Newsgroup: it.comp.reti.locali
Titolo: Problema con vodafone l'ip pubblico dalla rete interna non è disponibile

Salve,
vi scrivo perchè sono alle prese con un problema alquanto bizzarro.
La situazione è la seguente
circa due settimane fa abbiamo fatto configurare il port forwarding ( 
porta 80) verso un server installato nella rete interna ( questa 
operazione purtroppo me l'ha dovuta fare vodafone in quanto non ho 
accesso al router.
adesso questo port forwarding funziona correttamente , ma solamente dai 
pc esterni alla rete locale, se da un pc interno gli dico di raggiungere 
l'ip 89.xx.xx.xx questo va in connessione scaduta.
Pare che si siano dimenticati di qualche regola nel router. Ieri li ho 
contattati telefonicamente per farmi aggiungere questa regola ma... 
hanno detto che non si può. qualcuno ha una qualche idea che mi permetta 
di far funzionare il tutto anche dall'interno , senza andare a 
modificare file e configurazioni ogni volta che sono all'interno o 
all'esterno della rete ?
Grazie

On 03/01/2011 11:39 AM, Tiziano wrote:
 > contattati telefonicamente per farmi aggiungere questa regola ma...
 >  hanno detto che non si può. qualcuno ha una qualche idea che mi
 > permetta di far funzionare il tutto anche dall'interno , senza
 > andare a modificare file e configurazioni ogni volta che sono
 > all'interno o all'esterno della rete ?
Difatti hanno ragione!  Posso solo suggerirti di inserire una regola 
nel server DNS locale (se usato) o nei file /etc/hosts per risolvere 
il nome del servizio con l'IP locale.
Ciao
Giovanni
-- 
   A computer is like an air conditioner,
   it stops working when you open Windows.
   < 
http://giovanni.homelinux.net/
 >

 del servizio con l'IP locale.
Quella del dns locale era un ipotesi, ma contattando vodafone hanno 
detto che volendo si può far si che il loro router diventi trasparente e 
utilizzare un mio firewall ... sarebbe la soluzione ideale direi

 Difatti hanno ragione!
'nsomma... avranno anche ragione, ma solo perchè hanno scelto di usare 
un router che non prevede questo tipo di routing o non possono/vogliono 
configurarlo...
Sia a casa che in ufficio raggiungo senza problemi le mie macchine 
interne da altre macchine interne utilizzando l'IP pubblico (che è anche 
l'unico modo per verificare le configurazioni dnat per le macchine che 
devono essere raggiungibili dall'esterno e per insultare i colleghi che 
dicono che la VPN non funziona e poi invece sbagliano password ;-) )

 89.xx.xx.xx questo va in connessione scaduta.
Per forza: se il router fa NAT quell'indirizzo (pubblico) è in ascolto 
sulla porta verso la rete pubblica e non certo verso la LAN.
Ti occorre un DNS locale che risolva il nome del server nell'IP 
privato.
Ciao
Luca

 sulla porta verso la rete pubblica e non certo verso la LAN.
Per scelta (del router), non per forza.
Quasi tutti i router che ho avuto (se non erano configurati 
appositamente per non farlo) inoltravano correttamente le richieste 
dalla rete interna verso l'ip pubblico, processando correttamente il nat 
in entrata.
La mia statistica personale:
zyxel prestige 200: NO
zyxel prestige 620: NO
zyxel prestige 660HW: NO
dlink dfl200: SI
dlink dfl800: SI
cisco 837: SI
RouterOS: SI
IPcop: SI
Astaro: SI

 in entrata.
Anmmetto che anche io con tutti i router che ho avuto la richiesta 
veniva inoltrata correttamente, infatti non mi aspettavo di avere questo 
tipo di problema... :(


Io mi allinero con il Sasdelli: tutti i router su cui ho avuto modo di
mettere le mani NON consentono di inoltrare questo tipo di richieste.

 simile ad un hd meccanico?
Se prendo 4 mele mi sfamano come del manzo?

 porcata.
E perchè sarebbe una porcata? Quale sarebbe il problema nell'accettare una 
chiamata dall'interno verso l'interno con destinazione ip pubblico?


Aumentare inutilmente il carico del router ad esempio, e poi
ci sarebbe anche da chiedersi il motivo di tale richiesta.
Se c'è bisogno di raggiungere un proprio server lo puoi benissimo
raggiungere con l'IP o usando il tuo DNS o banalmente mettendolo nel
file hosts. Perchè andare da Roma a Napoli passando da Milano?

 Perchè andare da Roma a Napoli passando da Milano?
Non cambia niente, il pacchetto fa sempre due soli hop: client->router e 
router->server.

 chiamata dall'interno verso l'interno con destinazione ip pubblico?
Se non lo decido io in sede di configurazione, il router non deve 
inventarsi delle rotte a modo suo.
Metti un piccolo DNS su una macchina della LAN: ha un carico infimo, fa 
sempre comodo ed è la soluzione più corretta, senza sfruttare bachi o 
irregolarità di macchine non proprio eccelse.
Ciao
Luca

 irregolarità di macchine non proprio eccelse.
Il DNS interno non risolve il problema di testare le configurazioni 
impersonando una connessione in entrata dall'esterno.

 router->server.
che non è la stessa cosa che client->server, e poi era un modo per dire
di privilegiare le soluzioni dirette e sicure che funzionano con
qualunque router e anche se si rompe il router.
Poi se ti piace così fai pure ci mancherebbe. Io non lo consiglio e
finisco qui.

 Ne sei proprio sicuro che sia esattamente la stessa cosa, si?
Al 100%...

 Ma non si inventa niente dai, non è mica dotato di coscienza propria
La regola di firewalling dovrebbe essere 'i pacchetti che arrivano per
questo ip su quest'interfaccia girali a quest'altro ip su quest'altra 
interfaccia'.
Se il pacchetto arriva da altre interfacce deve seguire altre regole.
-- 
ValeRyo
XT600 "Katoki Pajama" - 
http://www.slimmit.com/go.asp?7Y9
GamerTag: 
http://card.mygamercard.net/IT/nxe/ValeRyo76.png
 

 Se il pacchetto arriva da altre interfacce deve seguire altre regole.
Se ad esempio usi ipchains e affini (o qualunque router/firewall 
derivato da questi) in una regola l'interfaccia di origine non è 
obbligatoria: se inserisco una regola che dice di accettare tutto il 
traffico in input verso l'ip x.x.x.x (IP pubblico attestato su una delle 
porte del firewall) senza specificare una interfaccia, il sistema 
accetta pacchetti per x.x.x.x provenienti da qualunque interfaccia (IMHO 
giustamente, se volevo limitare ad una sola interfaccia avevo il modo di 
dirglielo)
La differenza tra un firewall che può funzionare in questo modo e uno 
che non può funzionare in questo modo, è che quello che funziona, quando 
vede che un pacchetto con destinazione x.x.x.x proviene da una "sua" 
subnet fa un s-nat sostituendo all'indirizzo di origine del pacchetto 
l'indirizzo del firewall su quella subnet, per evitare che la macchina 
di destinazione, ricevendo un pacchetto proveniente da una macchina 
nella stessa subnet, risponda direttamente.
Io non ci vedo niente di strano. Voi dite che è una porcata. Punti di 
vista...