Hallo,
vom einem PC im Internet soll auf einen server zugegriffen werden, der sich hinter einem DSL router mit Firewall aber ohne NAT befindet.
Der Server hat normalen internet zugang, und an der firewall geht nach außen hin alles, von außen->drin können beliebige ports geöffnet werden.
Nur wie kann man nun ohne einstellbares NAT auf diesen PC zugreifen?
Er könnte sich z.b. auf dem anderen PC melden mit der Router-IP adresse oder sonst was.
Oder geht das mit SSH? Sind beide windows pc’s.
Danke
Moin
vom einem PC im Internet soll auf einen server zugegriffen
werden, der sich hinter einem DSL router mit Firewall aber
ohne NAT befindet.
Ein Router führt immer ein Art NAT durch. Ob er das nun anzeigt oder nicht …
Der Server hat normalen internet zugang, und an der firewall
geht nach außen hin alles, von außen->drin können beliebige
ports geöffnet werden.
Dann öffne maldie Ports die deine Anwedungen brauchen. Um welche Protokolle gehts eigentlich ? http ? ftp ?
Nur wie kann man nun ohne einstellbares NAT auf diesen PC
zugreifen?
Wenn man die Zuordnung draussen -> drinnen vornehmen kann ist das NAT einstellbar.
Oder geht das mit SSH?
… du meinst wahrscheinlich vpn. Ja das geht auch. ssh-tunneln ist mehr die Spezialiät von linux.
cu
Hallo,
Auch hallo
vom einem PC im Internet soll auf einen server zugegriffen
werden, der sich hinter einem DSL router mit Firewall aber
ohne NAT befindet.
DSL Router verwenden immer eine Art NAT, und dieses System IST die Firewal da viren etc. nicht auf deinen PC kommen , genauso nicht wie du von außen, da sich kein fixer Eintrag in der Table befindet.
Das was du als Firewalleinstellungen bezeichnest sind NAT Einträge, sonst nichts.
Der Server hat normalen internet zugang, und an der firewall
geht nach außen hin alles, von außen->drin können beliebige
ports geöffnet werden.
Genau das ist die Vorgangsweise von NAT: Paket von innen, Eintrag in die Table und bei Antwort wieder mit der table abgleichen, drum geht von innen alles raus.
Nur wie kann man nun ohne einstellbares NAT auf diesen PC
zugreifen?
Du hast NAT.Einfach die Route eintragen
Er könnte sich z.b. auf dem anderen PC melden mit der
Router-IP adresse oder sonst was.
Oder geht das mit SSH? Sind beide windows pc’s.
Wenn du die dafür benötigten Ports öffnest, warum nicht.
Danke
np,
lg Alex
Hi,
ja die Firewall macht natürlich schon NAT.
Nur gibt es eben genau diesen Menüpunkt nicht, der eine Weiterleitung aufgrund eines Portes an eine lokale IP vornimmt.
Ich habe genau das gleiche an einem anderen Router eingestellt, dort funktioniert es.
Dazu musste ich die Firewall für den Port durchlässig machen, UND die Route im NAT für den Port an eine IP weiterleiten.
Genau dieser Punkt geht aber an dem Router nicht.
Weiss jemand wie das geht mit openssh?
Damit müsste der PC hinter dem Router sich bei dem anderen anmelden, und dann kann man von dem anderen wieder zurück zum server hinter dem router.
Nur wie kann man nun ohne einstellbares NAT auf diesen PC
zugreifen?
Du hast NAT.Einfach die Route eintragen
Er könnte sich z.b. auf dem anderen PC melden mit der
Router-IP adresse oder sonst was.
Oder geht das mit SSH? Sind beide windows pc’s.
Wenn du die dafür benötigten Ports öffnest, warum nicht.
Danke
np,
lg Alex
Hallo,
ein paar Details wären noch wichtig:
- Welcher Router/Firewall ?
- Welches Protokoll bzw. welcher Dienst soll von aussen erreichbar sein ?
Gruss
AgentJ
Hi,
ja die Firewall macht natürlich schon NAT.
NAT ist das grunprinziep wie der Router funktioniert. Die Firewall macht nicht NAT, NAT macht oder ist die Firewall automatisch, das ist einfach die Art des Systems.
Nur gibt es eben genau diesen Menüpunkt nicht, der eine
Weiterleitung aufgrund eines Portes an eine lokale IP
vornimmt.
auch kein Portforwarding oder Static Route?
lg Alex
Hi,
es ist die Soho Firebox 5 (ab der 6er geht NAT soweit ich weiß).
Port ist eigentlich egal, es reicht völlig wenn einfach eine VNC Verbindung hergestellt werden kann.
ein paar Details wären noch wichtig:
- Welcher Router/Firewall ?
- Welches Protokoll bzw. welcher Dienst soll von aussen
erreichbar sein ?
Gruss
AgentJ
Hi
ich habe mich bezüglich NAt vielleicht etwas unglücklich ausgedrückt, aber ich hoffe es ist klar wie es gemeint war.
Portforwarding geht definitiv nicht.
Static Route habe ich mal etwas dazu gelesen, ist das nicht nur für externe Netze? Außerdem kann man dort keinen Port einstellen.
[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]
Hi,
es ist die Soho Firebox 5 (ab der 6er geht NAT soweit ich
weiß).
Port ist eigentlich egal, es reicht völlig wenn einfach eine
VNC Verbindung hergestellt werden kann.
Also wenn es diese Soho Box 5 von Watchguard ist, dann schau doch mal hier:
http://www.watchguard.com/help/docs/v50SOHOUserGuide…
Chapter 5 - COnfiguring incoming and outgoing services
Da steht alles genau drin, wie man sowas mit dem Teil macht.
cu
AgentJ
Hi Josef,
ich bin mir nicht sicher ob ich Dich richtig verstehe.
Aber das sollte doch mit Symantec VPN 7.0 realisierbar sein. Entweder mit fester oder dynamischer IP.
Jedenfalls funzt das bei uns bestens.
Gruss Sebastian
Hi,
danke für die Antwort. Habe es ja schon mit diesem Punkt versucht, allerdings ohne Erfolg.
Lokal funktioniert die Verbindung (also alles was schon hinter der Firewall ist), wenn man nun von extern Zugreifen möchte, geht es nicht.
Mich macht auch stutzig, daß in diesem Menü nicht ein Port zu einer IP vergeben wird, sondern es auch möglich ist, ganze Ranges anzugeben.
Klingt ganz so, als ob die Firewall dann das Paket durchlässt, aber nicht zum passenden PC routet.
Und nun?
es ist die Soho Firebox 5 (ab der 6er geht NAT soweit ich
weiß).
Port ist eigentlich egal, es reicht völlig wenn einfach eine
VNC Verbindung hergestellt werden kann.
Also wenn es diese Soho Box 5 von Watchguard ist, dann schau
doch mal hier:
http://www.watchguard.com/help/docs/v50SOHOUserGuide…
Chapter 5 - COnfiguring incoming and outgoing services
Da steht alles genau drin, wie man sowas mit dem Teil macht.
cu
AgentJ
Hallo,
Lokal funktioniert die Verbindung (also alles was schon hinter
der Firewall ist), wenn man nun von extern Zugreifen möchte,
geht es nicht.
Wäre ja auch schlimm wenn das nicht funktionieren würde. Im LAN spielt die FW keine Rolle.
Mich macht auch stutzig, daß in diesem Menü nicht ein Port zu
einer IP vergeben wird, sondern es auch möglich ist, ganze
Ranges anzugeben.
Ranges ist schon OK. Für manche Dienste muss man teilweise komplette Port-Ranges aufmachen, daher ist das schon OK. Macht die Administration einfacher.
Klingt ganz so, als ob die Firewall dann das Paket durchlässt,
aber nicht zum passenden PC routet.
Und nun?
Jetzt wirds kompliziert…
Ok, noch ein paar Infos:
- Welchen Kenntnisstand hast Du bezüglich Netzwerke, TCP/IP und Firewalls ? Nicht falsch verstehen, will nur abchecken, ab wo wir mit der Suche anfangen müssen.
- LOG´s der Soho mal checken während Du eine Verbindung probiert hast. Am Besten dann den Ausschnitt aus dem LOG mal hier posten und dabei angeben, welche externe und interne IP´s involviert waren.
Eine weitere Möglichkeit wäre noch, dass eine (noch) fehlerhafte Firmware auf dem Teil drauf ist. Prüfe doch mal, welches die letzte Firmware der Box ist und vergleiche die mal mit Deiner Version. Glaube da muss man sich bei der Herstellerseite einen Account anlegen, um die Downloads einsehen zu können.
Gruss
AgentJ
Hi,
Ok, noch ein paar Infos:
- Welchen Kenntnisstand hast Du bezüglich Netzwerke, TCP/IP
und Firewalls ? Nicht falsch verstehen, will nur abchecken, ab
wo wir mit der Suche anfangen müssen.
Hm, wie soll ich das im Detail darstellen? Ich bin kein Einsteiger, du kannst ruhig im rauen Umgangston mit mir sprechen 
- LOG´s der Soho mal checken während Du eine Verbindung
probiert hast. Am Besten dann den Ausschnitt aus dem LOG mal
hier posten und dabei angeben, welche externe und interne IP´s
involviert waren.
Da konnte ich bisher nichts sinnvolles finden, aber ok, vielleicht finde ich noch was.
Eine weitere Möglichkeit wäre noch, dass eine (noch)
fehlerhafte Firmware auf dem Teil drauf ist. Prüfe doch mal,
welches die letzte Firmware der Box ist und vergleiche die mal
mit Deiner Version. Glaube da muss man sich bei der
Herstellerseite einen Account anlegen, um die Downloads
einsehen zu können.
Und genau das ist nun das Problem.
Die Firmware ist die allererste die dabei war (also 5er Version).
Mittlerweile gibts wohl sicher einige Updates, und ab der 6er gibt es in den Specs eine Unterstützung NAT/SUA.
Mein Problem ist: Da läuft ein VPN drauf, und wenn ich da ein Update mache, kann es sein, daß dort eben nicht mehr alles funktioniert.
Zumal ich nicht mehr alle Daten habe, und das VPN auf keinen Fall ausfallen darf…
Hallo,
Hm, wie soll ich das im Detail darstellen? Ich bin kein
Einsteiger, du kannst ruhig im rauen Umgangston mit mir
sprechen
OK, dann ist ja alles OK
Da konnte ich bisher nichts sinnvolles finden, aber ok,
vielleicht finde ich noch was.
Wie gesagt, kannste mal den Ausschnitt hier posten, dann schauen wir mal gemeinsam wenn Du willst.
Und genau das ist nun das Problem.
Die Firmware ist die allererste die dabei war (also 5er
Version).
Mittlerweile gibts wohl sicher einige Updates, und ab der 6er
gibt es in den Specs eine Unterstützung NAT/SUA.
Mein Problem ist: Da läuft ein VPN drauf, und wenn ich da ein
Update mache, kann es sein, daß dort eben nicht mehr alles
funktioniert.
Zumal ich nicht mehr alle Daten habe, und das VPN auf keinen
Fall ausfallen darf…
OK OK, besser gesagt, SCHLECHT.
Also, so wie ich das verstanden habe, ist die SOHO 6 ein Nachfolgemodell, also wirst Du sicherlich nur Firmware der 5er Reihe aufspielen können. Wenn es die erste Firmware des Auslieferungsstands war, dann kann es gut sein, daß da noch einige Bugs drin sind.
Eine 6er Firmware wird darauf sicherlich nicht laufen.
Jetzt aber zu Deinem größeren Problem. Wast machst Du, wenn das Teil mal den Geist aufgibt ? Wenn Du nicht mal alle notwendigen Infos zum VPN hast, kannst Du im Notfall nicht mal einen Ersatz aufbauen, zumindest nicht mit der alten Konfiguration.
Ich will Dich ja nicht bevormunden, aber das ist höchst fahrlässig. Du solltest hier auf jeden Fall einen Ersatz zur Verfügung haben bzw. die notwendigen VPN-Details dokumentieren.
Schau doch mal, ob Du nicht die alte Firmware und Konfig vor einem Update sichern kannst. Wenn ja, dann kannst Du das Update ja problemlos ausprobieren. Trotzdem solltest Du über ein Backupsystem nachdenken, denn der Desasterfall kommt bestimmt.
Ein ganz gutes kostenloses System ist der IPCOP (http://www.ipcop.org). Damit funzt auch VPN ganz gut.
Gruss
AgentJ
Hallo
Wie gesagt, kannste mal den Ausschnitt hier posten, dann
schauen wir mal gemeinsam wenn Du willst.
Ok, wenn ich was habe melde ich mich.
Also, so wie ich das verstanden habe, ist die SOHO 6 ein
Nachfolgemodell, also wirst Du sicherlich nur Firmware der 5er
Reihe aufspielen können. Wenn es die erste Firmware des
Auslieferungsstands war, dann kann es gut sein, daß da noch
einige Bugs drin sind.
Eine 6er Firmware wird darauf sicherlich nicht laufen.
Das ist das, was auf der Seite nicht ganz klar wird.
Jetzt aber zu Deinem größeren Problem. Wast machst Du, wenn
das Teil mal den Geist aufgibt ? Wenn Du nicht mal alle
notwendigen Infos zum VPN hast, kannst Du im Notfall nicht mal
einen Ersatz aufbauen, zumindest nicht mit der alten
Konfiguration.
Ich will Dich ja nicht bevormunden, aber das ist höchst
fahrlässig.
Ja, ohne da groß auszuholen, es ist für Abhilfe gesorgt.
Nur muss ich mich da jetzt mit dem bestehenden Zeug und der
NAT Problematik auseinandersetzen.
Was kann ich denn da tun?
Ich weiss das es irgenwie möglich ist, mit openssh die verbindung falschrum aufzubauen, aber funktioniert hats bisher nicht.
Hi,
ich versuche vom internen Netz auf den genannten Server zuzugreifen, weil ich grad am Netz bin.
Dazu gebe ich in VNC die IP des Routers ein, der dann das NAT machen müsste.
Er macht aber folgendes:
Packet discarded from 10.10.37.59 port 3924 to 84.161.114.11 port 5900 (TCP)(port not available)
Ich bin der .37.59, das andere ist die Routeradresse.
In der Firewall ist ein custom service definiert, hier das Stück aus dem Config file:
services.vnc.incoming.filter: allow
services.vnc.incoming.hosts.external:
services.vnc.incoming.hosts.internal:
services.vnc.incoming.nat: external-10.10.37.90
services.vnc.list: sub0 sub1 sub2
services.vnc.outgoing.filter: allow
services.vnc.outgoing.hosts.external:
services.vnc.outgoing.hosts.internal:
services.vnc.sub0.port_number:
services.vnc.sub0.protocol: 3
services.vnc.sub1.port_number: 5900-5901
services.vnc.sub1.protocol: tcp
services.vnc.sub2.port_number: 3800-4000
services.vnc.sub2.protocol: tcp
services.vnc.userdefined: 1
Die Ports 3800 bis 4000 habe ich eben geöffnet, weil er das im Protokoll ja discarded hat.
Hilft das weiter?
Hallo,
okay, 10.10.37.59 ist also Deine externe Adresse über die Du per VNC auf das interne Netz des Routers zugreifen willst. Ich frage mich jetzt gerade, wie Du das machst, da dieses Netz wohl in Marina del Rey, CA ist ? Mal ne dumme Frage, wie hast Du das getestet mit dem externen Zugriff ? War das jemand aus Übersee, dem Du den Zugriff geben wolltest oder kommt das aus dem VPN-Netz, das sowieso besteht ?
Er macht aber folgendes:
Packet discarded from 10.10.37.59 port 3924 to 84.161.114.11
port 5900 (TCP)(port not available)
OK, das Log sagt aus, daß der Zielport 5900 von VNC nicht erreichbar ist.
services.vnc.incoming.filter: allow
services.vnc.incoming.hosts.external:
services.vnc.incoming.hosts.internal:
services.vnc.incoming.nat: external-10.10.37.90
okay, diese Config sagt mir nicht unbedingt viel aber es sieht irgendwie so aus, als ob das Port-Forwarding nicht richtig eingestellt ist. Man sieht nirgends, wohin der Dienst gemapped/geroutet werden soll.
Ich frage mich wie die 10.10.37.90 da als external reinkommt. Prüfe wie gesagt mal, ob dieses Subnetz was mit dem VPN zu tun hat.
Die Ports 3800 bis 4000 habe ich eben geöffnet, weil er das im
Protokoll ja discarded hat.
Da verwechselst Du was. Der Port 3924 war der SourcePort und der ist nicht wichtig. Wichtig ist der Zielport 5900 und der sollte ja offen sein. Die 3800-4000 musst Du nicht aufmachen.
cu
AgentJ
Hi,
danke erstmal.
Ich war im Netz, also auch mit einer lokalen 10.10.37. Adresse.
Von hier aus kann ich 10.10.37.10 in VNC eingeben, und erreiche dann den Server. Soweit funktionierts.
Nun von außen.
Ich bin immer noch im Netz mit meiner lokalen Adresse, gebe aber in VNC zum verbinden nun die IP Adresse, die mir mein Provider dem Router gerade zugeteilt hat, z.b. eben eine 84.160.x.x.
Nun sollte der offene und geroutete Port auf dem Router auf meinen 10.10.37.10 weiterleiten.
Stattdessen discarded er das Paket.
Ich dachte mir schon, daß ich die 3800 usw. ports nicht öffnen brauche, einen Test wars mir Wert.
Ok, wenn ich nun wirklich aus dem Netz bin und aus irgendwo in der Welt genau das gleiche mache, wird mein Paket auch discarded, daran kanns also nicht liegen.
okay, 10.10.37.59 ist also Deine externe Adresse über die Du
per VNC auf das interne Netz des Routers zugreifen willst. Ich
frage mich jetzt gerade, wie Du das machst, da dieses Netz
wohl in Marina del Rey, CA ist ? Mal ne dumme Frage, wie hast
Du das getestet mit dem externen Zugriff ? War das jemand aus
Übersee, dem Du den Zugriff geben wolltest oder kommt das aus
dem VPN-Netz, das sowieso besteht ?
Er macht aber folgendes:
Packet discarded from 10.10.37.59 port 3924 to 84.161.114.11
port 5900 (TCP)(port not available)
OK, das Log sagt aus, daß der Zielport 5900 von VNC nicht
erreichbar ist.
services.vnc.incoming.filter: allow
services.vnc.incoming.hosts.external:
services.vnc.incoming.hosts.internal:
services.vnc.incoming.nat: external-10.10.37.90
okay, diese Config sagt mir nicht unbedingt viel aber es sieht
irgendwie so aus, als ob das Port-Forwarding nicht richtig
eingestellt ist. Man sieht nirgends, wohin der Dienst
gemapped/geroutet werden soll.
Ich frage mich wie die 10.10.37.90 da als external reinkommt.
Prüfe wie gesagt mal, ob dieses Subnetz was mit dem VPN zu tun
hat.
Die Ports 3800 bis 4000 habe ich eben geöffnet, weil er das im
Protokoll ja discarded hat.
Da verwechselst Du was. Der Port 3924 war der SourcePort und
der ist nicht wichtig. Wichtig ist der Zielport 5900 und der
sollte ja offen sein. Die 3800-4000 musst Du nicht aufmachen.
cu
AgentJ
Hi,
Ich war im Netz, also auch mit einer lokalen 10.10.37.
Adresse.
Von hier aus kann ich 10.10.37.10 in VNC eingeben, und
erreiche dann den Server. Soweit funktionierts.
Das sollte im Normalfall ja auch im VPN funktionieren, es sei denn, der Traffic im VPN-Tunnel ist nochmal eingeschränkt.
Nun von außen.
Ich bin immer noch im Netz mit meiner lokalen Adresse, gebe
aber in VNC zum verbinden nun die IP Adresse, die mir mein
Provider dem Router gerade zugeteilt hat, z.b. eben eine
84.160.x.x.
Nun sollte der offene und geroutete Port auf dem Router auf
meinen 10.10.37.10 weiterleiten.
Stattdessen discarded er das Paket.
Das funzt auf jeden Fall nicht. Von innen über außen nach innen geht einfach nicht.
Ok, wenn ich nun wirklich aus dem Netz bin und aus irgendwo in
der Welt genau das gleiche mache, wird mein Paket auch
discarded, daran kanns also nicht liegen.
Wie gesagt, die config scheint dahingehend noch nicht so richtig zu funktionieren. Vielleicht wird da auch was mit dem VPN durcheinander gebracht.
Ich würde auf jeden Fall mal die Firmware updaten und dann nochmal die komplette Konfiguration checken.
Mehr kann ich Dir jetzt aus der Ferne auch nicht mehr helfen.
Viel Glück
cu
AgentJ
erreiche dann den Server. Soweit funktionierts.
Das sollte im Normalfall ja auch im VPN funktionieren, es sei
denn, der Traffic im VPN-Tunnel ist nochmal eingeschränkt.
Das VPN hat mit meiner VNC Verbindung nichts zu tun, die kann ganz normal laufen.
Nun von außen.
Nun sollte der offene und geroutete Port auf dem Router auf
meinen 10.10.37.10 weiterleiten.
Stattdessen discarded er das Paket.
Das funzt auf jeden Fall nicht. Von innen über außen nach
innen geht einfach nicht.
Warum denn eigentlich nicht? An einem Zyxel Router funktioniert genau das gleiche.
Das Paket darf doch raus, hat eine Adresse, und darf wieder rein. Was spricht da dagegen?
discarded, daran kanns also nicht liegen.
Wie gesagt, die config scheint dahingehend noch nicht so
richtig zu funktionieren. Vielleicht wird da auch was mit dem
VPN durcheinander gebracht.
Eigentlich wie gesagt 2 völlig getrennte paar Stiefel.
Ich würde auf jeden Fall mal die Firmware updaten und dann
nochmal die komplette Konfiguration checken.
Wir kann ich denn die VPN Keys usw. sichern, wenn ich die nicht irgendwo habe? Es geht dort nicht per FTP…
Mehr kann ich Dir jetzt aus der Ferne auch nicht mehr helfen.
Danke, du hast mir schon mehr geholfen als andere.
Ich denke das Routing tut nicht richtig, und eine Firmware würde helfen. Aber wenn jemand hier mir sagen kann wie ich das mit SSH machen kann, wäre das einfacher.
Ich habe schon 2 PCs mit OpenSSH, und ein wenig probiert.
Noch nicht genug, wie mir scheint.