toho, že jsem mu na AP dal přístup), on si na něm všechno nastavil, zahesloval(což by mi ani tak nevadilo, přece jen je to jeho síť) a nedal mi IP adresu(což už mi vadilo, jelikož pokud připojení spadlo, tak jsem neměl pomocí pingu možnost zjistit kde je chyba).

[Luboš Doležel (Doli)]

Sorry, to ale pak není síť, to je buzerace. Technicky nezdatným to ale asi nevadí, spíš naopak.

Zajímavé, že i technicky zdatnější, když jim něco nejde nastavit potom přehrávají zodpovědnost na jiné.

Tady to bylo vždy přesně naopak. Místo poruchy v síti (draze placeného) ISP jsem někdy musel hledat já a musel jsem si k tomu i získávat hesla.

Síť poskytovatele končí u vnějšího AP. To ostatní je můj majetek, má správa, má zodpovědnost.

80% ISP je ovšem jiného názoru než ty. Já měl dokonce ISP ke kterému jsem se připojil vlastně zakoupeným APčkem(připojení jen sestávalo z toho, že jsem mu na AP dal přístup), on si na něm všechno nastavil, zahesloval(což by mi ani tak nevadilo, přece jen je to jeho síť) a nedal mi IP adresu(což už mi vadilo, jelikož pokud připojení spadlo, tak jsem neměl pomocí pingu možnost zjistit kde je chyba).

80% ISP možná, ale ne ISP s 80% zákazníky. Už vidím, jak se mi do toho O2, GTS Novera, T-Mobile nebo jihočeský SmartBox (u kterého jsem) hrabou.

[Grunt]

Tady to bylo vždy přesně naopak. Místo poruchy v síti (draze placeného) ISP jsem někdy musel hledat já a musel jsem si k tomu i získávat hesla.

No, to je druhý lokální extrém, který se také u nás v okolí nachází.

[Käyttäjä 11133]

Chtěl si říct, že NAT nemá co dělat na Internetu, ne?

[kozzi]

No ano je v rezimu bridge. A vice PC za nim jede uplne vpoho. Sice ze zacatku to trochu blblo, jelikoz pri kazdem zapojeni PC jsme musel AP na pude rebootovat a ono pak ten pocitac mel pristup do site vpohode, ale zase sotatnim to neslo . Pak jsem opravil nastaveni a uz to jede OK. Jinak ten TP-LINK to ze nema regulaci vykonu, to je pravda to jsem moc dobre nevybral. Tak wifinka na hore bohuzel jako router fungovat nemuze. Takze bych musel poridit jinaci zarizeni, a to se mi zrovna moc nechce. Kazdopadne ted to mam tak abych ve vnitni siti nemusel mit zadnej NAT. No spravce AP jsem ja. Takze jsme se musel dohodnout sam ze sebou.

[Grunt]

Jinak ten TP-LINK to ze nema regulaci vykonu, to je pravda to jsem moc dobre nevybral.

Není třeba. Stačí změřit na kolik vysílá zařízení teď a podle toho zvolit vhodnou anténu, popř. útlumový člen kdyby anténa nestačila.

Tak wifinka na hore bohuzel jako router fungovat nemuze.

A díval jsi se na alternativní firmware? Ono totiž ani Ovisy 1120-ky nemohly sloužit jako routery, ale jak si tam nahrál ApPro tak to umělo na co sis jen vzpomněl(a nebo spíš co se vlezlo na tu integrovanou NANDku)

[kozzi]

Tak ona je tam jen mala slaba antenka a vysila to jen po bytě, takže by to rušit nemělo, ale je pravda, že to mám u okna takže se můžu připjot i když jsem venku u bazénu . No kdybych tam dal silnější anténu, tak se připojím i ze zahrádky u hospody .

[Grunt]

Tak ona je tam jen mala slaba antenka a vysila to jen po bytě, takže by to rušit nemělo, ale je pravda, že to mám u okna takže se můžu připjot i když jsem venku u bazénu .

Jo ona je to anténa jen po baráku, tak to si starosti dělat nemusíš.

No kdybych tam dal silnější anténu, tak se připojím i ze zahrádky u hospody .

My máme u nás v hospodě dokonce hotspot.

[Grunt]

Jasny ze to z principu neslo, ale ja chtel misto toho aby se to chovalo jako router, aby se to chovalo jako switch, kterej ma vsechny LAN a i WLAN v bridgy.

Ale toho nedosáhneš tak, že dáš na dvě nezávislé rozhraní stejné subnety. Ten bridge tam musíš zapnout.

No tak ten switch by mel smysl takovej ze bych tim rozkouskoval sit na vice vetev.

Ale switch většinou zasahuje jen do linkové vrstvy, takže krom toho, že by jsi měl přístupných více drátu by to se sítí ani nehlo, ne?

Ja jsem spravce, takze si sam muzu priradit IP adresy i verejne , takze kolize nehrozi.

Tak potom ale toto beru za plýtvání adresami. Není prostě lepší si nechat jednu veřejnou adresu, na tu udělat maškarádu a dst-natem směrovat ty porty které chci kam chci?(A ještě jako bonus by byla primitivní ochrana firewallem)

[kozzi]

Jasny ze se musi zapnou, on tam zaplej je ale ja myslel ze to pujde i s WAN rozhranim, ale to neslo. Ohledne switch. Vsak to bylo co jsem chtel mit vic dratu . Nee plytvani neni. Adresy ktere si prirazuji jsou s lokalniho rozsahu. A verejna IP je nekde u ISP a je natovana jen an tu jednu z mych lokalnich IP. Takze jsem za NATem.

[Grunt]

Jasny ze se musi zapnou, on tam zaplej je ale ja myslel ze to pujde i s WAN rozhranim, ale to neslo.

Tak že na něj naroubuješ stejný subnet, který už používáš na LAN? To asi ne, na to by tam musel být nějaký čudlík. Ale většina takovýchto set-top-boxů má seriový port(doporučuji zlikvidovat stylovou krytku) nebo alternativní firmware s přístupem do BASHe a tam je už nastavení bridge trivialita, takže doporučuji hledat.

[frEon]

Dej si bacha at vesele nerozdavas svoje ajpiny do poskytovatelovy site. Jinak te prijde vyklestit