Pytanie ze świata IT (adresy IP)

[SkoczekPL]

Informatyków Ci u Nas dostatek - to mam pytanie.

Czy spotkał się ktoś z Was z takim "problemem"

Mam router 3G z Orange. I dzieje się jakaś głupota na nim.

Po restarcie oczywiście dostaję adres IP i przeważnie jest to 31.xx.xx.xx

Tak pokazują strony które wyłapują IP i tak pokazuje DynDns na stronie głównej (załozyłem usługe bo muszę nim zarządzać na odległość) ale.................

Jak wejdę na router i sprawdzę jego WAN IP to ono jest inne i przeważnie z zakresu 10.xx.xx.xx

I żeby wejść na niego używając adresu xxxxxx.dyndns.org to muszę ręcznie wpisywać na profilu DynDns mu ten adres WAN z routera

Ma ktoś pojęcie WTF ?

[mariusz_s]

Dzieje się tak jak jest wpisana zła nazwa APN lub zły numer dial. Ewentualnie takie jest widzimisię operatora. Kiedyś też tym walczyłem i też siecią Orange. Poddałem się i zrezygnowałem z tego rozwiązania.

[SkoczekPL]

Ooo cenna uwaga. Idę lookać - dziękuję

[Fox]

Adresy z puli 10.0.0.0/8 zgodnie z RFC zdaje się 1918 należą do puli prywatnej. Operator stosuje translację adresów prywatnych na publiczne właśnie ze wskazanej przez Ciebie puli 31.x.x.x. Jest to powszechna praktyka umożliwiająca "oszczędzanie" adresów publicznych ipv4, które jak powszechnie wiadomo już "się skończyły".

Odpowiadając na Twoje pytanie wyjścia masz 2:

a) jeżeli operator dopuszcza (wątpię) to żeby forwardował Ci konkretne porty z publicznego adresu na ten twój prywatny

zestawić i zaterminować gdzieś na publicznym adresie jakiś tunel GRE,IPSEC czy co tam chcesz i samemu sobie już tym zarządzać.

W razie potrzeby zapraszam na PW

edit - jak dobrze rozumiem jeśli wpiszesz w dynDNS numer, który pokazują Ci strony typu www.whatismyip.com to możesz się dostać z zewnątrz?

Edytowane 20 Grudnia 2013 przez Fox (wyświetl historię edycji)

[helmofon]

a jaki dostajesz adres na karcie sieciowej

[VDR]

Obawiam sie Rafał, ze po wpisaniu do DynDNS adresu 10.x.x.x dostep do routera masz tylko zza routera Jak ruszysz sie dalej poza siec to juz sie do niego nie dostaniesz. Nawet sie nie obawiam, jestem tego pewien. Dalej idac - ten router moze dostawac adres z puli prywatnej, natomiast Twoj komp moze dostawac adres z puli publicznej. Publiczne ktore dostales moga byc rutowane przez modem w glab sieci. To takie zaoszczedzenie paru IP z puli publicznej. I druga mozliwosc to taka o ktorej napisal Fox - po drodze NAT. Wtedy niewiele zdzialasz.

[Fox]

VDR - jestem w stanie sobie wyobrazić konfigurację z NAT'em 1:1 tylko poza specyficznymi sytuacjami (np oszczędzanie IP bo nie trzeba ciąć na klasy typu /30) było by to bez sensu. Nie wiem jak jest robiona ta usługa ale zakładam że to jakaś wariacja "ppp" więc adresy można by przydzielać jak leci bez dzielenia na podsieci.

Jak masz Skoczek jak zestawić z tego routera tunel to Ci go gdzieś zaterminuję i przekieruję co tam potrzebujesz.

Paweł

[Maćko]

To i ja dorzucę swoje 3 grosze. Nie da się zrobić na sieci 3g ani dyndns-a ani IPseca ani nic co jest związane z dostaniem się do urządzenia z sieci internet. Dzieje się tak dlatego, że adresy z puli 3g są nierutowalne...(i mimo że wyglądają jak publiczne są maskowane przez operatora i g... się da z tym zrobić)

Próbowałem kilka razy w pracy i niestety się nie dało zestawić na tym VPNa bo nie da się tego adresu nawet zapingować.

Skoczek - jeżeli się mylę będziesz mógł puścić pinga na twój publiczny adres z innej lokalizacji i coś się z tym wykombinuje.

@Fox

Ipki się jeszcze nie skończyły z IPV4, i jeszcze się przez jakiś czas nie skończą.

Jak składasz wniosek do RIPE o pulę adresów to musisz to baaaaaardzo dobrze uzasadnić. Największy problem jest z BGP bo on pracuje zazwyczaj na pełnej podsieci z klasy C czyli z maską 255.255.255.0

Sorry za off-top

[Maćko]

Jak masz Skoczek jak zestawić z tego routera tunel to Ci go gdzieś zaterminuję i przekieruję co tam potrzebujesz.

Paweł

Fox jak byś chciał to zrobić? wiesz...ciekawość

[Fox]

Np tak (uwaga wersja zakręcona - ale Ci z IT zrozumieją

Jeśli router MA możliwość zestawienia np openvpn

Na routerze klient openvpn łączący się do serwera gdzieś w internecie, który oczywiście posiada publiczny IP, tunel zaadresowany powiedzmy 10.0.10.10(klient) <- > 10.0.10.1 (serwer).

Na serwerze konfigurujesz DNAT z publicznego adresu serwera i portu np 8080 na adres 10.0.10.10 port 80 i gotowe - łącząc się na adres publiczny serwera na port 8080 trafiasz na router w domu na port 80

Trzeba oczywiście skonfigurować jeszcze odpowiednio serwer - np na linuxie forwarding itp - ale to tak poglądowo tylko piszę.

Sprawa konplikuje się trochę gdy router NIE ma możliwości zestawienia VPN - wtedy stawia się wewnątrz sieci , którą obsługuje router jakiś serwerek i z niego zestawia tunel do publicznego serwera. Konfiguracja na publicznym analogiczna, ale na "domowym" trzeba jeszcze raz zrobić DNAT powiedzmy ze wspomnianego wyżej 10.0.10.10:80 na adres od strony LAN routera (dajmy na to że sieć domowa to 192.168.0.0/24 i router ma 192.168.0.1 a domowy serwer 192.168.1.2) czyli DNAT na 192.168.0.1:80 i od razu wypadało by SNAT z 10.0.10.1 (końcówka tunelu po stronie publicznego serwera) na 192.168.0.1 (interfejs LAN domowego routera). Ten ostatni problem można też załatwić po prostu wpisem w tablicy routingu routera , tak aby znał trasę do sieci 10.0.10.0/24 poprzez domowy serwera, który ma po swojej stronie LAN - jak kto woli

Ogólnie nic skomplikowanego.

Paweł

ps. taki routerboard z Mikrotika załatwił by chyba wszystkie sprawy za jednym zamachem - i 3G by przyjął i VPN'a zestawił, DHCP rozdał po stronie lokalnej i "udostępnił" internet dla "domowników"

[VDR]

VDR - jestem w stanie sobie wyobrazić konfigurację z NAT'em 1:1 tylko poza specyficznymi sytuacjami (np oszczędzanie IP bo nie trzeba ciąć na klasy typu /30) było by to bez sensu.

Nie mowilem o NAT 1:1 ppp to point-to-point - polaczenie zestawione po prywatnych, ruch po prywatnych - a urzadzenie koncowe adres publiczny. Wtedy wszystko co po drodze ma prywatny i nie marnujesz adresow publicznych na urzadzenia ktore tylko niosa informacje (mowie o sieci wewnetrznej)

Nie da się zrobić na sieci 3g ani dyndns-a ani IPseca ani nic co jest związane z dostaniem się do urządzenia z sieci internet. Dzieje się tak dlatego, że adresy z puli 3g są nierutowalne..

Co do IP - wszystkie są rutowalne Co najwyżej pewne się filtruje na styku międzyoperatorskim bo są adresami z puli prywatnej. Ale przypadki, że ktoś rozgłosił były Dalej idąc - są operatorzy GSM, którzy dla końcowego klienta przydzielają publiczny adres IP - a przynajmniej były. Oczywiście dynamiczny ale można było na tym postawić bez problemu rejestrator z kamerami. Sprawdzone w praktyce - parę razy zestawiałem z użyciem właśnie dynDNS i podobnych na operatorach komórkowych. Niektórzy operatorzy dawali publiczny ale z blokadą portów i pewnie o tym przypadku teraz piszesz Jednym słowem w kierunku klienta porty poniżej < 1024 były cięte i postawienie ftp/mta/www etc nie działało. Ale wystarczyło zmienić operatora i vuala

Co do VPN - to ma prawo działać - ale połączenie IMHO jeśli będzie NAT powinien nawiązywać Skoczek (być klientem) do jakiegoś koncentratora VPN etc. aby na NAT zadziałała translacja i statefull inspection. W drugą stronę jeśli jest NAT możemy się rozbić o brak forwardu w kierunku Skoczka tych pakietów i d*pa blada. Zresztą FOX o tym napisał tylko faktycznie w wersji bardziej zakręconej Ja np. mam swój serwer z VPN SSL (portu 443 raczej w żadnej sieci nie blokują, chyba że filtrują w 7 warstwie ;P) i jak jestem gdzieś w hotelu etc. to zapinam sobie VPN i cały ruch idzie szyfrowany do mojego serwera i wychodzi do Internetu u mnie, tak jakbym siedział sobie w domku Jeszcze nie zdażyło mi sie bym gdzieś nie mógł zapiąć się po VPN (jedna uwaga - używać egzotycznych sieci prywatnych bo np. 192.168.0. 192.168.1 bardzo popularne, po VPN może dublować się z siecią prywatna do której się podpięlismy i jest lekki ból z tablica routingu ).

Edytowane 20 Grudnia 2013 przez VDR (wyświetl historię edycji)

[Maćko]

Ehh..stary dobry linux. czasy studiów i kombinacji.

Zrób coś takiego na Cisco ASA lub CheckPoincie

[VDR]

Ehh..stary dobry linux. czasy studiów i kombinacji.

Zrób coś takiego na Cisco ASA lub CheckPoincie

Checkpointa nie znam, na Cisco ASA do ogarniecia za pomocą tuneli site-to-site

Zresztą Cisco ASA ma VPN SSL i do tego klienta zwanego AnyConnect Też nie zdażyło się bym nie mógł się zapiąć Jest nawet apka na Androida - działająca

[Maćko]

Wszysto co piszesz o ASA się zgadza, ale nie wystawisz na świat na publicznym IPku czegoś co przychodzi tunelem na tym samym interfejsie. Proxy ARP (spoofing) Ci na to nie pozwoli. A ponadto jak zrobisz wtedy NATa na adres publiczny? Próbowałem kilka razy wystawić w świat serwer pracujący w lokalizacji zdalnej połączonej z HQ tunelem L2L na adresacji publicznej HQ. Impossible. Co ciekawe to działa gdy ten sam serwer wrzucam w inny tunel przechodzący przez HQ np do klienta.

Jak znasz sposób jak wystawić w świat coś co przychodzi VPNem z innej lokalizacji to daj znać na PW, pewnie mi się przyda.

A teraz koniec offtopa To forum o morszczynce a nie Cisco Forum

PS:

AnyConecta używam od 2 lat ;)Dobra sprawa zwłaszcza że IPsecowy klient się lubu wysypywać i mieszać zwłaszcza na x64 systemach

[VDR]

Wszysto co piszesz o ASA się zgadza, ale nie wystawisz na świat na publicznym IPku czegoś co przychodzi tunelem na tym samym interfejsie. Proxy ARP (spoofing) Ci na to nie pozwoli. A ponadto jak zrobisz wtedy NATa na adres publiczny? Próbowałem kilka razy wystawić w świat serwer pracujący w lokalizacji zdalnej połączonej z HQ tunelem L2L na adresacji publicznej HQ. Impossible. Co ciekawe to działa gdy ten sam serwer wrzucam w inny tunel przechodzący przez HQ np do klienta.

Jak znasz sposób jak wystawić w świat coś co przychodzi VPNem z innej lokalizacji to daj znać na PW, pewnie mi się przyda.

Tak na szybko bo przyznam sie ze nie chcialem analizowac za bardzo i dwa ze w zasadzie juz weekend

A co gdyby wykorzystac dwa fizyczne interface ktore sa w ASA - jeden interface jako WAN dla sieci lokalnej - w ogole do Internetu z NAT, drugi interface jako WAN dla tunelu site2site z ruta more specific do danej podsieci gdzie jest koniec tunelu tak aby ruch do tej sieci w internecie poszedl przez ten tunel (choc moze asynronicznie interfejsem do internetu z nonat by zadzialalo ;P). Ruch zawinac miedzy dwoma fizycznymi interface na ASA. Odpada problem ze ruch wpada do tunelu tym samym interface co internet w dodatku trzeba go zawinac na tym samym int aby zrobic NAT. Wydaje mi sie, ze to mogloby zadzialac Byc moze da sie tez prosciej ale nad tym by trzeba bylo podumac

A teraz koniec offtopa To forum o morszczynce a nie Cisco Forum

;) Skoczek zlapie sie za glowe jak mu kazemy wstawic ASE do FOXa, na serwerze u siebie zapiac linuxowego Anyconnecta i puscic ruch przez taki tunel ;P A dystrybutorzy sprzetu beda zacierac raczki

[Maćko]

Ale na obu interface byś musiał mieć tą samą podsieć publiczną - jedną dla Lan-to-internet a drugą dla tuneli VPN a jak zapewne wiesz nie da się przypisać tej samej sieci na 2 oddzielne interface. Chyba że podzielisz podsieć albo nadasz na każdym int IP z maską /32 ale tu znów pojawi się problem z default routem

Byc moze da sie tez prosciej ale nad tym by trzeba bylo podumac

Jestem trochę Cisco freak i wychodzę z założenia że na Cisco da się wszystko :D

[VDR]

Ale na obu interface byś musiał mieć tą samą podsieć publiczną - jedną dla Lan-to-internet a drugą dla tuneli VPN a jak zapewne wiesz nie da się przypisać tej samej sieci na 2 oddzielne interface. Chyba że podzielisz podsieć albo nadasz na każdym int IP z maską /32 ale tu znów pojawi się problem z default routem

Albo tylko polaczeniowka na adresach prywatnych /30 jesli ASA nie robi NAT i nie jest last GW. Jesli zas jest to default gw via interface z NAT, oraz statyczna routa do sieci gdzie jest drugi koniec tunelu via interface na ktorym idzie tunel. Tylko do zestawienia tunelu, choc mozliwe ze daloby rade zestawic asynchronicznie trase via gw default ale powrot juz via int wlasciwy. Zastanawiam sie czy nie daloby sie tego ozenic tez budujac subinterface pod odpowiednie vlan choc to wymagalo by wspolpracy z dostawca aby odpowiednio wpusci ruch w odpowiednie vlan Nie robilem takich kombinacji na ASA jeszcze wiec mozliwe ze jest jakis przelacznik ktory spowoduje ze ruch z tunelu zawinie na nat. O ile pamietam ruch z tunelu jest traktowany jakby szedl z pudelka, a moze to webportal ? Piatek wieczorem, forum morskie a tu dywagacje Wpadaj na zlot w Ustroniu to pogadamy

VDR by mobile

[Maćko]

Wlasnie doznałem oświecenia, pokombinowałem i da się to zrobić na ASIe

Yupi...

Kiedy zlot?

Edytowane 20 Grudnia 2013 przez Maćko (wyświetl historię edycji)

[Fox]

Heh, no to każdy się pochwalił i możemy zakończyć wykłady - pewnie 90% osób ominie ten wątek szerokim łukiem.

Maćko - zwróć uwagę że o skończeniu ipv4 napisałem w "" - taka wersja dla "typowych" użytkowników

możemy zrobić gdzieś alternatywny zlot dla geeków zresztą w marcu cisco forum jest w Zakopanem

Paweł

[SkoczekPL]

Moje CCNA już wygasło także nie wiem o czym piszecie heheh

Paweł dzięki za cenne rady i wyjaśnienie - pewnie jest tak jak mówisz z translacją adresów. Na razie na czas świąt zostawiam tego bubla w spokoju. Ale powiem Ci szczerze że lekko jestem zaskoczony taką manianą u operatora - jak to mówią człowiek uczy się całe życie

Oczywiście dziękuję wszystkim którzy zabrali tu głos - cenne uwagi naprawdę

EDIT:

edit - jak dobrze rozumiem jeśli wpiszesz w dynDNS numer, który pokazują Ci strony typu www.whatismyip.com to możesz się dostać z zewnątrz?

Nie. Z zewnątrz mogłem się dostać tylko jeśli do usługi dynDNS wpisywałem adres który pokazywał router (10.xx.xx.xx) a nie adres który był widoczny przez strony typu whatismyip czy adres który automatycznie odświeżał się w serwisie dynDNS po restarcie routera.

[Fox]

E tam maniana - z tego co piszesz (jak mówiłem nie znam konkretnie tej usługi) to dosyć typowe zachowanie.

Tak jak pisał Maćko czasy gdy udawało mi się wyrwać z ripe np /18 na "broadband internet" minęły bezpowrotnie

edit:

Jesteś absolutnie pewien że wpisując w dynDNS adres 10.xxx tak że Twoją domenę rozwiązywało właśnie do 10.x działało Ci z zewnątrz?

typowa odpowiedź powinna być że to nie ma prawa działać

odpowiedź prawdziwa jest taka że istnieją specyficzne warunki, w których mogło by to działać ale nie powinno, a tym bardziej z sieci innego operatora niż Orange..

najwyżej po świętach się zgadamy to zobaczę to na żywo

Edytowane 20 Grudnia 2013 przez Fox (wyświetl historię edycji)

[VDR]

E tam maniana - z tego co piszesz (jak mówiłem nie znam konkretnie tej usługi) to dosyć typowe zachowanie.

Tak jak pisał Maćko czasy gdy udawało mi się wyrwać z ripe np /18 na "broadband internet" minęły bezpowrotnie

czas na IPv6 -- 3ffe:42::dead:babe:face - fajne adresy mozna teraz robic ;P

Jesteś absolutnie pewien że wpisując w dynDNS adres 10.xxx tak że Twoją domenę rozwiązywało właśnie do 10.x działało Ci z zewnątrz?

typowa odpowiedź powinna być że to nie ma prawa działać

odpowiedź prawdziwa jest taka że istnieją specyficzne warunki, w których mogło by to działać ale nie powinno, a tym bardziej z sieci innego operatora niż Orange..

Paweł, ja sobie tych specyficznych warunków nie jestem w stanie wyobrazić - za duży splot okoliczności by musiał zaistnieć. Jedyna mozliwosc dzialania to z sieci operatora, ktora jestem w stanie sobie wyobrazic Choc niezbadane sa sciezki pakietow ;P

P.s Na CiscoForum parę razy byłem - może się minelismy ;P

[VDR]

Wlasnie doznałem oświecenia, pokombinowałem i da się to zrobić na ASIe

Yupi...

skrobnij na priv jak - nigdy nie wiadomo kiedy moze sie przydac

Kiedy zlot?

http://nano-reef.pl/topic/61600-zimowy-zlot-morszczakow-ustron-7-9-marca-2014/

[Fox]

czas na IPv6 -- 3ffe:42::dead:babe:face - fajne adresy mozna teraz robic ;P

Paweł, ja sobie tych specyficznych warunków nie jestem w stanie wyobrazić - za duży splot okoliczności by musiał zaistnieć. Jedyna mozliwosc dzialania to z sieci operatora, ktora jestem w stanie sobie wyobrazic Choc niezbadane sa sciezki pakietow ;P

P.s Na CiscoForum parę razy byłem - może się minelismy ;P

Cytując pewien film - wszystko się może zdarzyć - ale oczywiście nie powinno i taka sytuacja wynikała by z dość specyficznego zbiegu wydarzeń miała by ograniczony zakres i wynikała oczywiście z błędów w konfiguracji.

A na CF są jeszcze wolne miejsca na Early Bird - pierwsza setka (przynajmniej wczoraj były) Tylko po ostatnim spędzie ludzi (zdaje się że 1500 osób było?) zastanawiam się czy sobie nie odpuścić.

Paweł