Dotaz: nat 1:1

[jojo2]

Niektori ISP neponukaju verejnu IP adresu, ale ponukaju NAT 1:1. ISP vlastni nejake verejne IP adresy, ale aby ich setril, tak zakaznikovi ponukne NAT 1:1. Pokial tomu spravne rozumiem, tak ISP ma napr. verejnu IP adresu 1.2.3.4 na WAN a ked zakaznikovi ponukne NAT 1:1, tak vsetko co pride na tu IP adresu, tak prelozi na zakaznikovu privatnu 192.168.1.10. A zase vsetko co odchadza zo zakaznikovej privatnej 192.168.1.10, tak prelozi na verejnu 1.2.3.4. Neviem ci som to spravne pochopil, ale nerozumiem ako teda setri verejne IP adresy.

Dajme tomu, ze ISP poziadaju dvaja zakaznici, ze potrebuju z vonku pristup do svojej siete a obidvaja budu mat webove servery na portoch 80 a 443. Ako to potom riesi ISP ? Ak pride poziadavka na verejnu IP,ako vie NAT na ktoru privatnu IP to ma prelozit ?

Ak to nie je mozne spravit s jednou verejnou IP, ako potom ISP setri verejne IP adresy?

Odpovědi

[Jendа]

Usnadňuje to routování uvnitř sítě. Nemusíš mít na všech routerech směrem k zákazníkovi napsáno, že 1.2.3.4 mají směrovat k tomu danému zákazníkovi - stačí tam záznam pro 192.168.1.0/24, který tam už máš, protože to je něco jako „tím směrem leží fyzicky blízká skupina zákazníků s těmito adresami ve tvé síti“.

V práci nám dali veřejnou adresu 1.2.3.62 přímo na rozhraní bez této věci, přičemž to vypadá tak, že máme na rozhraní 1.2.3.62/30 a gw 1.2.3.61. Takže tím vyplýtvali 2-4 adresy (pokud současně vyhradili network a broadcast adresu). Jak tohle mají řešené interně ale nevím, možná to bude nějaký divný tunel skrz jejich (privátní?) síť (součástí tarifu je i záložní spojení přes LTE, které se tváří zcela transparentně, dokonce když vypnu mikrovlnku na střeše, tak se přejde na LTE tak, že ani nepopadají otevřená TCP spojení, takže je to nějaký pokročilejší magic).

[jojo2]

jenda

Jak tohle mají řešené interně ale nevím, možná to bude nějaký divný tunel skrz jejich (privátní?) síť (součástí tarifu je i záložní spojení přes LTE, které se tváří zcela transparentně, dokonce když vypnu mikrovlnku na střeše, tak se přejde na LTE tak, že ani nepopadají otevřená TCP spojení, takže je to nějaký pokročilejší magic).

To bude asi SD-WAN

Usnadňuje to routování uvnitř sítě. Nemusíš mít na všech routerech směrem k zákazníkovi napsáno, že 1.2.3.4 mají směrovat k tomu danému zákazníkovi - stačí tam záznam pro 192.168.1.0/24, který tam už máš, protože to je něco jako „tím směrem leží fyzicky blízká skupina zákazníků s těmito adresami ve tvé síti“.

Ako potom riesi zakaznikoch, ktori by chceli pouzivat porty 80 a 443 ? To su specificke porty a mapovat by sa to dalo na rozne porty. Pisat vsak do url http://neco:8080 a pod je nepekne. Riesenie je aby si ISP postavil reverzny proxy a uspokoji vsetkych zakaznikov s portami 80 a 443. Ine porty ako napr. pre VPN a pod. sa daju pouzit rozne a tolko zakaznikov aby vycerpal porty asi nema ziadny ISP (ak nepocitam velkych, ktori ponukaju public IP). A ako by to riesil zaznam pre subnet 192.168.1.0/24 ?

PetebLazar

Například síť mého providera je ke klientům provozována na privátním rozsahu adres (10.x.y.z), takze muj router ma providerem pridelenu adresu z tohoto rozsahu. Na hranicich sve site do Internetu provadi provider preklad z pro mne vyhrazene verejne IP na vnejsi IP adresu meho routeru (10.a.b.c) a naopak. Tzn., ze pozadavky z Internetu na spojeni s onou verejnou IP konci na vnejsim rozhrani meho routeru (kde si je zpracuji podle potreby) a ma spojenini do Internetu odchazi z teto vyhrazene verejne IP.

Takze ako potom setri ISP verejky, ked prave tu jednu verejnu IP vyhradil len pre teba. Pre teba by bolo mozno lepsie ak by ti poskytol verejnu IP, ako to napr. robi telekom na slovensku (ale iba ak o to poziadas, tak dostanes dynamicku verejnu IPv4 zdarma)

[Jendа]

Ako potom riesi zakaznikoch, ktori by chceli pouzivat porty 80 a 443 ? To su specificke porty a mapovat by sa to dalo na rozne porty. Pisat vsak do url http://neco:8080 a pod je nepekne. Riesenie je aby si ISP postavil reverzny proxy a uspokoji vsetkych zakaznikov s portami 80 a 443.

Jak „potom“? Tohle řešení ti dá „celou“ IP adresu, provoz jde přímo na tebe, jenom máš trochu nezvyklou konfiguraci, že máš na svém rozhraní adresu 192.168.1.10 a přitom ti přicházejí pakety pro 1.2.3.4. (už si nepamatuju jak se tohle konfigurovalo aby to fungovalo)

Pro „standardní port forward“ třeba toho portu na VPN tohle vůbec není potřeba, ISP na svém hraničním routeru nastaví DNAT pro ten port.

Řešení s reverzní proxy je zajímavé, ale nevím o ISP, který by tohle dělal. Myslím že to dělali nějací lowcostoví poskytovatelé VPS (4smart.cz?).

Takze ako potom setri ISP verejky, ked prave tu jednu verejnu IP vyhradil len pre teba.

Nijak, to, na co ses ptal, je doslova způsob, jak vyhradit jednu veřejnou IP.

[jojo2]

Cize ak ti ISP poskytne NAT 1:1, tak mas IP z privatneho rozsahu ISP a ISP preklada vsetko z verejky niekde na svojom zariadeni, na tvoju privatnu a opacne. Zakaznikovi to pomoze, pretoze si moze vytvarat dalsi NAT na zariadenia vo svojej LAN a vie sa dostat z vonka do svojej LAN (akurat je tam 2x NAT, raz i ISP a raz u zakaznika).

Aku vyhodu ma z toho ISP uz neviem (nebolo by lepsie ak by verejku dal rovno zakaznikovi?).

[Jendа]

Aku vyhodu ma z toho ISP uz neviem (nebolo by lepsie ak by verejku dal rovno zakaznikovi?).

Usnadňuje to routování uvnitř sítě. Nemusíš mít na všech routerech směrem k zákazníkovi napsáno, že 1.2.3.4 mají směrovat k tomu danému zákazníkovi - stačí tam záznam pro 192.168.1.0/24, který tam už máš, protože to je něco jako „tím směrem leží fyzicky blízká skupina zákazníků s těmito adresami ve tvé síti“.

[jojo2]

OK, vdaka

[PetebLazar]

Například síť mého providera je ke klientům provozována na privátním rozsahu adres (10.x.y.z), takze muj router ma providerem pridelenu adresu z tohoto rozsahu. Na hranicich sve site do Internetu provadi provider preklad z pro mne vyhrazene verejne IP na vnejsi IP adresu meho routeru (10.a.b.c) a naopak. Tzn., ze pozadavky z Internetu na spojeni s onou verejnou IP konci na vnejsim rozhrani meho routeru (kde si je zpracuji podle potreby) a ma spojenini do Internetu odchazi z teto vyhrazene verejne IP.

[Andrej]

Ak to nie je mozne spravit s jednou verejnou IP, ako potom ISP setri verejne IP adresy?

Neexistuje nic takového jako jedna veřejná IP adresa. Obvyklé zákaznické připojení mívá 2⁷² až 2⁸⁰ IP adres. Adresa je (z principu a z významu toho slova) samozřejmě veřejná.

Neexistuje důvod šetřit IP adresami.

NAT je nesmysl, který se používal v 90. až 10. letech, v dobách (očekávaného) totálního selhání IPv4. Pokud nějaký ISP používá takovou terminologii v roce 2023 (!), je třeba od něj utíkat sloními kroky.

Žiješ v jiném světě.

Teorie je to sice skvělá, ale praxe silně pokulhává.

Jo a tady se můžeš podívat, kolik chce měsíčně jeden z našich největších ISP za IPv6 /64 rozsah. A schválně si to přepočítej na /56 nebo /48.

[jejda]

OMG a je toto vůbec legální? wikipedie k tomu říká:

Žerty se liší od podvodů tím, že oběť se o vtipu dozví nebo je do něj zasvěcena, místo aby byla např. přemlouvána k předání peněz nebo jiných cenností.

[Jendа]

Není to pevný rozsah, jinak můžeš přes DHCP prefix delegation (nebo co se používá) dostat časem jiný? (což samozřejmě znamená opruz s konfigurací, pokud máš asi pevně nastavené podsítě, teda, pokud máš podsítě, když nemáš nic většího než /64)

Nicméně tohle se týká asi především ADSL, kde lze jednoduše změnit poskytovatele, ne? Jinde je to horší, když má člověk na výběr třeba dva (jiní fyzicky nejsou dostupní) a oba IPv6 neumí.

Není to pevný rozsah, jinak můžeš přes DHCP prefix delegation (nebo co se používá) dostat časem jiný? (což samozřejmě znamená opruz s konfigurací, pokud máš asi pevně nastavené podsítě, teda, pokud máš podsítě, když nemáš nic většího než /64)

To jsem nedal.

Ale mně nejde o to, jestli to přidělují pomocí PD nebo ti to dají na papíře a ty si to nakonfiguruješ staticky.

Mně jde o to, že pokud chceš mít /56, tak máš platit měsíčně 30668,8 Kč a pokud chceš dokonce /48 tak 7851212,8 Kč. Což mi přijde poněkud předražené.

A soudruzi z O2 (nějací dva magoři obchodníci) se nám skutečně před nějakou dobou pokusili tvrdit, že účtují 99 Kč (bez DPH) za jednu /64 na komerčním připojení. Tak jsme je tenkrát vyhodili.

[Radek]

Proč tak nutně chtít /56 rozsah? Jen mě to zajímá

[xxl]

Proto: https://www.ripe.net/publications/docs/ripe-690

[Radek]

Dobrý, to je doporučení pro operátory a teď potřeby pro koncáky.

[xxl]

Máš to tam napsané v odstavci Prefixy delší než /56.

[Jendа]

Aby mohl mít síť pro sebe a pro hosty a pro nedůvěryhodná zařízení a VPN a...

[Jendа]

Mně jde o to, že pokud chceš mít /56, tak máš platit měsíčně 30668,8 Kč

Odkazovaná stránka píše o pevném rozsahu. Je možné, že pokud ti stačí něco, co se může jednou za rok změnit, tak to je zadarmo. Minimálně měnící se /64 zadarmo bude, ne?

[Peter Golis]

Akurát že asi nebude s (D)DNS, takže je to na ...

[xxl]

Dynamická /64 patrně v ceně konektivity na ADSLku je. Ale jestli se z nich dá vymámit nějaký kratší prefix, to nevím. Ale kdo by chtěl platit v jejich zveřejněných cenách /56, že?

[Petr Maleček]

Není to šetření (nic neušetří, tu IP stejně rezervuje celou pro Tebe), ale je to z toho důvodu, že je to jednodušší z pohledu routování. Je jednodušší vyřešit NAT třeba na hraničním routeru (na hranici sítě), než IP adresu routovat až k Tobě na přípojku přes všechny aktivní prvky.