Karneval problem - uzivatele se navzajem nevidi

[tominek]

mam problem na ftp ani web ktery bezi na mem servriku se nedostanou uzivatele kteri jsou pripojeni pres karneval. ja mam verejnou IP a poskytovatel je karneval. takze nejede karneval<->karneval. dokonce me ani nepingnou. pry neco podobneho dela i UPC<->UPC. proc to tak je? tusite zda se to da spravit? dle me je to jasne poruseni smluvnich podminek. protoze omezuji sluzby odfiltrovanim male casti verejne pristupnych serveru internet (jak pres ftp tak http).

[chinook]

Podle me mas nekde neco sptane nastavene. Kamaradi maji tez karneval. Ja mam ver. IP oni ne a bez problemu se ke me pripoji

[Jezevec]

Jestli je to stejna IP ze ktery sem pises, tak zvenku videt je. Tudiz by te pingnout meli. Pokud jim to nejde, tak ma Karneval blbe nastaveny routovani. Ja se ti na web klido dostanu.

Edit: Problem bude asi nasledujici, oni lezou na verejnou IP => jdou pres NAT no a jakmile prolezou pre NAT a maj pridelenou verejnou IP, tak router nezna cestu k rozsahu, kterej je vlastne na stejny strane jako ta privatni IP adresa. Nemas nahodou pridelenou zaroven i privatni adresu ? Pres tu by se na tebe nejspis dostali.

Jinak tobe a jim nezbude nez si stezovat a pripadne je kopat do IPv6.

[tominek]

Podle me mas nekde neco sptane nastavene. Kamaradi maji tez karneval. Ja mam ver. IP oni ne a bez problemu se ke me pripoji

kdybych mel neco spatne nastavene tak se ke me nedostane asi nikdo ne? prblem maji jen 2 lide na karnevalu

mam jednu verejnou a 2 neverejne. ale ty dve neverejne se nikde nepouzivaji. server pouziva tu verejnou a routuje tu malou lanku co tu mam
uz sem jim psal (na karneval) tak sem zvedava s cim se vytasej (doufam ze me zas budou tvrdit nejake stuidity jako ohledne DVB)

[Doktor-Prase]

Ja se priznam, jeden z tech lidi jsem ja... Uz se tesim na prijmeny email Karnevalu, co jim napisu

[hwsoft]

Edit: Problem bude asi nasledujici, oni lezou na verejnou IP => jdou pres NAT no a jakmile prolezou pre NAT a maj pridelenou verejnou IP, tak router nezna cestu k rozsahu, kterej je vlastne na stejny strane jako ta privatni IP adresa. Nemas nahodou pridelenou zaroven i privatni adresu ? Pres tu by se na tebe nejspis dostali.

No to snad ne Prece je nebudou NATovat, kdyz vi ze ta verejna IP je na stejnym segmentu, ne? Aspon me by to nenapadlo a taky to u nas funguje bez problemu .

[tominek]

No to snad ne Prece je nebudou NATovat, kdyz vi ze ta verejna IP je na stejnym segmentu, ne? Aspon me by to nenapadlo a taky to u nas funguje bez problemu .

no nevim, co jineho si ma clovek myslet kdyz se tam dostanou uplne vsichni kteri to zkusili jen ti 2 lide (pricemz kvuli jednomu z nich jsem ten apache a ftp rozjel) co jsou pres karneval ne.

[Jezevec]

No to snad ne Prece je nebudou NATovat, kdyz vi ze ta verejna IP je na stejnym segmentu, ne? Aspon me by to nenapadlo a taky to u nas funguje bez problemu .

Ehm, z privatni na verejnou IP MUSIS jit pres NAT. Privatni IP se nesmi pri komunikaci na verejnou IP vubec objevit. Samo ze pokud ses dobytek, tak to muze fungovat, ale uvedom si, ze jedno z prvnich pravidel ktery napise znalej clovej do FW je zakaz komunikace z privatnich rozsahu. Proc ? Protoze za tim FW vetsinou nakej pouziva a pokud posles na ten router IP z privatniho rozsahu a nahodou se trefis, tak on to normalne odroutuje do vnitrni site, coz je samo pruser.

Napr to jak dobreho mas ISP muzes mimo jine testnou tak, ze posles do jeho site traceroute na privatni IP. Nemel by projit pres zadnej smerovac (samozrejme predpokladam ze sam mas verejnou IP).

[hwsoft]

Ehm, z privatni na verejnou IP MUSIS jit pres NAT. Privatni IP se nesmi pri komunikaci na verejnou IP vubec objevit. Samo ze pokud ses dobytek, tak to muze fungovat, ale uvedom si, ze jedno z prvnich pravidel ktery napise znalej clovej do FW je zakaz komunikace z privatnich rozsahu. Proc ? Protoze za tim FW vetsinou nakej pouziva a pokud posles na ten router IP z privatniho rozsahu a nahodou se trefis, tak on to normalne odroutuje do vnitrni site, coz je samo pruser.

Napr to jak dobreho mas ISP muzes mimo jine testnou tak, ze posles do jeho site traceroute na privatni IP. Nemel by projit pres zadnej smerovac (samozrejme predpokladam ze sam mas verejnou IP).

No prave ze nemusis, to co chci rict ja, je, ze pokud delas NAT 1:1 tak muzes pustit primo:

privatni IP <> hranicni router <> NAT1:1 <> Internet
je potom
privatni IP <> hranicni router <> privatni IP na segmentu
samozrejmne jenom v tom pripade, ze jsou zdroj i cil na jendnom segmentu privatnich IP

[Jezevec]

Podivej, mas privatni IP, ta je dle RFC neroutovatelna (do verejne site), pak mas GW a ta ma logicky taky privatni IP. A na ni proste musis udelat ten NAT. Jinak se ty dva kompy spolu muzou bavit, ale musel bys tomu s verejnou IP jeste rict, ze ma pristup i do privatni site.

Nemluvime o komunikaci dvou privatnich IP, ale privatni vs verejna. Privatni IP spolu na segmentu muzou komunikovat a zadnej router nepotrebujou.

[tominek]

kazdopadne ve ctvrtek sem jim poslal dotaz a stale se nikdo neozval s vysvetlenim. zacinam mmet pocit ze karneval se zase zacina chovat k zakakznikum jako v pocatcich

[hwsoft]

Podivej, mas privatni IP, ta je dle RFC neroutovatelna (do verejne site), pak mas GW a ta ma logicky taky privatni IP. A na ni proste musis udelat ten NAT. Jinak se ty dva kompy spolu muzou bavit, ale musel bys tomu s verejnou IP jeste rict, ze ma pristup i do privatni site.

Nemluvime o komunikaci dvou privatnich IP, ale privatni vs verejna. Privatni IP spolu na segmentu muzou komunikovat a zadnej router nepotrebujou.

Ano ale privatni a verejna je je na jednom "ethernetu" tak to ze se u karnevalu nevidi, neni problem verejna neverejna, ani zadnych RFC ale jen providera. Pokud tedy chapu ze ma jak verejnou, tak neverejnou.

[Jezevec]

Ne, chapes to uplne spatne. On ma jen verejnou IP (respektive pouziva jen verejnou IP). A pokud mas jen privatni IP, tak NEMUZES tu verejnou videt primo. Musel bys mit jeste taky verejnou ze stejnyho rozsahu.

Zkratka kdyz propojis dva kompy a kazdymu das IP z jinyho rozsahu, tak pro sebe logicky neexistujou, ac sou na stejnym kabelu. Kdyz jim pridas router, tak uz to fingovat muze (bez ohledu na privatni/verejny rozsahy), ale RFC odporuje to, aby spolu komunikoval komp s verejnou a privatni IP, chapes ?


Pr:
PC1 - 192.168.1.5/24, GW 192.168.1.1 => vidi kompy v rozsahu 192.168.1.x
PC2 - 195.217.36.20/24, GW 195.217.36.1 => vidi kompy v rozsahu 195.217.36.x

Jak zaridis aby se videli vzajmene ? Jedine tim, ze mas router, pro jednoduchost majici eth1 a eh2 s IP adresama odpovidajicim GW PC1 a 2 a mas povoleno routovani.

Jenze prave podle RFC tohle udelat nemuzes, protoze IP PC1 je privatni => nesmi pres router projit. Tudiz nastavis NAT. Jenze kdyz to udelas blbe (natujes na eth0, ktera ma X verejnych IP, ale nam staci klidne jedna), tak se proste ty kompy neuvidej.

Jelikoz router vi, ze ma z eth1 NATovat a z eth2 normalne routovat, jenze kdyz provede NAT, posle paket na eth0 (default) coz je blbe. Dalsi router totiz veme cilovou IP a paket vesele vrati zpet. No a ten se pak nejspis zahodi, protoze mi prece nemuze prijit "zvenku" paket, kterej sem odeslal ja sam.

=> musis tam mit pravidlo typu if cil = 195.217.36/24 then posli paket na eth2

[Jezevec]

mam jednu verejnou a 2 neverejne. ale ty dve neverejne se nikde nepouzivaji. server pouziva tu verejnou a routuje tu malou lanku co tu mam
uz sem jim psal (na karneval) tak sem zvedava s cim se vytasej (doufam ze me zas budou tvrdit nejake stuidity jako ohledne DVB)

Pokud ti staci pristup pres IP, tak tomu serveru proste pridel krom te verejne taky jednu z tech privatnich. Pokud vim, v ramci kabelovky by to melo fungovat.

[tominek]

Pokud ti staci pristup pres IP, tak tomu serveru proste pridel krom te verejne taky jednu z tech privatnich. Pokud vim, v ramci kabelovky by to melo fungovat.

no me to prijde trosku krkolomne. dle me to je problem na strane poskytovatele a mel by to vyresit. pravdepodobne me ale nic jineho nezbyde

[tominek]

Karneval:

Vazeny zakazniku,

dekujeme za zaslani Vaseho dotazu.

Z nasi strany k zadnemu blokovani ci omezeni nedochazi. Ping na verejnou IP
adresu muze byt blokovan treba i zapnutym firewallem.
Prosim o pripadne uvedeni danych IP adres, abychom mohli danou situaci proverit.

S pozdravem a pranim pekneho dne,

Pavel Skarda
Specialista podpory datovych sluzeb

Karneval Media s.r.o.
U Svobodarny 1500/5
190 00 Praha 9

tel: 844 111 116
fax: 284 085 000

vice na www.karneval.cz

[Jezevec]

lol, bud si jim to blbe popsal, nebo sou blby oni, protoze nepochopili, ze to je jejich blbym nastavenim a ne tim ze by to tak meli schvalne.

Otazka, ti co na tebe lezou maj FW ? Jedine ze by to bylo blokly u nich - widle (XP) default blokujou ICMP => neprijde ani odezva na ping, ale to by jim pak nefungoval nikam.

[hwsoft]

Ne, chapes to uplne spatne. On ma jen verejnou IP (respektive pouziva jen verejnou IP). A pokud mas jen privatni IP, tak NEMUZES tu verejnou videt primo. Musel bys mit jeste taky verejnou ze stejnyho rozsahu.

No asi to nechapu, ale normalne delam verejnou tak, ze zNATuju privatni 1:1, cimz mas jak verejnou, tak privatni. Ale to je asi jak koukam jenom specialita FreeNetu, kvuli svobodne komunikaci mezi cleny. (ne ze by neslo i tak jak pise ze to ma Karneval)

[hwsoft]

Zkratka kdyz propojis dva kompy a kazdymu das IP z jinyho rozsahu, tak pro sebe logicky neexistujou, ac sou na stejnym kabelu. Kdyz jim pridas router, tak uz to fingovat muze (bez ohledu na privatni/verejny rozsahy), ale RFC odporuje to, aby spolu komunikoval komp s verejnou a privatni IP, chapes ?

Pr:
PC1 - 192.168.1.5/24, GW 192.168.1.1 => vidi kompy v rozsahu 192.168.1.x
PC2 - 195.217.36.20/24, GW 195.217.36.1 => vidi kompy v rozsahu 195.217.36.x

Jak zaridis aby se videli vzajmene ? Jedine tim, ze mas router, pro jednoduchost majici eth1 a eh2 s IP adresama odpovidajicim GW PC1 a 2 a mas povoleno routovani.

Jenze prave podle RFC tohle udelat nemuzes, protoze IP PC1 je privatni => nesmi pres router projit. Tudiz nastavis NAT. Jenze kdyz to udelas blbe (natujes na eth0, ktera ma X verejnych IP, ale nam staci klidne jedna), tak se proste ty kompy neuvidej.

Jelikoz router vi, ze ma z eth1 NATovat a z eth2 normalne routovat, jenze kdyz provede NAT, posle paket na eth0 (default) coz je blbe. Dalsi router totiz veme cilovou IP a paket vesele vrati zpet. No a ten se pak nejspis zahodi, protoze mi prece nemuze prijit "zvenku" paket, kterej sem odeslal ja sam.

=> musis tam mit pravidlo typu if cil = 195.217.36/24 then posli paket na eth2

Proc bys nemohl mit v siti jak privatni, tak verejny IP. Jediny omezeni je, ze ty neverejny neposles mimo svoji sit, jak mas svuj segment udelanej, tam te zadny RFC neomezuje.

(jinak to ze na sebe nevidi dva kompy kdyz maji ruzne nastaveny rozsah neni tak uplne pravda , staci mit v ARP tabulce zaznam a jedes, i kdyz nevim, jestli to plati ve vsech OS)

[tominek]

lol, bud si jim to blbe popsal, nebo sou blby oni, protoze nepochopili, ze to je jejich blbym nastavenim a ne tim ze by to tak meli schvalne.

Otazka, ti co na tebe lezou maj FW ? Jedine ze by to bylo blokly u nich - widle (XP) default blokujou ICMP => neprijde ani odezva na ping, ale to by jim pak nefungoval nikam.

myslim ze jsem jim to posla dobre (presne jako vam tady) jen sem dodal ze tim omezuji smluvni podminky (coz si mozna vylozili jako ze neco zamerne omezuji/blokuji)

[tominek]

Vazeny kliente,

dekujeme za zaslani upresnujicich udaju.

Ping na Vasi verejnou IP adresu neni v ramci site blokovan. Prave doslo k
provereni a odezva od IP adresy 84.242.66.36 je v ramci nasi site v poradku.
Muzete prosim uvest nejake dalsi IP adresy, ktere maji ze zobrazenim prijem?

Predem dekuji,

S pozdravem a pranim pekneho dne,

XXX
Specialista podpory datovych sluzeb

co na to doktor-prase. pingnes me? odbornici rikaji ze NP. kdyztak se me ozvi

[Doktor-Prase]

hih, soudruzi z karnevalu udelali asi nekde chybu...

[tominek]

Vazeny zakazniku,

prave doslo k provereni pingu na Vami uvedenou IP adresu z nekolika neverejnych
IP adres, kteri uzivaji nasi konektivitu pripojeni k internetu. Ve vsech
pripadech byl ping na IP adresu uspesny. Z tohoto duvodu doporucuji proverit
nastaveni ochrany a pripojeni u klienta s IP adresou 10.5.166.74.

S pozdravem a pranim pekneho dne,

XXX
Specialista podpory datovych sluzeb

co ty na to doktor??

zajimave ze to dela i dalsimu cloveku co je na karnevalu.

[Doktor-Prase]

ja fakt nevim, napsal jsem jim taky email, uvidime jak se vyjadri... vsechno mi jde normalne pingovat, jenom tomnek.homelinux.com ne... fakt divny

[edit]Hu, tak jsem to opet po x-ty zkusil a najednou to funguje.... divny...zadna zmena nastaveni cehokoliv a jede to
[edit2] jede i HTTP, takze karneval dela mrtvyho brouka zda se mi.

[tominek]

nejzajimavejsi je ze ten dalsi znamy jehoz IP sem podpore na Karnevalu neposkytl se ke me porad jeste nedostane. to je ale nahodicka

poprosil bych lidi tady z 4a co jsou na karnevalu jestli maji podobne potize pripadne at se mi ozvou pres ICQ at vyzkousime pingy. diky moc