Dotaz: Přístup na vlastní veřejnou IP adresu od T-Mobile z vlastní vnitřní sítě

[PetrHL]

Zdravím,

A1M končí (koupil je T-Mobile), dotáhli k nám optiku. Přešel jsem k nim, platím si za 99,- pevnou IPv4 adresu (IPv6 nemají, prý jen na DSL). Na routeru od nich mám nastaven port forwarding na domácí server.

Všechno funguje, tedy pokud na danou IP adresu přistupuju z venku z Internetu. Pokud ale stejnou IP adresu zadám ve vnitřní síti, nedostanu se na ni. Ping funguje, ale nmap neukáže žádné otevřené porty, nejde web server ani ssh, nic. Traceroute neudělá ani jeden skok. Snažil jsem se to vysvětlit technické podpoře a dozvěděl jsem se, že mám špatně routování nebo špatně nastavený server :/. Stejná konfigurace a A1M fungovala krásně.

Nenapadá vás, prosím, co by mohlo být blbě? Teď musím v ownCloud clientu měnit adresu serveru když vezmu notebook mimo svoji domácí síť. Stejné to mám u dalších věcí. Netusím kde by mohla být chyba.

Díky za případné rady.

Petr

---

---

Odpovědi

[jejda]

A máš opravdu veřejnou IP? U mě se to chová nachlup stejně, no myslel jsem že to bude tím, že moje "veřejná IP" je ve skutečnosti NAT 1:1. Na routeru mám adresu z rozsahu 192.168.x.y ale přímý přístup z internetu normálně funguje. Z vnitřní sítě smůla.

[PetrHL]

Snad mám. V nastavení routeru ji normálně vidím. Jako Gateway tam ale vidím 10.69.232.11. Jestli je to NAT 1:1 je to pěkně na dvě věci :(.

[jejda]

Pokud moc nezáleží na rychlosti dá se to taky obejít tak, že se ta služba spustí přes tor jako hidden service. Potom je dostupná pod stejnou adresou všude. Je jedno jestli máš veřejnou IP nebo ne, DNS není potřeba vůbec. Ale ta dostupnost je na úkor rychlosti zas.

[Petr Šobáň]

Toto je třeba řešit na straně routeru, který natuje. Je ale možné, že ty routery od ISP jsou hloupé, že toto v nich ošetřit nelze.
Každopádně je to ale podle mě trochu nešťastné to takto řešit.
Zaprvé, nepoužívej IP adresu k tomu, aby jsi se někam připojil, používej DNS. Veřejné DNS záznamy budeš směrovat na tvou veřejnou IP a v lokální síti ti dns server bude směrovat záznamy na lokální IP serveru. Pokaždé použiješ připojení přes DNS jméno a pokaždé tě to provede nejoptimálnější cestou. Navíc pak není problém používat přístupy třeba na https, protože certifikáty lze vystavovat na jméno, nikoli IP.
Zdar Max

[PetrHL]

Toto je třeba řešit na straně routeru, který natuje. Je ale možné, že ty routery od ISP jsou hloupé, že toto v nich ošetřit nelze.
Každopádně je to ale podle mě trochu nešťastné to takto řešit.

Jak se to řeší? je tam Sagemcom 5670, administrace je fakt děsná, hlavně že se jim na login page mění obrázky :-/.

Zaprvé, nepoužívej IP adresu k tomu, aby jsi se někam připojil, používej DNS. Veřejné DNS záznamy budeš směrovat na tvou veřejnou IP a v lokální síti ti dns server bude směrovat záznamy na lokální IP serveru. Pokaždé použiješ připojení přes DNS jméno a pokaždé tě to provede nejoptimálnější cestou. Navíc pak není problém používat přístupy třeba na https, protože certifikáty lze vystavovat na jméno, nikoli IP.
Zdar Max

Tomu jsem se chtěl vyhnout . U A1M jsem nemusel nic řešit. Ach jo, proč, sakra, nemohou prodávat normální připojení k Internetu.

[Max]

Jak se to řeší na Sagemcom 5670 fakt nevím.
Nevím proč by jsi se tom u chtěl vyhýbat, je to nejčistší způsob a pro lidi v lokální síti i nejrychlejší, než směrovat provoz přes router a nat a zase zpátky.
Zdar Max

[PetrHL]

To sice ano, pro mne to bude docela v pohodě. Soused ale domácí server nemá, má jen nějaký disk v WWW rozhraním. On bude mít smůlu nebo bude muset řešit, jak si doma spustit nějaký lokální DNS. Předtím byl v pohodě.

Prostě mě to přijde jako děsný krok zpět. Nechápu to. Jejich router ani neumí build-in VPN, hlavně že umí měnit obrázky na login screenu. Fakt priority jak řemen.

[PetebLazar]

Nemohlo by to vyresit prepnuti toho jejich modemu do Bridge Mode a za nej si dat nejaky Mikrotik? https://www.kuja.cz/pppoe-na-opticke-pripojce/

[kysučan]

... Ach jo, proč, sakra, nemohou prodávat normální připojení k Internetu.

To pripojenie je normálne, na "vine" je router. Hoď si tam statickú routu a pôjde ti to.

[ublah]

Mám to samé, ale normálně mi to funguje. Dal jsem si ten nejzákladnější balík - tzn. "bez Wifi" a hodili mi jen modem, do kterého jsem připojil svůj router s nastaveným WAN na PPPoE. Nemáš náhodou aktivovanou tu blbší (a dražší) variantu, kdy ti jede i ta jejich wifi? On tu základní variantu totiž borec ani nenabízel a musel jsem si to přímo vyptat - volal nadřízeným.

[Andrej]

IPv6 nemají, prý jen na DSL

Poskytovatel „Internetu“, který nemá Internet? Inu, je zvláštní, za co všechno jsou dnes zákazníci ochotní platit.

Naštěstí není potřeba vůbec žádný port forwarding. S každou jednou veřejnou IPv4 adresou se totiž pojí 2⁸⁰ IPv6 adres. Proto stačí nastavit 6to4 a vše je vyřešeno, každý stroj může mít tolik veřejných adres, kolik jen chce, všechny stroje jsou dosažitelné ze všech sítí atd.

[Peter Golis]

Proto stačí nastavit 6to4 a vše je vyřešeno, každý stroj může mít tolik veřejných adres, kolik jen chce, všechny stroje jsou dosažitelné ze všech sítí atd.

Je to pravda aj na Free WiFi hotspotoch, alebo len na platených pripojeniach niektorých operátorov?

Len sa pýtam, bežne nepotrebujem mať okamžitú synchronizáciu osobných dát na mojom domácom cloude.

[Andrej]

Inu, pokud free WiFi hotspot přidělí klientovi veřejnou IPv4 adresu (hint: nejspíš fakt NE) a pokud neblokuje přístup na bránu 192.88.99.1, teoreticky bude 6to4 fungovat i tam.

Problém je, že 6to4 adresy (nepříliš překvapivě) obsahují IPv4 adresu, což znamená, že pokud veřejná IPv4 adresa není stálá, bude to voser (dynamický DNS atd.).

Jinak platí, že například veřejná IPv4 adresa 11.12.13.14 se v 6to4 mapuje na rozsah 2002:b0c:d0e::/48 (tedy 2002 je prvních 16 bitů, dalších 32 bitů je ta IPv4 adresa a zbytek (80 bitů) je volně k použití).

[Peter Golis]

To je verejná IP naozaj potrebná na obidvoch stranách? Nechápem tomu argumentu.

[xxl]

A není náhodou 6to4 deprecated?

https://blog.nic.cz/2021/10/18/25-rijna-zkusebne-vypneme-ipv6-tunelovaci-technologie-teredo-a-6to4/

[Andrej]

Jistě, 6to4 je skoro tak deprecated jako IPv4. Obojímu je vhodné se vyhnout, je-li to možné.

[Peter Golis]

A pokiaľ je to potrebné, tak je to treba použiť.

Preto som dával príklad na Free WiFi hotspot ktorý obvykle pripojí užívateľa do takého akoby IPv4 intranetu, a z neho ho pustí do internetu bez priamej konektivity IPv6. A ďalších príkladov sa nájde dosť, napríklad vnútropodnikové siete v ktorých sú verejné IPv6 trochu kontraproduktívne.

[xxl]

Možná ještě víc, protože IPv4 se v našich končinách celkem dost používá. Ale nejbližší 6to4 gateway 192.88.99.1 je pro naše končiny někde v Holandsku v síti Hurricane Electric. A to ještě můžeme být rádi, že to tam pořád provozují. Zatímco 6in4 přístupový bod má ten samý Hurricane Electric i v Praze.

[Andrej]

Zkrátka, vyhnout se IPv4 je nejlepší řešení. Což platí už 10+ let, jen si toho někteří nestihli všimnout.