Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu

Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #75 kdy: 29. 05. 2020, 22:55:40 »
Mozna bych tomu ISP poslal odkaz na tuhle diskuzi.
Treba by jim pak doslo, ze to neokecaji nesmyslama....

Teda jestli si nepodepsal se smlouvou i nejaky NDA o kterym nevis a tady ho porusujes a priznavas se k tomu :-D


M_D

  • ****
  • 319
    • Zobrazit profil
    • E-mail
Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #76 kdy: 30. 05. 2020, 10:15:07 »
Popis na jejich webu daného problému je zde: https://wiki.mikrotik.com/wiki/Hairpin_NAT
To je dobrý začátek. Ještě kdyby někdo měl návod, jak se to nakliká ve WinBoxu, myslím, že by to mělo větší naději na úspěch.
Blbý je, že to pokud neznáš reálii daného zapojení u ISP, tak to naslepo úplně napsat nejde, když nevíš IP rozsahy, použité interfejsy. Jen obecně princip, což je na té wikině, to si je třeba přizpůsobit. U Mikrotiku k tomu byla ještě jedna stránka pro blbější, ale nejde dohledat. To by muel tazatelasoň přihodit traceroute 8.8.8.8 od sebe a souseda, pro inspiraci.

Add to obětovat 4 večejné IP adresy (/30) kvůli zákazníkovi se nechce. Tohle bývá důvod, zvláště pokud to vypadá, že celý veřejný rozsah daného ISP je jendo /24. Ale k tomu dochází, pokud stavíš síť operátora jako normální sít koncovou a ne jako přístupovou. Při správně udělané přístupové síti spotřebuji přesně jednu IPv4 adresu na zákazníka a ne /30. Rozsah /30 si můžu dovolit i firemní přípojky za jinou cenu. Dle pohledu to vypadá, pokud jde o Comfeel s.r.o., že jde o typického ISP okresního formátu bezdrátového typu, co z malého nadšení OSVČ vyrostl do s.r.o s okresního rozsahu a vedle ISPíkařiny má i další činnosti, takže to už bude víc jak one-man-show, tak snad se podaří. :-)

Takovýchto je v republice. A v řadě míst není moc co jiného na výběr. Ale s většinou se dá domluvit. Ale je fakt, že u řady to nakonec dopadlo tak, že tady máte přihlášení na winbox, nastav si to a my se na to podíváme - a od té doby to používají. :-)
Jinak k tomu NAT 1:1 pro doručování veřejné IPv4 adresy k zákazníkovi. Upřimně, tato technika se používá běžně i u ISP, co jsou velikostně 100k+ zákazníků. A v poslední době jsme musel řešit i pár přípojek v sousedním Německu - i ve starých zemích, jako firemní přípojku sehnat něco, kde dostanu pevnou veřejnou IPv4 adresu až na pobočkový router, tak to je dneska někde zázrak. A další země, .... NO COMMENT

Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #77 kdy: 30. 05. 2020, 21:01:16 »
Mozna bych tomu ISP poslal odkaz na tuhle diskuzi.

To si nemyslím že je nejlepší nápad :D Neznám jeho ego, ale obecně když odborníkovi radí BFU, tak to odborník nenese dobře.

Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #78 kdy: 30. 05. 2020, 21:02:42 »
Je tu někdo, kdo dokáže popsat, jak ten hairpin NAT na Mikrotiku nastavit? :-) Třeba kdyby to pan majitel dostal i s návodem, přesvědčilo by ho to, že to jde…

Návod by byl nejlepší, jen to musí fungovat! Protože co se stane když ne? Tím ho utvrdím v tom, že on má celou dobu pravdu. Hlavně tím co odpověděl tak jestli v hlavě už nemá od počátku chybnou konfiguraci a tu by mi tam prostě prsknul. A když ho ukecám k tomu, aby to nastavil, tak nejsem schopen mu kouknout přes rameno a už vůbec to zkontrolovat, respektive otevřu u sebe prohlížeč zadám doménu a co když to nepůjde ani po tom co mi bude tvrdit, že to nastavil?



Ještě je tu malá naděje, že pan majitel už sítě tolik neřeší a spravuje to nějaký zaměstnanec, který tomu rozumí lépe…
S jedním zaměstnancem jsem se seznámil, když mi zapojoval internet a jsme domluvení na pondělí nebo středu, že mi změní ten jejich mikrotik na půdě, aby fungoval jako router, tak zkusím jaký má práva.

Z mýho d-linku bude jen wifi AP. Mimochode, vlastnost co se mi na tom D-linku líbí, že jde nastavit zapínání a vypínání wifi v určitý čas, takže na noc nám nezáří wifi. Což by šlo vlastně zařídit i spínačkama, když bude suspendován.
« Poslední změna: 30. 05. 2020, 21:05:17 od h4kuna »

Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #79 kdy: 30. 05. 2020, 21:52:30 »
Návod by byl nejlepší, jen to musí fungovat! Protože co se stane když ne? Tím ho utvrdím v tom, že on má celou dobu pravdu. Hlavně tím co odpověděl tak jestli v hlavě už nemá od počátku chybnou konfiguraci a tu by mi tam prostě prsknul. A když ho ukecám k tomu, aby to nastavil, tak nejsem schopen mu kouknout přes rameno a už vůbec to zkontrolovat, respektive otevřu u sebe prohlížeč zadám doménu a co když to nepůjde ani po tom co mi bude tvrdit, že to nastavil?
Ona ta konfigurace není nijak složitá. Jde o to, aby se ISP smířil s tím, že tohle je řešitelné na centrálním NATu – že je potřeba nakonfigurovat DNAT i pro vnitřní rozhraní, a zároveň je tam potřeba nastavit i SNAT (maškarádu). Když je to takhle spojené, říká se tomu právě hairpin NAT.


Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #80 kdy: 31. 05. 2020, 01:07:19 »
Tak mu zkus ukázat http://gregsowell.com/?p=4242 tam to má i s obrázkama a měl by to pochopit. V nejhorším když se mu ten Harpin-NAT nepodaří nastavit, tak ať ti alespoň na tom mikrotiku udělá statický záznam
Kód: [Vybrat]
/ip dns static add address=domácí_IP_adresa name=matejckovi.eu
případně i  /ip dns static add address=domácí_IP_adresa name=www.matejckovi.eu
kde domácí_IP_adresa bude IP adresa bude stejná jakou máš teď fyzicky na tom zařízení, kde teď běží ten ownCloud.

Není to sice korektní řešení problému, ale alespoň to vyřeší Tvůj přístup na ownCloud v rámci lokální sítě. Přístup pro sousedy můžeš řešit později.


Ještě je tu malá naděje, že pan majitel už sítě tolik neřeší a spravuje to nějaký zaměstnanec, který tomu rozumí lépe…
S jedním zaměstnancem jsem se seznámil, když mi zapojoval internet a jsme domluvení na pondělí nebo středu, že mi změní ten jejich mikrotik na půdě, aby fungoval jako router, tak zkusím jaký má práva.

Z mýho d-linku bude jen wifi AP. Mimochode, vlastnost co se mi na tom D-linku líbí, že jde nastavit zapínání a vypínání wifi v určitý čas, takže na noc nám nezáří wifi. Což by šlo vlastně zařídit i spínačkama, když bude suspendován.

Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #81 kdy: 02. 06. 2020, 17:31:23 »
Dneska jsem dostal ještě odpověď na možné varianty, tak na 3) odpověděl co odpověděl a teď se vyjádřil k jedničce že by to šlo.

Napsal jsem
Citace
1) v routru mám adresu DNS 192.168.2.1,2 předpokládám že jsou vaše když začínají 192.168. zde nejde udělat záznam? s tím že doména podporuje DNSSEC
2) chápu aby jste mi dostali ip adresu na router tak to budou 4 další ip adresy, touhle cestou jít nechci
3) je možné pro IP 81.25.21.57 a porty 80,443 dělal Harpin-NAT na vašem routeru?

Odpověděl k bodu 2)
Citace
Nastavení DNS záznamu na našem DNS serveru a vytvoření statických
záznamů na našem zařízení u Vás, kdy pak musíte své zařízení nastavit
jako bridge

Pořád nevím zda je schopen zajistit fungování DNSSEC? A pokud by to fungovalo, tak tohle řešení je asi taky ok? Že na jeho dnsce bude záznam kam směrovat doménu v interní síti?

M_D

  • ****
  • 319
    • Zobrazit profil
    • E-mail
Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #82 kdy: 02. 06. 2020, 18:51:55 »
Pokusy s tím, že celou tu doménu nasimuluje ISPík na svém DNS má slabiny v tom:
a) kdo z jeho zákazníků nepoužívá jeho DNS, tak má smůlu, půjde stále po té veřejce,
b) kdo z jeho zákazníků bude u sebe používat něco, co se snaží o validaci DNSSEC, tak takto poprzněné DNS se nezvaliduje a má smůlu.

K tomu, aby ti dopravil tu jednu veřejku na tvůj router potřebuje routovat jen tu jednu veřejku (/32) a nic víc. Akorát tvůj TPlink router ji asi nesežere v případě IPoE konfigurace, ten poslední propoj mezi rádiovým Mikrotikem a tvým routerem je pak nutno konfigurovat jako PPPoE.
Pochopil jsem, že si ten svůj router hodíš jako bridge a ten rádiový mikrotik před tím ti přepne na router pro tvoji domácí síť a na něm to nastaví aspoň tak, aby ti to fungovalo lokálně?
Ještě je varianta, zda do toho tvého routeru doma nejde nacpat nějaký WRT a pak si to poladit na něm aspoň pro sebe, pokud nechceš měnit router.

Ať se fakt naučí udělat ten hairpin NAT na své NAT bráně a vyřeší to jedním vrzem por X dalších. :-)

Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #83 kdy: 03. 06. 2020, 08:28:08 »
Citace
Nastavení DNS záznamu na našem DNS serveru a vytvoření statických
záznamů na našem zařízení u Vás, kdy pak musíte své zařízení nastavit
jako bridge

Pořád nevím zda je schopen zajistit fungování DNSSEC? A pokud by to fungovalo, tak tohle řešení je asi taky ok? Že na jeho dnsce bude záznam kam směrovat doménu v interní síti?
Pokud budou DNS záznamy kdekoli jinde, než primární záznamy u Forpsi (tj. na vašem routeru, na DNS serveru ISP), nebudou podepsané – tudíž ten, kdo dostane příslušnou odpověď a validuje DNSSEC, tu adresu nepřeloží. I kdybyste nechal na té doméně vypnout DNSSEC a ty záznamy byly na DNS serveru ISP, může někdo z klientů ISP používat jiné DNS servery a jemu se to pak stále bude překládat na tu vaši veřejnou IPv4 adresu (tj. nedostane se na váš server). Pokud by se to mělo hackovat na úrovni DNS, je to (vypnutí DNSSEC u Forpsi pro vaši doménu matejckovi.eu a statický záznam v DNS resolveru ISP) asi nejkompletnější „řešení“. Ale není to skutečné řešení, pořád jsou tam díry a v některých případech to fungovat nebude.

Ale vlastně docela pochybuju, že váš ISP DNS resolver pro svou síť provozuje. Protože kdyby to tak bylo, stačí nastavit ty záznamy v jeho DNS resolveru, a nic dalšího na zařízení u vás by tedy nebylo potřeba. Tedy nebyly by potřeba statické záznamy na Mikrotiku u vás a už vůbec by nebylo potřeba přepínat váš router do režimu bridge.

Podívejte se do konfigurace vašeho routeru (D-Linku), jaké DNS servery dostává od ISP. Podle toho půjde zjistit, zda jsou to servery ISP nebo nějaké jiné.

Ať se fakt naučí udělat ten hairpin NAT na své NAT bráně a vyřeší to jedním vrzem por X dalších. :-)
Přesně tak. Než řešit DNS na svém serveru, statické záznamy na Mikrotiku u vás, konfigurace hairpin NATu je jednoduchá věc na jednom místě. Používá to tak kde kdo, takže je to ověřené a funkční. Bude dál veřejné IPv4 adresy řešit na jednom místě, může to tak nastavit pro všechny zákazníky, kteří mají veřejnou IPv4 adresu, a bude to fungovat spolehlivě pro všechny jeho zákazníky bez ohledu na to, jak používají DNS. Podle mne je to v této situaci nejjednodušší řešení a zároveň řešení s nejlepším poměrem cena/výkon.

SB

  • ****
  • 347
    • Zobrazit profil
    • E-mail
Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #84 kdy: 03. 06. 2020, 10:28:47 »
Citace
3) je možné pro IP 81.25.21.57 a porty 80,443 dělal Harpin-NAT na vašem routeru?

Proč tak debilně? Proč jen 2 porty z TCP (nebo UDP?)? Vždyť vám takhle nepojede ani ping! Až budete chtít spustit server Bzflagu pro sousedy, budete těm nichtsmochrům psát znovu?
Přesměrování je třeba nastavit pro VŠECHNA spojení na vaši veřejnou adresu vycházející z jejich vnitřní sítě (což je mimochodem jednodušší pravidlo, než to omezovat jen na něco), a to nejlépe všem zákazníkům. TO je koncepční řešení jejich konfigurace sítě!

SB

  • ****
  • 347
    • Zobrazit profil
    • E-mail
Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #85 kdy: 03. 06. 2020, 10:45:13 »
Kód: [Vybrat]
/ip firewall nat add action=dst-nat chain=dstnat comment="přesměrování pro 81.25.21.57" dst-address=81.25.21.57 in-interface=<rozhraní do vnitřní sítě> to-addresses=192.168.86.34

Tady máte to pravidlo pro Mikrotik (jde to samozřejmě napsat i trochu jinak).
Mimochodem hošani by měli v CGNATu používat rozsah 100.64.0.0/10.

Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #86 kdy: 05. 06. 2020, 12:09:48 »
Tak jsem spojil vaše poznámky, dal je do emailu, uvědomuju si že to prezentuju jako kdyby to bylo z mojí hlavy. Myslím si že jinak by to nemělo váhu. Znění emailu:

Citace
Dobrý den,

1)
ještě jsem nad tím přemýšlel a vidím v tom řešení stále trhliny.
a) jakmile někdo ze zákazníků nepoužije vaši DNS, tak to nepůjde
b) jakmile někdo ze zákazníků bude u sebe používat něco, co se snaží o validaci DNSSEC, tak DNS se nezvaliduje


2)
Když jsem se ptal na ten hairpin nat, odpověděl jste

> To nevyřeší vůbec nic.
> Na WWW chcete přistupovat přes DNS.

Základní DSTNAT se dělá dobře. Aby hairpin nat fungoval, tak se musí donastavit, aby se vedle toho DSTNAT prováděl současně i SRCNAT pro spojení přicházející z comfeel sítě na té NAT bráně. Dovoluji si předpokládat, že používáte Mikrotik/RouterOS. Popis problému a možné řešení jsem našel na wiki zde: https://wiki.mikrotik.com/wiki/Hairpin_NAT

Byla by, prosím vás, možnost to vyzkoušet?

Viděl bych to nějak takto, ale sám to nemám jak odzkoušet a validaci bych nechal na Vás.

/ip firewall nat add action=dst-nat chain=dstnat comment="přesměrování pro 81.25.21.57" dst-address=81.25.21.57 in-interface=<rozhraní do vnitřní sítě> to-addresses=192.168.86.34

Nojo a teď odpověď...

Citace
Dobrý den,

Hairpin_NAT můžeme nastavit případně u Vás na routeru, ale nelze na
našich NAT severech.

Ale zde zase je nutné změnit Váš router na bridge.

Působí to, že s ním nepohnu.

Možné další postupy:
1) hairpin nat mi zapnou na routru
2) šachy s dns kou
3) statická dns na routru, ale tu mi napsal, že není pro účely zákazníků

Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #87 kdy: 05. 06. 2020, 12:13:27 »
Ještě je tu malá naděje, že pan majitel už sítě tolik neřeší a spravuje to nějaký zaměstnanec, který tomu rozumí lépe…

Naděje není, mluvil jsem se zaměstnancem a Harpin NAT neumí. Koukne na to ale...
« Poslední změna: 05. 06. 2020, 12:15:16 od h4kuna »

Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #88 kdy: 05. 06. 2020, 21:17:12 »
Hairpin_NAT můžeme nastavit případně u Vás na routeru, ale nelze na
našich NAT severech.
Hairpin NAT na routeru u vás by pomohl ve vaší domácí síti – prostě byste si veškerý provoz na tu veřejnou IP adresu NAToval u sebe, tím pádem by se do sítě ISP nedostal a ISP na tom nemá co zkazit. Samozřejmě to ale nebude fungovat sousedům.

Pokud píšou o NAT serverech (v množné čísle), možná těch NATujících zařízení mají víc a pak by opravdu mohl být technický problém tam nastavit hairpin NAT. I když mi to moc nejde dohromady s tím, že jinak v komunikaci vypadají, že moc neví, která bije – a přitom že by používali nějaký NAT s rozkládáním zátěže?

Šachům s DNS bych se snažil vyhnout, pomalu se tím víc rozbije než vyřeší.

Případně ten váš router D-Link umí nastavit routování, takže byste mohl z něj tu svou veřejnou IP adresu routovat přímo na ten svůj server. Ten by ale musel mít přiřazené obě IP adresy (privátní i veřejnou). Nedělal by se tam ani žádný NAT, takže by nevadilo, že se odpověď vrací přímo. Z hlediska síťové komunikace by to bylo nejefektivnější řešení – komunikace na váš server by šla jen přes váš router, nikam dál, a komunikace zpět ze serveru (kdybyste z něj něco stahoval) by dokonce šla přímo, ani ne přes váš router. Ale je to trochu nestandardní konfigurace, cesta paketů „tam“ by byla jiná, než cesta „zpět“.

M_D

  • ****
  • 319
    • Zobrazit profil
    • E-mail
Re:Z domova, se nedostanu na svou doménu, která má směrovat ke mě domu
« Odpověď #89 kdy: 06. 06. 2020, 09:36:06 »
Nu, nezbývá doufat, že se ten technik přemůže. Pokud by těch NAT serverů bylo více, tak to ničemu ohledně haipin NATu nevadí.
Pokud pominu variantu, že zkrátka se nechtějí obtěžovat, tak je možnost, že tu síť spravují pomocí nějakého web klikátka  (což dělá řada ISPíků) a to následně konfiguruje celou síť voláním API v routerech. A pokud tento nástroj neumí hairpin NAT "naklikat", tak nehodlají bádat a prát se s ním, jak to tam ručně donastavit. :-(