Dotaz: Použiť dve brány(gateway)

[kysučan]

Páni, helfne mi s tým niekto? Mám BPi, sieť(ethernet) tam je nakonfiguroná cez netplan - ip_192.168.1.126, gw_192.168.1.1. Na tom BPi beží služba s dvoma otvorenými portami - 12110,12111. Na port 12110 sa z wan dostanem cez presmerovaný port na 192.168.1.1. Na sieti je ďalšia brána(router) - 192.168.1.252. Ako dosiahnem, aby som sa z wan dostal na port 12111(a všetok trafik s portu 12111 odchádzal) cez túto bránu? Niečo je tu tu, ale zatial mi to nefunguje.

---

---

Odpovědi

[pet I.]

Ten návod je ok, mal som tam chybu, takže ok. Ak sa dá, tak poprosím admina o delete.

[Andrej]

Návod rozhodně není OK, pokud opravdu popisuje něco jako „neveřejné“ „adresy“, přesměrování portů a podobné kolosální kraviny z dob (naštěstí) dávno minulých.

[Peter Golis]

To je veľmi kvaltovný názor. Ku podpore toho názoru si dovolím len dve otázky:

1. Ako sa dostať na adresy fe80:: (link-local) z internetu?
2. Koľko existuje zariadení IoT čo neporebujú byť schované vo vnútornej sieti?

[Heron]

1. Proč by to probůh chtěl někdo dělat, takový nesmysl z Marsu? Takovou otázku sis zjevně nepoložil. Zkus se zamyslet, proč pokus o pouhý ping na takovou adresu vyžaduje udání rozhraní. A pak se zamysli znova, proč ta adresa není a nemá být routovatelná.
2. 100%. Nic nepotřebuje být schované. Jak se správně píše v tom „manifestu“: záměrně rozbité routování není náhrada za firewall. Naopak, je to zbytečné riziko. Iluze zabezpečení je horší než absence zabezpečení.

[Peter Golis]

Ten "nezmysel" je stále súčasťou špecifikácie. A pobavil ma aj naivný názor že každé zariadenie IoT obsahuje firewall ktorý ho ochráni.

Teda ilúzia že zariadenie IoT je možné exponovať do divokého internetu ma pobavila ešte viacej. Hlavne ak sa z valnej väčšiny jedná o zariadenia ktorých SW podporu ukončili výrobcovia ešte pred uvedením daného tovaru na trh.

A potom sa človek diví, keď sa napríklad závory "samé" otvoria počas prejazdu vlaku.

[Andrej]

A pobavil ma aj naivný názor že každé zariadenie IoT obsahuje firewall ktorý ho ochráni.

Pobavil tě tvůj vlastní výmysl. Nic takového jsem nikde netvrdil.

ABCLinuxu klasika: vymýšlet si pičovinošulinokokotiny a tvrdit, že je tvrdil někdo jiný. Kdy už tenhle zlozvyk půjde do prdele?

Teda ilúzia že zariadenie IoT je možné exponovať do divokého internetu ma pobavila ešte viacej.

IoT je koncept, který vyžaduje IPv6. Bez IPv6 není IoT. O čem to tady divoce meleš? To snad ne.

Hlavne ak sa z valnej väčšiny jedná o zariadenia ktorých SW podporu ukončili výrobcovia ešte pred uvedením daného tovaru na trh.

Tak si takové zařízení nekupuj.

A potom sa človek diví, keď sa napríklad závory "samé" otvoria počas prejazdu vlaku.

Podepiš petici „za veřejné peníze veřejný kód“.

A závory mají být samozřejmě na IPv6. Ten incident, který zmiňuješ, neměl s IPv6 nic společného, že jo.

[kysučan]

Predsa len sa ešte opýtam, ako by mal vyzerať netplan config pre:

ip route add default table FIXED via 192.168.1.252

network:
  version: 2
  renderer: networkd
  ethernets:
    end0: # Change this to your ethernet interface
      addresses:
      - 192.168.1.126/24
      routes:
      - to: default
        via: 192.168.1.1
      routing-policy:
      - from: 192.168.1.0/24
        table: 200
        mark: 42
      nameservers:
       addresses:
         - 192.168.1.252
         - 8.8.8.8

[kysučan]

Funguje mi to s týmto:

routes:
      - to: default
        via: 192.168.1.252
        table: 200
      - to: default
        via: 192.168.1.1

[kysučan]

Ešte jeden dotaz, čo sa bude diať, ak použijem len jeden port presmerovaný na oboch routroch. Ak pôjdem z wan cez ...1.1, odpoveď pôjde cez ...1.1, alebo cez ...1.252?

[X]

Tohle bude fungovat:

1.126:12110 ---- 1.1:1234
1.126:12111 ---- 1.252:1234

Tohle nejde:

1.126:12110 ---- 1.1:1234
1.126:12110 ---- 1.252:1234

[kysučan]

Ok, a posledný dotaz - ktorý hw sa stará o pridávanie tých markerov, cpu? Môže byť potom,v prípade vysokého trafiku, cpu znatelne zaťažené?

[X]

Taky bych to videl na CPU. Hlavne znackovat nemusis nic. Nikdo ti nebrani mit na jedne sitovce dve IP adresy ze stejneho rozsahu a kazdou routovat jinam. Aplikace muze poslouchat na obou a cislo portu nebude hrat zadnou roli.

[kysučan]

Netplan conf by sa nenašiel?

[X]

network:
  version: 2
  renderer: networkd
  ethernets:
    end0:
      addresses:
        - 192.168.1.126/24
        - 192.168.1.127/24
      routes:
        - to: default
        via: 192.168.1.1
        - to: 192.168.1.127
        via: 192.168.1.252
      nameservers:
       addresses:
         - 192.168.1.252
         - 8.8.8.8

[kysučan]

nefunkčné...na ...1.252 mám presmerovaný port na ...1.27, ale sa naň nepripojím. Lokálne tie adresy fungujú.

[kysučan]

... mám presmerovaný port na ...1.127

[X]

Zjednodusene by to melo vytvorit statickou cestu pro 1.127. Vidis to v 'ip r' vystupu? Aplikace posloucha na obou IP, 'netstat -an'? Pakety odchazeji a prichazeji, 'tcpdump -n -i end0 host 192.168.127'? Branu 1.252 pingnes?

Nejsem kouzelnik a nic nefunguje "samo"..

[kysučan]

No neviem, tá routa by mala byť skôr na wan IP, z ktorej nadväzujem spojenie - tak mi to funguje s tým(logicky), že sa ale nedostanem z wan cez gw ...1.1. Ale to je už jedno.

Jeden návod je ešte tu

- to by malo fungovať tak, že odkial to spojenie príde, tadial odíde(ale tiež sa využívajú markery).

[X]

tá routa by mala byť skôr na wan IP, z ktorej nadväzujem spojenie

To si nemyslim. Router ma 1.0/24 primo pripojene na interface na ktery to posle, nic se neroutuje a na WAN je to jen premaskovane(DNAT).

Ta staticka routa slouzi k tomu, ze se odpoved misto na default posle na druhy router, ktery to posle ven a naopak. To je to co chces. Nevidim problem. Nedodal si zasny vystup, nevim.

[kysučan]

Ďakujem za ochotu pomôcť, ale už je to v stave "ako tak chápem".

[Peter Golis]

Závisí od toho, ktorý model to je. Pri modeli Banana Pi BPI-R4 Router board kam sa zmesia 2x 10G SFP by som pochyboval že to robí CPU a nedeleguje sa to na interný switch. Hlavne ak ten model má aj 36Gbps Wi-Fi 7.

[kysučan]

To bola skôr všeobecná otázka, testujem to na BPi_M2+, ak sa to osvedčí tak to pôjde možno na RPi4.

[Peter Golis]

Ona to bola všeobecná odpoveď. Ak to má v sebe viacej portov vedľa seba, tak je silno pravdepodobné že je tam prifláknutý regulérny sieťový switch ktorý si vie sám riešiť kadejaké VLAN-y, Routing-y a iné cudzie slovíčka.

Tým viac portov ovšem nemyslím len nejaké dva osamelé kúsky vedľa seba.

[Heron]

Co je tohle za zoufalství z divokých 90. let?

Je rok 2025. IPv6. IPv6. IPv6. IPv6. IPv6. IPv6. IPv6. IPv6. IPv6. IPv6.

[kysučan]

U nás IPv6? A doma sú všetci zdraví?

[Andrej]

Tohle bude komentář z roku 2005, který se omylem objevil v roce 2025. Jinak to není možné.

Zprávy posíláš poštovním holubem, nebo už jsi přešel na telegraf?

Bez IPv6 nemáš internet. Když nemáš internet, k čemu chceš bránu nebo vrata? Použij prostě psací stroj.

[kysučan]

Prepáčte pán velkomožný, že nepoužívame tóó onééé IPv6, ale je tam strašne veľa dvojbodiek.

[Andrej]

Huh? Nepoužívat internet (== IPv6) je dosti hloupé rozhodnutí.