Dotaz: Zobrazenie Mojej stranky z lokalnej siete

[cujan]

Caute mam nasledujuci problem: na vlastnom serveri mam apache a na nom mi bezi moj web. Problem je ten, ze ak na neho chcem pristupit z vlastnej siete pomocou www.slspo.sk tak sa nan nedostanem, z vonku to ale ide v pohode. Ak napisem ip adresu servera tak sa na nu dostanem v pohode aj z vnutra.

Inac mi beze DHCP, ktore dynamicky prideluje IP strojom a aj adresy vonkajsich DNS serverov.

v com moze byt problem?

vdaka

Odpovědi

[in2lag]

problem bych videl v tom, ze lokalni pocitace vidi server pod jinou ip, nez zbytek internetu. Problem by dle me mel byt vyresen pridanim www.slspo.sk s lokalni ip do /etc/hosts..

[cujan]

Je to potrebne aj v tedy ak mne lokalne nebezi DNS server a vyuzivam pre celu vnutornu siet externe DNS serveri?

A ak ano, neviete mi poradit v akom tvare by som to mal zapisat?

Vdaka pekne

[lertimir]

formát souboru hosts

[cujan]

Vdaka za radu

namapoval som to na

192.168.1.1 www.slspo.sk

ale stale to z lokalnej siete nefunguje

tak nechapem.......inak z vonku mame zaplatenu verejnu IP na tu to funguje, ale aj ked som dal namapovat na tu verejnu aj tak to neslo....

[Šangala]

192.168.1.1 - je ten počítač na kterém běží web server, není to router a server je třeba 192.168.1.2 ?

[cujan]

je to ten isty pocitac...

[Šangala]

A vyplnil jste /etc/hosts nebo C:\WINDOWS\system32\drivers\etc\hosts na tom počítači/počítačích, na kterém/kterých chcete přistupovat k tomu serveru?

[lertimir]

Ale zvenku musíte mít nastavený NAT na routeru, který paket směřující na port 80 při příchodu zvnějšku pošle na nějaký počítač (server) uvnitř. pokud přistupujete zevnitř musíte mít namapování doménového jména na stejnou vnitřní IP na kterou to dorazí za NATem. Pokud namapujete doménové jméno jinam fungovat to nemůže.

[NN]

Jakou dostanes odpoved pri dotazu na www.slspo.sk ?

NN

[cujan]

Ak dam dotaz ping www.slspo.sk tak dostanem takuto odpoved

Příkaz PING na www.slspo.sk [87.197.23.74] s délkou 32 bajtů:

Vypršel časový limit žádosti. Vypršel časový limit žádosti. Vypršel časový limit žádosti. Vypršel časový limit žádosti.

Statistika ping pro 87.197.23.74: Pakety: Odeslané = 4, Přijaté = 0, Ztracené = 4 (ztráta 100%)

87.197.23.74 to je moja verejna IP, apredpokladam ze ju automaticky pinguje koli tomu ze pouzivam iba externe DNS.

[Filip Jirsák]

Nemáte tu lokální síť schovanou za NATem, a není ten server ve stejné síti? Pokud ano, pak máte několik možností.

Buď použít pro vaši síť jiný DNS záznam, který bude vracet přímo lokální IP adresu serveru. To můžete zařídit buď přidáním příslušného záznamu do /etc/hosts na všech počítačích v síti, nebo lépe zprovozněním DNS resolveru pro vaši síť, který tuto adresu bude překládat jinak. při použití této možnosti budou počítače v síti se serverem komunikovat přímo, ne přes router.

Pokud máte na serveru nastavenou jenom lokální IP adresu a na routeru děláte DNAT, můžete na router přidat ještě SNAT pro požadavky z lokální sítě. Požadavek z routeru na server tedy bude mít zdrojovou IP adresu routeru, server odpoví na ni a router může „odDNATovat“ odpověď a poslat ji klientovi, který tím pádem odpověď dostane z adresy, kterou očekává. Vekšerá komunikace počítač-server pak půjde přes router.

Další možnost je dát server do DMZ, tj. zařadit ho do jiné IP sítě, než ve které jsou ostatní stanice (např. 192.168.2.0/24, pokud PC jsou v 192.168.1.0/24) – musel by být ale jen v této síti, nesměl by být ve stejné síti s klientskými stanicemi. Pak by se opět server nepokoušel odpovědět klientovi přímo, ale přes router, a ten by měl opět šanci udělat opak DNATu na odchozích paketech.

Nejlepší řešení je samozřejmě všude použít veřejné IP adresy, tím odstraníte příčinu problému

[cujan]

Dobrý deň

mam to za natom a prakticky firewall mam tak nastaveny, že vsetko co mi pride na 192.168.1.1 na port 80 automaticky posielam vonku na druhu sietovku (10.13.48.10 - tuto mam pomocou providera namapovanu na verejnu IP, cez router providera).

Len ako tak nad tym rozmyslam, tak ak vsetko co pride na server automaticky posielam vonku tak teoreticky ak poslem aj poziadavku na moj apache, tak ta poziadavka ide vonku, potom naspat na moj apache a vracia sa na lokalny pc. Teda ak som to spravne pochopil. Cize potom by som nemal potrebovat ziaden vlastny DNS server.

[Filip Jirsák]

Aha, váš router nemá přímo tu veřejnou IP adresu, ale má nějakou interní, na kterou vám router pakety pro tu veřejnou IP adresu přeposílá? Takže jsou tam ve skutečnosti dva NATy za sebou – vašeho „ISP“ a váš? A pak prý že NAT není zlo… V takovém případě budete muset na vašem routeru udělat DNAT, a všechno, co má jít na tu veřejnou IP adresu si přeposlat rovnou na tu vaši privátní. Jinak se to od vás pošle na router ISP, ten udělá DNAT, pošle to zpátky na váš router, a pokud ten to nezahodí rovnou (protože dostal z venku paket se svojí zdrojovou IP adresou), určitě nepošle odpověď zpátky na router ISP (který by ji mohl odNATovat a poslat vám zpět), protože má jako adresu zdroje uvedenu sama sebe.

Nejlepší by bylo, kdybyste udělal nějaké schéma IP adres a komunikací, kde bude vidět PC ve vaší síti, váš router, router ISP a Apache. A pak alespoň popsat NAT, který na routeru děláte – samozřejmě by byl lepší výpis iptables -t nat --line-numbers -nvL.

[Šangala]

Nebo si prostě rozjet vlastní DNS-ko.
Či „velmi oblíbené“: vyplnit na všech PC /etc/hosts nebo C:\WINDOWS\system32\drivers\etc\hosts a případně ještě zařídit aby se četly jako první (což je obvykle default).

[cujan]

inac asi sa pustim do toho vlastneho DNS ka. Aspon sa priucim niecomu novemu neviete mi poradit nejaky dobry navod? Nebolo by odveci ak by bol v slovencine alebo cestine.

Vdaka

[cujan]

toto je vypis iptables:

Chain PREROUTING (policy ACCEPT 638K packets, 50M bytes)
num   pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 5164 packets, 569K bytes)
num   pkts bytes target     prot opt in     out     source               destination

Chain POSTROUTING (policy ACCEPT 1975 packets, 352K bytes)
num   pkts bytes target     prot opt in     out     source               destination
1     457K   32M MASQUERADE  all  --  *      eth0    0.0.0.0/0            0.0.0.0/0
2        0     0 MASQUERADE  all  --  *      eth2    0.0.0.0/0            0.0.0.0/0

[Filip Jirsák]

Takže tam máte jen SNAT, tedy veškerý odchozí provoz se maskuje za IP routeru. Pokud tedy veřejnou IP adresu má nastaven router vašeho ISP, jak jste psal někde výš, a dělá DNAT na privátní adresu vašeho serveru, měla by teoreticky komunikace z vašeho PC na váš server jít takhle:

PC    --->   váš router                       (SNAT zdrojové adresy na adresu routeru)
             váš router  ---> router ISP
                                              (DNAT cílové veřejné IP  adresy na adresu serveru)
             váš router  <--- router ISP  
server <---  váš router

server vygeneruje odpověď

server --->  váš router                       (SNAT zdrojové adresy na adresu routeru - to je  podle mne chyba)
PC <---  váš router                           (další chyba, odpověď se pošle přímo PC, router ISP nemohl udělat SNAT zpět na veřejnou IP)
                                              (PC dostalo odpověď z jiné adresy, takže ji neodkáže přiřadit k dotazu)

Pokud používáte jen DNS názvy, můžete si rozchodit vlastní DNS server pro síť a tam adresy překládat na privátní IP adresu serveru. Pokud chcete, aby to fungovalo i při přímém zadání IP adresy, musel byste upravit směrování nebo NAT na vašem routeru.

Obojí je jen obcházení problému, skutečným řešením by bylo zbavit se obou NATů…