Newsgroup: it.comp.reti.locali
Titolo: Nat su router

Devo inserire una regola sul nuovo router. So cosa metterci, ma non 
capisco la sintassi che richiede l'interfaccia web.
Questi i parametri:
Type: 		
	Interface: 		
	Protocol: 		
	Outside address: 		
	-> Portrange: 			To: 		
	Inside address: 		
	-> Portrange: 			To: 		
	Access list: 			To: 		
	Foreign address: 			To: 	
Fino al secondo port range ci sono. Poi pero' in access list ed in 
foreing address non so cosa mettere. Se lascio vuoto mi da errore. Se 
metto "any" anche. Cosa posso mettere per fargli capire?
Ciao ... Dino

 metto "any" anche. Cosa posso mettere per fargli capire?
hai dato un occhiata al manuale? 
e comunque, magari se indichi anche di che router si parla...
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1200R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 metto "any" anche. Cosa posso mettere per fargli capire?
Vanno lasciati vuoti, l'errore potrebbe dipendere dagli altri campi, 
prova a postare un'esempio di regola e la descrizione dell'errore.

 capire ?
Beh, potresti ad esempio leggerti attentamente il manuale e
scoprire che, prima di arrivare alla config che hai postato è
necessario configurare le ACL e gli IP ranges

 metto "any" anche. Cosa posso mettere per fargli capire?
Rispondo per tutti qui. Si tratta di un thomson speedtouch tg605 di 
telecom. Il manuale non e' molto chiaro a riguardo e l'help in linea non 
funziona.
E' gia' configurato con una serie di napt che ha messo l'installatore 
quando non c'ero. Ha replicato esattamente le stesse cose che avevo 
messo sull'altro router. In particolare avevo aperto le porte dalla 
60000 alla 60020 per un l'ftp passivo. Ma deve aver fatto qualche casino 
perche' funziona solo in modalita' active.
Ha messo due entry diverse una per tcp e l'altra per udp. Ha fatto la 
stessa cosa anche sulle porte 80 e 21, che pero' funzionano.
Ecco cosa ha messo per l'ftp passivo:
Interface: 			wan2
	Type: 			NAPT
	Protocol: 		udp
	Outside Address: 	82.191.244.158:[60000-60020]
	Inside Address: 	10.0.0.199:[60000-60020]
	Access List: 		any
	Foreign Address: 	any	
	Flags: 			static
	Description: 		inbound port range shift
Ed un'altra con Protocol: tcp
Stavo provando a reinserire la regola con protocol: any. Ma non mi 
permette di mettere "any" ad access list e a foreing address.
Via telnet non ho accesso. Solo web, ma c'e' la modalita' cli, che 
praticamente replica le funzioni che avrei da telnet.
Ecco cosa compare con un maplist:
Idx Type Interface       Outside Address                Inside Address 
                Use
   1 NAPT wan2            
82.191.244.158:21
 
10.0.0.199:21
 
                 2
                          Access List................... any
                          Foreign Address............... any
                          Protocol...................... tcp
                          Flags......................... Static
                          Description................... Inbound port shift
                          Creator Data.................. 0
   2 NAPT wan2            
82.191.244.158:80
 
10.0.0.199:80
 
                 0
                          Access List................... any
                          Foreign Address............... any
                          Protocol...................... tcp
                          Flags......................... Static
                          Description................... Inbound port shift
                          Creator Data.................. 0
   3 NAPT wan2            82.191.244.158:[60000-60020] 
10.0.0.199:[60000-60020]       0
                          Access List................... any
                          Foreign Address............... any
                          Protocol...................... tcp
                          Flags......................... Static
                          Description................... Inbound port 
range shift
                          Creator Data.................. 0
   4 NAPT wan2            
82.191.244.158:21
 
10.0.0.199:21
 
                 0
                          Access List................... any
                          Foreign Address............... any
                          Protocol...................... udp
                          Flags......................... Static
                          Description................... Inbound port shift
                          Creator Data.................. 0
   5 NAPT wan2            
82.191.244.158:80
 
10.0.0.199:80
 
                 0
                          Access List................... any
                          Foreign Address............... any
                          Protocol...................... udp
                          Flags......................... Static
                          Description................... Inbound port shift
                          Creator Data.................. 0
   6 NAPT wan2            82.191.244.158:[60000-60020] 
10.0.0.199:[60000-60020]       0
                          Access List................... any
                          Foreign Address............... any
                          Protocol...................... udp
                          Flags......................... Static
                          Description................... Inbound port 
range shift
                          Creator Data.................. 0
   7 NAT  wan2            82.191.244.158                 10.0.0.199 
                 4
                          Access List................... 10.0.0.199
                          Foreign Address............... any
                          Protocol...................... any
                          Flags......................... Static
                          Description................... Two-way NAT
                          Creator Data.................. 0
   8 NAPT wan2            82.191.244.153                 unmapped 
                 12
                          Access List................... 10.0.0.[1-254]
                          Foreign Address............... any
                          Protocol...................... any
                          Flags......................... Static
                          Description................... Outbound NAPT 
without defserver
                          Creator Data.................. 0
Ciao ... Dino

  Protocol:   udp
ROTFL !!! FTP su UDP ?


In effetti :) Ma per pigrizia avevo messo sull'altro router a protocollo 
"any", quindi li ha messi entrambi.
Quello che mi sfugge pero' e' perche' non funziona.
L'altro era il solito router alice bianco dove bastava inserire una cosa 
del genere:
IndirizzoIPlocale PortaLocale	PortaPubblica 	Protocollo	Stato	
10.0.0.199	  60002		60002	 	Tutti 		Abilitato	
e niente altro. Stessa cosa fatta su un vecchio alcatel, simile a questo 
thomson.
Ciao ... Dino

 permette di mettere "any" ad access list e a foreing address.
http://www.cerberusnetworks.co.uk/PDF/ST585_UserGuide.pdf
ah... ed ovviamente prima di creare una regola dovrai creare
degli "oggetti" ACL ed IPrange, poi potrai usarli per la regola


Ho provato ad inserire la mappatura da cli e la prende anche senza 
inserire nulla in access list e foreing address. Interrogando poi vedo 
che ci ha messo "any".
Quindi cosi' va bene. Ora il problema e' perche' l'ftp passivo non va.
Ciao ... Dino


Tolte le due regole sul range ed inserita una sola su tcp. Come prima, 
ovviamente, non va il passive.
4 NAPT wan2            82.191.244.158:[60000-60020] 
10.0.0.199:[60000-60020]       1
                          Access List................... any
                          Foreign Address............... any
                          Protocol...................... tcp
                          Flags......................... Static
                          Description................... Inbound port 
range shift
                          Creator Data.................. 0
Ciao ... Dino


Inutile aggiungere che il firewall e' disattivato.
Ciao ... Dino

 Inutile aggiungere che il firewall e' disattivato.
Non ho accesso al router da qui e non posso verificare, ma potrebbe
essere un problema di ip pubblici? L'installatore ha assegnato un ip
per le connessioni in uscita di tutta la rete ed un ip dedicato alle
connessioni in entrata sul server. Il napt in uscita dovrebbe essere
sul 82.191.244.153, mentre il napt in ingresso del server sul
82.191.244.158. Non conosco esattamente cosa succede con il protocollo
ftp, ma dopo che il client tenta la connessione sulla 21, che va a
buon fine, puo' essere che il server o il client cerchi di dialogare
sull'altro ip? Il log del client ftp (core ftp lite) mi arriva a
questo e poi si ferma:
27 Entering Passive Mode (82,191,244,158,23,115).
LIST
Connect socket #608 to 82.191.244.158, port 60003...
Non mi viene in mente niente altro. Davvero strana sta cosa.
Ciao ... Dino

 ftp, ma dopo che il client tenta la connessione sulla 21,
leggi qui
http://slacksite.com/other/ftp.html
http://msmvps.com/blogs/alunj/archive/2009/07/08/1698917.aspx

 connessioni in entrata sul server.
Ah ecco, quindi uno si connette a 
82.191.244.158:21
 ed effettua il logon
però poi, quando il server, in modalità attiva, tenta di avviare una
connessione dalla propria porta 20 verso la porta dinamica del client
(comando port) tale connessione esce da 82.191.244.153 :P
pubblica FTP sull'IP primario (quello usato per "l'uscita" ossia il
default) e risparmiati un sacco di menate


Purtroppo non funziona neanche cosi', ho sostituito il napt sul 153 con 
quello sul 158.
	Interface 	Type 	Outside Address 	Inside Address
	loop 	NAPT 	
82.191.244.158:6001
 
10.0.0.199:6001
	wan2 	NAPT 	
82.191.244.158:20
 
10.0.0.199:20
	wan2 	NAPT 	
82.191.244.158:21
 
10.0.0.199:21
	wan2 	NAPT 	
82.191.244.158:80
 
10.0.0.199:80
	wan2 	NAPT 	
82.191.244.158:6000
 
10.0.0.199:6000
	wan2 	NAPT 	82.191.244.158:[60000-60020] 	10.0.0.199:[60000-60020]
	wan2 	NAPT 	
82.191.244.158:21
 
10.0.0.199:21
	wan2 	NAPT 	
82.191.244.158:80
 
10.0.0.199:80
	wan2 	NAT 	82.191.244.158 	10.0.0.199
	wan2 	NAPT 	82.191.244.158 	any
La tabella degli ip e':
	Interface 	Address/Netmask 	Type
	lan1 	
82.191.244.153/29
 	Extra
	lan1 	
10.0.0.137/24
 	Extra
	wan2 	
2.117.233.70/32
 	Extra
	loop 	
127.0.0.1/32
 	Auto
Mi sembra tutto regolare.
C'e' qualcosa che non va da qualche parte ma non capisco cosa.
Ciao ... Dino


Si, sostanzialmente ho capito. Il clinet si connette sulla 21 e comunica 
al server la modalita' passiva. Il server invia sulla 21 la porta da 
utilizzare ed il client si connette. E' qui che succede qualcosa. Il 
client prova a connettersi ma la porta non sembra raggiungibile.
Adesso mi studio un po' questo:
http://www.speedtouchturkiye.com/destek/ST620/guide/ConfigGuide_HyperNAT.pdf
Dove spiega come configurare nat/napt sui thomson.
Ciao ... Dino


Non ci sono cazzi, c'e' qualcosa in sto router. Ho provato a rimettere 
il server dietro l'altro router e funziona senza problemi in passive.
Quindi il server e' ok.
Ciao ... Dino

 la porta da utilizzare ed il client si connette.
noto con piacere che non hai capito nulla; rileggi il tutto e forse
le cose saranno pi� chiare; il ragionamento che hai fatto vale
per la modalit� attiva, la passiva funziona in altro modo

> Non ci sono cazzi, c'e' qualcosa in sto router.
Secondo me il problema č chiaramente dovuto ad un PEBKAC

 per la modalità attiva, la passiva funziona in altro modo
anzi, rettifico, non vale neanche per la modalità attiva, quello
che hai scritto è un caos totale, ripeto, rileggiti per bene tutto
quanto e magari butta via tutti i ragionamenti che hai fatto sino
a questo momento dato che sono sballati

 per la modalitï¿œ attiva, la passiva funziona in altro modo
In step 1, the client contacts the server on the command port and issues 
the PASV command. The server then replies in step 2 with PORT 2024, 
telling the client which port it is listening to for the data 
connection. In step 3 the client then initiates the data connection from 
its data port to the specified server data port. Finally, the server 
sends back an ACK in step 4 to the client's data port.
Ciao ... Dino

 Secondo me il problema è chiaramente dovuto ad un PEBKAC
Puo' darsi. Reimpostato il server semplicemente cambiando l'ip di 
masquering (esterno) in proftpd e il gateway predefinito (interno) con 
quelli del vecchio router (su un'altra linea adsl), funziona tutto. Se 
rimetto quelli del nuovo, no.
Quindi il server e' ok.
Sembra che il nuovo router non faccia il napt delle porte per il 
passive. Della 80, 20 e 21 si, del range 60000-60020 pare di no. Ho 
provato anche ad inserirle singolarmente. Non funziona lo stesso.
Ho provato anche a disattivare il reversedns in proftpd, ma nulla.
Se mi scopri cosa non va, ti offro una cassa di birra gelata :D
Ciao ... Dino

> Sembra che il nuovo router
in informatica non esiste il "sembra" o è o non è, nel tuo caso
basterebbe verificare con quale default IP escono le connex
per risolvere il problema


Gia' verificato, esce sul 158 quindi e' ok. L'unica cosa che mi viene
in mente e' che quei cazzoni di telecom abbiano messo qualche blocco e
che queste modifiche vadano implementate da qualche parte anche da
loro.
Mentre scrivevo mi hanno chiamato e indicato un sito su cui fare le
richieste di configurazione. Vediamo se cosi' funziona.
Ciao ... Dino

> Gia' verificato, esce sul 158 quindi e' ok.
allow tcp from any to me 21 in
allow tcp from me 20 to any out
allow tcp from any to me 6100-6200 in
poi imposti il server FTP in modo da usare il range
6100...6200 come range di porte per il PASV, ovvio
che per la prima e la terza regola dovrai anche
impostare delle regole di port forward sul router;
la seconda regola invece ti servirà solo nel caso
in cui tu faccia filtraggio del traffico in uscita; in caso
contrario potrà essere omessa


E' gia' cosi', il router e' gia' mappato per la 21, la 20 e il range 
passive, che e' poi inserito anche nel server ftp. Sulla 21 e la 20 
tutto bene, conferma e' che l'ftp in modalita' active funziona. Mentre 
non va in modalita' passiva, con porte 60000-60020, come indicate anche 
nella configurazione di proftpd.
Ora ho fatto la richiesta all'nbo, ma dal form disponibile la vedo 
grigia. Le scelte disponibili sono:
NAT Statico (mapping 1 a 1 fisso)
ID 	IP Privato 	IP Pubblico 	
2339 	10.0.0.199 	82.191.244.158 	
NAT  Dinamico (mapping m indirizzi privati con n indirizzi pubblici con 
m > n)
POOL di indirizzi Pubblici
ID 	DA 	A 	
NAT da configurare
ID 	Network 	Subnet Mask 	Pool
 
PAT (mapping m indirizzi privati con 1 indirizzo pubblico) 	
ID 	IP pubblico 	IP Privato 	Subnet Mask 	
Opzione Tunnel 	  	Aggiungi voce
Ciao ... Dino


Cmq, giusto per promemoria, ecco cosa c'e' adesso, prima che mettano 
mani quelli di telecaz:
Idx Type Interface       Outside Address                Inside Address 
                Use
   1 NAPT wan2            
82.191.244.158:20
 
10.0.0.199:20
 
                 0
                          Access List................... any
                          Foreign Address............... any
                          Protocol...................... tcp
                          Flags......................... Static
                          Description................... Inbound port shift
                          Creator Data.................. 0
   2 NAPT wan2            
82.191.244.158:21
 
10.0.0.199:21
 
                 1
                          Access List................... any
                          Foreign Address............... any
                          Protocol...................... tcp
                          Flags......................... Static
                          Description................... Inbound port shift
                          Creator Data.................. 0
   3 NAPT wan2            
82.191.244.158:80
 
10.0.0.199:80
 
                 0
                          Access List................... any
                          Foreign Address............... any
                          Protocol...................... tcp
                          Flags......................... Static
                          Description................... Inbound port shift
                          Creator Data.................. 0
   4 NAPT wan2            82.191.244.158:[60000-60020] 
10.0.0.199:[60000-60020]       1
                          Access List................... any
                          Foreign Address............... any
                          Protocol...................... tcp
                          Flags......................... Static
                          Description................... Inbound port 
range shift
                          Creator Data.................. 0
   5 NAPT wan2            
82.191.244.158:80
 
10.0.0.199:80
 
                 0
                          Access List................... any
                          Foreign Address............... any
                          Protocol...................... udp
                          Flags......................... Static
                          Description................... Inbound port shift
                          Creator Data.................. 0
   6 NAT  wan2            82.191.244.158                 10.0.0.199 
                 2
                          Access List................... 10.0.0.199
                          Foreign Address............... any
                          Protocol...................... any
                          Flags......................... Static
                          Description................... Two-way NAT
                          Creator Data.................. 0
   7 NAPT wan2            82.191.244.153                 unmapped 
                 5
                          Access List................... 10.0.0.[1-254]
                          Foreign Address............... any
                          Protocol...................... any
                          Flags......................... Static
                          Description................... Outbound NAPT 
without defserver
                          Creator Data.................. 0
Funziona il server web, il server ftp in active, la navigazione di tutta 
la rete. Ma non l'ftp passivo.
Adesso, sempre che non mi blocchino l'accesso, sono curioso di vedere 
cosa fanno.
Ciao ... Dino

 10.0.0.199:[60000-60020]       1
ok, quello sopra dovrebbe essere il port range per PASV
ora, per far funzionare il tutto non basta solo quanto sopra
devi anche configurare il server FTP in modo da usare
QUEL port range

 QUEL port range
Gia' fatto anni fa quando configurai per la prima volta il server, del 
resto prima funzionava, e continua a funzionare sull'altra linea adsl 
con l'alice gate bianco. Su proftpd.conf ho aggiunto:
MasqueradeAddress 82.191.244.158
PassivePorts 60000 60020
Sta da sempre cosi'.
Ciao ... Dino


Appena provato a mappare la 21 sulla porta esterna 2121 e ....
funziona anche in passive senza toccare nulla!
Ma che cazzo e' che non va!??!?!?!
Ciao ... Dino

 funziona anche in passive senza toccare nulla!
router che risponde per management sulla 21 esterna?
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1200R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 router che risponde per management sulla 21 esterna?
Ci stavo pensando, funziona su qualsiasi porta tranne che sulla 21,
provato adesso.
Se pero' levo il mapping sulla 21 non mi risponde. Ed inoltre il
router risponde sull'ip pubblico 153, non sul 158.
Mi sono spulciato il dump del file di configurazione, ma non ho
trovato nulla che faccia pensare ad una porta 21 per un uso
particolare. Inoltre la cosa strana e' che sulla 21 non e' che non
risponda, il server ftp risponde eccome, e ci si collega anche in
active. Ma in qualche modo non consente l'accesso alle porte per il
passive. Ho anche provato a vedere se era attiva qualche
configurazione semplificata che magari ha priorita' sul quella
manuale, ma e' tutto disattivato.
Fosse mio il router braserei tutto e ripartirei da zero. Ma e' in
comodato, non vorrei che poi non funzionasse piu' niente.
Ciao ... Dino

 router risponde sull'ip pubblico 153, non sul 158.
Toh, che coincidenza :P !
adieu


Mi riferivo al fatto che se ci fosse un servizio del router, togliendo
il mapping sul server ftp dovrebbe rispondere lui. Ma non lo fa, anche
perche' il suo ip non e' il 158 ma il 153.
Cmq mi sto spulciando il file di config, ho disattivato un "ftp trace"
che non so bene cosa faccia. Altro, a parte l'ftp del router, non mi
pare ci sia.
Ciao ... Dino


RISOLTO!!!!!
Ma che gli possa venire l'orchite!!!!
E' tutta colpa di un "helper" che invece di aiutare incasina le cose.
Per toglierlo basta andare in connection>unbind e inserire "FTP" e
"21". L'helper si leva dalle @@ e tutto funziona.
Ovviamente in telecaz non ne sanno nulla. Si chiama impresa semplice
proprio perche' tanto che gli frega a loro :)
Ciao ... Dino