Dotaz: Použiť dve brány(gateway)

[kysučan]

Páni, helfne mi s tým niekto? Mám BPi, sieť(ethernet) tam je nakonfiguroná cez netplan - ip_192.168.1.126, gw_192.168.1.1. Na tom BPi beží služba s dvoma otvorenými portami - 12110,12111. Na port 12110 sa z wan dostanem cez presmerovaný port na 192.168.1.1. Na sieti je ďalšia brána(router) - 192.168.1.252. Ako dosiahnem, aby som sa z wan dostal na port 12111(a všetok trafik s portu 12111 odchádzal) cez túto bránu? Niečo je tu tu, ale zatial mi to nefunguje.

---

---

Odpovědi

[pet I.]

Ten návod je ok, mal som tam chybu, takže ok. Ak sa dá, tak poprosím admina o delete.

[Andrej]

Návod rozhodně není OK, pokud opravdu popisuje něco jako „neveřejné“ „adresy“, přesměrování portů a podobné kolosální kraviny z dob (naštěstí) dávno minulých.

[Peter Golis]

To je veľmi kvaltovný názor. Ku podpore toho názoru si dovolím len dve otázky:

1. Ako sa dostať na adresy fe80:: (link-local) z internetu?
2. Koľko existuje zariadení IoT čo neporebujú byť schované vo vnútornej sieti?

[Heron]

1. Proč by to probůh chtěl někdo dělat, takový nesmysl z Marsu? Takovou otázku sis zjevně nepoložil. Zkus se zamyslet, proč pokus o pouhý ping na takovou adresu vyžaduje udání rozhraní. A pak se zamysli znova, proč ta adresa není a nemá být routovatelná.
2. 100%. Nic nepotřebuje být schované. Jak se správně píše v tom „manifestu“: záměrně rozbité routování není náhrada za firewall. Naopak, je to zbytečné riziko. Iluze zabezpečení je horší než absence zabezpečení.

[Peter Golis]

Ten "nezmysel" je stále súčasťou špecifikácie. A pobavil ma aj naivný názor že každé zariadenie IoT obsahuje firewall ktorý ho ochráni.

Teda ilúzia že zariadenie IoT je možné exponovať do divokého internetu ma pobavila ešte viacej. Hlavne ak sa z valnej väčšiny jedná o zariadenia ktorých SW podporu ukončili výrobcovia ešte pred uvedením daného tovaru na trh.

A potom sa človek diví, keď sa napríklad závory "samé" otvoria počas prejazdu vlaku.

[Andrej]

A pobavil ma aj naivný názor že každé zariadenie IoT obsahuje firewall ktorý ho ochráni.

Pobavil tě tvůj vlastní výmysl. Nic takového jsem nikde netvrdil.

ABCLinuxu klasika: vymýšlet si pičovinošulinokokotiny a tvrdit, že je tvrdil někdo jiný. Kdy už tenhle zlozvyk půjde do prdele?

Teda ilúzia že zariadenie IoT je možné exponovať do divokého internetu ma pobavila ešte viacej.

IoT je koncept, který vyžaduje IPv6. Bez IPv6 není IoT. O čem to tady divoce meleš? To snad ne.

Hlavne ak sa z valnej väčšiny jedná o zariadenia ktorých SW podporu ukončili výrobcovia ešte pred uvedením daného tovaru na trh.

Tak si takové zařízení nekupuj.

A potom sa človek diví, keď sa napríklad závory "samé" otvoria počas prejazdu vlaku.

Podepiš petici „za veřejné peníze veřejný kód“.

A závory mají být samozřejmě na IPv6. Ten incident, který zmiňuješ, neměl s IPv6 nic společného, že jo.

[Peter Golis]

A existujú nejaké zariadenia IoT ktoré majú plnú bezpečnostnú podporu a dokážu sa ubrániť voči bežným útokom že by nemali byť chránené v DMZ?

Tým ovšem nemyslím nejaký kompletný mikropočítač, ale myslím tým niečo čo je schopné bežať na vstavanú baterku niekoľko rokov. Napríklad diaľkový merák spotrebovanej energie s rádiovým odpočtom, alebo niečo podobné.

[Andrej]

Zařízení mají být za firewallem. (Side Note: Síťový odpad typu NAT není, nebyl a nebude firewall.)

DMZ je (nebo spíš byla, v divokých 90. letech) nechráněná část sítě, což je v tomto kontextu úplně mimo.

V éře IoT zatím nejsme. Až tam budeme, předpokládám, že zařízení budou mít rozumnou dobu podpory. Ideál by samozřejmě bylo zařízení s funkcemi (podmnožinami protokolů) omezenými natolik, že by se chování jeho síťového stacku dalo komplet formálně verifikovat. Tam ale (vzdor přehršli akademických publikací) taky zatím nejsme, pokud jde o běžnou praxi.

[Peter Golis]

Čiže človek si má exponovať akékoľvek zariadenie do divokého internetu, aby ho z toho internetu odstrihol cez Firewall. To znie na jednu stranu ako veľmi potrebná, a na druhú stranu ako veľmi zbytočná i keď stále komplikácia.

Éra IoT je tu už dávno len niekto zaspal dobu. Do IoT sa rátajú aj napríklad kamery strážiace hranice. Zjavne boli exponované, s plnou podporou a kvalitným firewallom. Sú aj iné IoT mňamky.

[Andrej]

Čiže človek si má exponovať akékoľvek zariadenie do divokého internetu…

Cože? Zase halucinace? Takovou pičovinu řekl kdo + kdy + kde? Prosím citaci. Nebo jde o obtíže v oblasti porozumění psanému textu? Fakt už nevím.

…aby ho z toho internetu odstrihol cez Firewall.

Cože? A co je firewall, to chápeš? A že jde o samozřejmost, ne o odstřižení, chápeš? Jo? Ne? Nevím.

Slupky cibule? Ha? Rings the bell?

To znie na jednu stranu ako veľmi potrebná, a na druhú stranu ako veľmi zbytočná i keď stále komplikácia.

Ne. Zbytečná, hloupá a nebezpečná komplikace byl v 90. letech NAT. Nemáme 90. léta. Máme rok 2025. Používáme normální firewall, ne NAT sračku. (To má opravdu dneska někdo ve své vnitřní síti povolený IPv4? Tak ať se tím raději nechlubí.)

Éra IoT je tu už dávno len niekto zaspal dobu.

Prdlajs.

A ještě to tvrdí někdo, kdo nechápe, co je firewall. Porozumění pojmu IoT taky dost hapruje.

Ty kamery se nějak řídily principem „za veřejné peníze veřejný kód“? Jestli ne, není se o čem bavit.

[Peter Golis]

Cože? Zase halucinace?

Takže IPv6 sa nenasadzuje aby boli všetky interfejsy dostupné odvšadiaľ? To mi je novinka.

A co je firewall, to chápeš?

To je zariadenie alebo služba ktorá blokuje konekcie tak, ako to vo východzom stave rieši vnútorná sieť.

Ty kamery se nějak řídily principem „za veřejné peníze veřejný kód“?

On si niekto dokáže predstaviť že všetko platené z daní má mať zverejnený kód? Ak by taká naivita existovala, tak si pozriem napríklad firmware akéhokoľvek radaru protivzdišnej obrany. Sem s ním.

[Andrej]

Takže IPv6 sa nenasadzuje aby boli všetky interfejsy dostupné odvšadiaľ? To mi je novinka.

Takovou kravinu sis fakt někdy myslel, nebo už jenom vaříš z vody a plácáš náhodné nesmysly?

Jasně, to víš, hlavně ten loopback by měl být dostupný odevšad…

A co je firewall, to chápeš?

To je zariadenie alebo služba ktorá blokuje konekcie tak, ako to vo východzom stave rieši vnútorná sieť

Takže nechápeš. Přesně podle očekávání.

Neřeší.

Hlavně ne ve výchozím stavu, ve kterém žádná vnitřní síť neexistuje.

On si niekto dokáže predstaviť že všetko platené z daní má mať zverejnený kód?

Ano. Pokud mu nechybí představivost. Už Turing si to dokázal nejen představit, ale dokonce ve svých slavných větách dokázal, proč to tak může a má být.

Ak by taká naivita existovala, tak si pozriem napríklad firmware akéhokoľvek radaru protivzdišnej obrany. Sem s ním.

Netušíš, která bije. Už zase.

Security through obscurity nefunguje a nikdy fungovat nebude.

Radar, u kterého by se dal zveřejnit kód a nechat tím pádem kód auditovat širokou komunitou lidí z různých oblastí informatiky a informační bezpečnosti, by byl nesrovnatelně bezpečnější než všechna obscure closed-source řešení dohromady.

[Peter Golis]

Takovou kravinu sis fakt někdy myslel, nebo už jenom vaříš z vody a plácáš náhodné nesmysly?

Tak povedz jeden jediný dôvod prečo by sa vôbec oplatilo IPv6. Ak to nie je eliminácia potreby NAT a segmentovania siete ktorou sa oháňaš, tak ti naozaj nie je rozumieť.

Netušíš, která bije. Už zase.

Zhodou okolností bol prevádzkovateľ jedného podobného radaru pekne spucovaný auditormi cca pol roka dozadu. Bavil som sa o tom s nimi, presnejšie povedané na nich.

Radar, u kterého by se dal zveřejnit kód a nechat tím pádem kód auditovat širokou komunitou lidí z různých oblastí

Tak sem s tými zdrojákmi, šup šup. Ukáž sa že máš pravdu a netliachaš zas nezmysly.

[Andrej]

Zas kraviny. U radaru máš problém s chápáním psaného textu. Tak šup šup, ještě jednou přečíst, co přesně jsem psal.

Jestli nechápeš význam IPv6, tedy v podstatě internetu, doporučuji napsat domácí úkoly, vyčůrat a spát. Toto už fakt nemá smysl.

Je super, že tě pobavili údajní auditoři a tvá údajná komunikace s nimi. (Ze které přesně instituce byli, což?) Široké okolí zase baví tvé šílené výstupy tady. Asi máš příliš volného času nebo tak.

Dám ti radu nad zlato: V tom volném čase méně piš a víc čti. Pomáhá to. Prospívá to.

[Peter Golis]

Ja plne chápem význam IPv6 a jeho výhody. Prvou výhodou je že odbúrava potrebu ICMP, takže je bezstavový. A nemáš pri ňom záruku či packet dorazil do cieľa včas, alebo vôbec. Druhá výhoda je v tom, že odbúrava potrebu VPN, a exponuje sieťové rozhrania úplne všade, to má za následok potrebu prudších firewallov.

Ale s5 ku tvojmu tvrdeniu Že za verejné peniaze má byť k´od verejný. Chceš tvrdiť že radar PVO alebo obyčajnej letovej prevádzky sa nekupuje z daní, teda za verejné peniaze? Alebo že má výnimku z tebou definovaného pravidla lebo každé pravidlo má výnimku?

Výnimky majú len neplatné pravidlá. Tak šup šup, daj sem link na tie zdrojáky radaru PVO. Alebo si daj pauzu skôr ako kompletne vyhoríš po psychickej stránke.

[Andrej]

Ja plne chápem význam IPv6 a jeho výhody.

Ale hovno.

Prvou výhodou je že odbúrava potrebu ICMP, takže je bezstavový.

Naprostý nesmysl. Kolosální, totální, apokalyptický nesmysl. N.e.s.m.y.s.l. Zase netušíš, která blije. Netušíš, co je ICMP(v6). A tak dále. A tak podobně.

A nemáš pri ňom záruku či packet dorazil do cieľa včas, alebo vôbec. Druhá výhoda je v tom, že odbúrava potrebu VPN, a exponuje sieťové rozhrania úplne všade, to má za následok potrebu prudších firewallov.

Extrémní, totální, šokující nepochopení, jak tenhle vesmír vůbec funguje. To. Snad. Ne. Zoufalé nepochopení, co je to TCP, jak to funguje a proč se ví, co (včas) dorazilo, (téměř) bez ohledu na „verzi IP“…

Druhá výhoda je v tom, že odbúrava potrebu VPN, a exponuje sieťové rozhrania úplne všade, to má za následok potrebu prudších firewallov.

Co bereš? Pochlub se. Takový materiál snad ještě svět neviděl. Podle mě jenom trolluješ a plácáš schválně náhodné nesmysly.

Přiznej se: Že jsi ten první odstavec nechal vygenerovat AI, se zadáním „napiš co nejtupější kravinu s maximálním počtem totálních nepravd“?

Výnimky majú len neplatné pravidlá. Tak šup šup, daj sem link na tie zdrojáky radaru PVO. Alebo si daj pauzu skôr ako kompletne vyhoríš po psychickej stránke.

Nezbývá než připomenout tvůj problém: Nechápeš psaný text. Takže znova: Zascrolluj si o pár příspěvků zpátky a zkus konečně pochopit, co jsem psal. Přečti si to jako ve slabikáři: E-ma me-le sa-do ma-so. Zkus to pochopit. Rinse and repeat. Třeba se to na desátý pokus podaří.

Nepodsouvej mi kraviny, které sis sám vymyslel a které jsem já nikdy nikde nepsal, a nezkoušej po mně chtít zdůvodnění tvých vlastních kravin.

Za veřejné peníze má být veřejný kód. Že to mu tak (zatím) často není, to je zásadní chyba, která má negativní vliv na bezpečnost, nikoliv pozitivní, jak si někteří méně důvtipní lidé mylně představují.

[Want]

Tak už víš proč?

[Peter Golis]

Zvýšenie priepustnosti pri IPv6 sa dosahuje práve bezstavovosťou, ako u UDP. S tebou je to ako keď človek hádže hrocha na stenu.

[xxl]

Co hulíš? To musí být fakt kvalitní matroš...

[Andrej]

Ty jsi ale výstavní hlupák. To se nevidí. Co to vůbec zkoušíš blábolit? Náhodný trolling nebo co?

Popiš mi tu souvislost jakési propustnosti (co to je? když se někomu daří mohutně chcát?) s bezestavovostí (co to je? když si nešňupneš toho, co obvykle šňupeš)?

Jak můžeš být tak extrémně mimo a ještě to okázale zveřejňovat? Už to prostě zabal, zruš, típni. Nemá to cenu.

[Peter Golis]

Ak ťa správne rozumiem, tak IPv6 spasí svet a nastolí svetový mier. A kto to nechápe, ten je mimo realitu.

Skús si prečítať ešte raz čo som písal, a možno pochopíš. Možno na druhý krát, možno na stý krát alebo ti to bude trvať dlhšie.

[Andrej]

Ak ťa správne rozumiem, tak IPv6 spasí svet a nastolí svetový mier. A kto to nechápe, ten je mimo realitu.

Jestli ti správně rozumím, máš už zase (pořád) problém pochopit jednoduchý psaný text. Zase mi přisuzuješ kravinu, kterou jsem nikde netvrdil.

Ono je to mnohem jednodušší: IPv6 se už dávno dostal do fáze, kdy je v podstatě synonymem pro „internet jako takový“. Svět tedy nespasí, nýbrž je jedním z jeho základních pilířů.

Skús si prečítať ešte raz čo som písal, a možno pochopíš. Možno na druhý krát, možno na stý krát alebo ti to bude trvať dlhšie.

Hele, nezkoušej po mně hloupě opakovat fráze jako pětiletý fracek. Byl jsi to ty, kdo tu předvedl tirádu šílených blábolů, neznalostí a nepochopení psaného textu. Fantazie o bezestavovosti, fantazie o absenci ICMP, fantazie o tomhle, fantazie o tamtom — jenom realita ti uniká.

[Peter Golis]

Ono je to mnohem jednodušší: IPv6 se už dávno dostal do fáze, kdy je v podstatě synonymem pro „internet jako takový“.

Keď som sa prihlásil na akýkoľvek free public wifi hotspot, tak tam IPv6 nebolo. Bol tam ale internet. Mám si kúpiť dátový paušál a smartfón aby si mal pravdu aspoň raz v živote?

[Andrej]

Bol tam ale internet.

Jo takhle. A hned potom Červená karkulka snědla vlka.

Mám si kúpiť dátový paušál a smartfón aby si mal pravdu aspoň raz v živote?

Souvislost…? Zase chybí, což?

Pravdu mám vždy, takže aspoň jednou je triviálně splněno.

[kysučan]

Predsa len sa ešte opýtam, ako by mal vyzerať netplan config pre:

ip route add default table FIXED via 192.168.1.252

network:
  version: 2
  renderer: networkd
  ethernets:
    end0: # Change this to your ethernet interface
      addresses:
      - 192.168.1.126/24
      routes:
      - to: default
        via: 192.168.1.1
      routing-policy:
      - from: 192.168.1.0/24
        table: 200
        mark: 42
      nameservers:
       addresses:
         - 192.168.1.252
         - 8.8.8.8

[kysučan]

Funguje mi to s týmto:

routes:
      - to: default
        via: 192.168.1.252
        table: 200
      - to: default
        via: 192.168.1.1

[kysučan]

Ešte jeden dotaz, čo sa bude diať, ak použijem len jeden port presmerovaný na oboch routroch. Ak pôjdem z wan cez ...1.1, odpoveď pôjde cez ...1.1, alebo cez ...1.252?

[X]

Tohle bude fungovat:

1.126:12110 ---- 1.1:1234
1.126:12111 ---- 1.252:1234

Tohle nejde:

1.126:12110 ---- 1.1:1234
1.126:12110 ---- 1.252:1234

[kysučan]

Ok, a posledný dotaz - ktorý hw sa stará o pridávanie tých markerov, cpu? Môže byť potom,v prípade vysokého trafiku, cpu znatelne zaťažené?

[X]

Taky bych to videl na CPU. Hlavne znackovat nemusis nic. Nikdo ti nebrani mit na jedne sitovce dve IP adresy ze stejneho rozsahu a kazdou routovat jinam. Aplikace muze poslouchat na obou a cislo portu nebude hrat zadnou roli.

[kysučan]

Netplan conf by sa nenašiel?

[X]

network:
  version: 2
  renderer: networkd
  ethernets:
    end0:
      addresses:
        - 192.168.1.126/24
        - 192.168.1.127/24
      routes:
        - to: default
        via: 192.168.1.1
        - to: 192.168.1.127
        via: 192.168.1.252
      nameservers:
       addresses:
         - 192.168.1.252
         - 8.8.8.8

[kysučan]

nefunkčné...na ...1.252 mám presmerovaný port na ...1.27, ale sa naň nepripojím. Lokálne tie adresy fungujú.

[kysučan]

... mám presmerovaný port na ...1.127

[X]

Zjednodusene by to melo vytvorit statickou cestu pro 1.127. Vidis to v 'ip r' vystupu? Aplikace posloucha na obou IP, 'netstat -an'? Pakety odchazeji a prichazeji, 'tcpdump -n -i end0 host 192.168.127'? Branu 1.252 pingnes?

Nejsem kouzelnik a nic nefunguje "samo"..

[kysučan]

No neviem, tá routa by mala byť skôr na wan IP, z ktorej nadväzujem spojenie - tak mi to funguje s tým(logicky), že sa ale nedostanem z wan cez gw ...1.1. Ale to je už jedno.

Jeden návod je ešte tu

- to by malo fungovať tak, že odkial to spojenie príde, tadial odíde(ale tiež sa využívajú markery).

[X]

tá routa by mala byť skôr na wan IP, z ktorej nadväzujem spojenie

To si nemyslim. Router ma 1.0/24 primo pripojene na interface na ktery to posle, nic se neroutuje a na WAN je to jen premaskovane(DNAT).

Ta staticka routa slouzi k tomu, ze se odpoved misto na default posle na druhy router, ktery to posle ven a naopak. To je to co chces. Nevidim problem. Nedodal si zasny vystup, nevim.

[kysučan]

Ďakujem za ochotu pomôcť, ale už je to v stave "ako tak chápem".

[Peter Golis]

Závisí od toho, ktorý model to je. Pri modeli Banana Pi BPI-R4 Router board kam sa zmesia 2x 10G SFP by som pochyboval že to robí CPU a nedeleguje sa to na interný switch. Hlavne ak ten model má aj 36Gbps Wi-Fi 7.

[kysučan]

To bola skôr všeobecná otázka, testujem to na BPi_M2+, ak sa to osvedčí tak to pôjde možno na RPi4.

[Peter Golis]

Ona to bola všeobecná odpoveď. Ak to má v sebe viacej portov vedľa seba, tak je silno pravdepodobné že je tam prifláknutý regulérny sieťový switch ktorý si vie sám riešiť kadejaké VLAN-y, Routing-y a iné cudzie slovíčka.

Tým viac portov ovšem nemyslím len nejaké dva osamelé kúsky vedľa seba.

[Heron]

Co je tohle za zoufalství z divokých 90. let?

Je rok 2025. IPv6. IPv6. IPv6. IPv6. IPv6. IPv6. IPv6. IPv6. IPv6. IPv6.

[kysučan]

U nás IPv6? A doma sú všetci zdraví?

[Andrej]

Tohle bude komentář z roku 2005, který se omylem objevil v roce 2025. Jinak to není možné.

Zprávy posíláš poštovním holubem, nebo už jsi přešel na telegraf?

Bez IPv6 nemáš internet. Když nemáš internet, k čemu chceš bránu nebo vrata? Použij prostě psací stroj.

[kysučan]

Prepáčte pán velkomožný, že nepoužívame tóó onééé IPv6, ale je tam strašne veľa dvojbodiek.

[Andrej]

Huh? Nepoužívat internet (== IPv6) je dosti hloupé rozhodnutí.

[_]

IPv4 je tak moc internet, že už to ani víc internet být nemůže. Takže klid.