Показать полную графическую версию : [решено] Доступ к внутренней сети из интернета
Имеется сеть:
http://s1.ipicture.ru/uploads/20130719/JFKUTkRM.jpg
Не суть, но таким образом найдена проблема:
1 - Имеется программные продукты Filemaker (эпловский прототип MS Access), в работе по сети использует порт 5003
2 - На сервере установлено ПО - FileMaker Server 12, дает доступ к расшаренным базам.
3 - На компьютере 192.168.0.5, установлен Filmaker Pro 12, работа с базами, а также имеет аналогичные но урезанные функции сервера (ограниченное количество подключений).
Доступ к базам во внутренней (локальной) сети - есть.
Доступ к странице DSL_2640NRU из интернета (ввод динамического, внешнего ип модема в браузере) - есть.
Брандмауеры везде отключены.
Проброс портов (Forwarding port) делал на сервере, далее решил мучить свой слушебный ПК (присвоив ему статичского ИП в подсети с модемом):
1 - виртуальный сервер
http://s1.ipicture.ru/uploads/20130719/RU1S4xAi.jpg
2 - ДМЗ (читал, что тоже используется для проброса портов)
http://s1.ipicture.ru/uploads/20130719/dI5ooSpB.jpg
Какие еще варианты есть, чтобы открыть порт?
Rezor666
19-07-2013, 16:01
Наверно прикольно иметь сетку из различных устройств Apple но при этом зажать денег на нормальный шлюз и построить сеть на широпотребном DSL_2640NRU.
AMDBulldozer
19-07-2013, 17:15
Какие еще варианты есть, чтобы открыть порт? »
Простите, не совсем понятен вопрос.
Вас интересует чисто теоретически список всех способов которыми можно "открыть" порт? (таких, строго говоря, вообще не существует, но это уже скорее вопрос терминологии)
Или у Вас по каким-то причинам не получается выполнить перенаправление портов и Вы хотите найти какой-то другой способ? Или Вы всё-таки перенаправление выполнили, но порт из сети сканируется как закрытый?
Если бы Вы немного пояснили смысл своего вопроса, нам был бы легче Вам попытаться Вам помочь.
Наверно прикольно иметь сетку из различных устройств Apple но при этом зажать денег на нормальный шлюз и построить сеть на широпотребном DSL_2640NRU. »
Не все сразу, работаем с тем что есть:)
Это намек на то, что проблема может быть в DSL_2640NRU?
Вас интересует чисто теоретически список всех способов которыми можно "открыть" порт? (таких, строго говоря, вообще не существует, но это уже скорее вопрос терминологии) »
Нет, не теоретически, а практический выход из ситуации. Просто незнаю уже что делать. И где искать проблему, несчитая провайдера.
Или у Вас по каким-то причинам не получается выполнить перенаправление портов и Вы хотите найти какой-то другой способ? Или Вы всё-таки перенаправление выполнили, но порт из сети сканируется как закрытый? »
Если по 2 и 3 рис. можно сказать, что я выполнил перенаправление - то да, ищу и другие способы и порт все таки закрыт.
Я попробую пояснить, если получится. Смысл: предоставить программе-клиенту, использующую 5003 порт, доступ к программе-серверу, тот же порт.
alef2474
19-07-2013, 17:52
Нужно уточнение вопроса: на каком комп-е работает программа-сервер и на каких клиенты. Что работает и что не работает в настоящее время.
Используйте cisco, они надежнее работают и гибче настраиваются.
Если на 0.5 (DMZ) из локалки не работает, то так и должно, но на сервере базы, наверно уж, работают или нет?
Rezor666
19-07-2013, 18:31
kairden, А у Вас ip белый хоть?
Это намек на то, что проблема может быть в DSL_2640NRU? »
Это намек на то что данного оборудования в организации быть вообще не должно.
И да, сложно диагностировать проблемы на таком оборудовании.
Особенно D-link у которых прошивки пишут китайцы, хотя у всех бюджетников пишут китайцы...
Нужно уточнение вопроса: на каком комп-е работает программа-сервер и на каких клиенты. Что работает и что не работает в настоящее время.
Используйте cisco, они надежнее работают и гибче настраиваются. »
Программа-сервер работает на сервере (рис. 1), клиенты - все стац и портат пк. В настоящее время не работает доступ из интернета, к компьютерам внутренней (локальной) сети.
Если на 0.5 (DMZ) из локалки не работает, то так и должно, но на сервере базы, наверно уж, работают или нет? »
Если имеешь ввиду - доступ к базам внутри сети (локально), то - да.
И да, сложно диагностировать проблемы на таком оборудовании.
Особенно D-link у которых прошивки пишут китайцы, хотя у всех бюджетников пишут китайцы... »
Насколько вероятно, что новое оборудование решит проблему?
То, что проблема может исхоить от провайдера - возможно?
AMDBulldozer
19-07-2013, 20:00
kairden, спасибо, теперь понятно. У Вас не получается "открыть" порт.
При этом у Вас очень хорошо сформулирован исходный вопрос. Не хватало только фразы о том, что доступа к программе-серверу на 192.168.0.5 из интернета всё равно почему-то нет.
Давайте пойдем по пунктам.
Исходя из того что Вы написали, видно, что все необходимые действия Вами выполнены. Но результата нет.
Для начала Вы можете просканировать Ваш внешний ip чем-нибудь вроде nmap и показать результаты (только порты, Ваш ip не нужен).
Вопрос второй - можете тем же nmap просканировать 192.168.0.5 из сети?
Вопрос третий, есть ли у Вас под рукой какой-нибудь сниффер? Wireshark или tcpdump - я ПО Mac'ов, к сожалению, не знаю.
Поясняю причину, по которой я задал такие вопросы: Вы допускаете возможность, что программе-серверу требуется еще какой-нибудь порт?
IT Shepherd
19-07-2013, 20:06
kairden, я вот смотрю на ваш скриншот настроек виртуальных серверов и не могу понять, как можно одновременно пробрасывать порты для разных подсетей??? У вас внутренняя сеть шлюза точно 192.168.0.х?
AMDBulldozer
19-07-2013, 20:09
не могу понять, как можно одновременно пробрасывать порты для разных подсетей »
Я думаю, это сеть класса "B", а не С.
IT Shepherd
19-07-2013, 20:17
Я думаю, это сеть класса "B", а не С. »
Непохоже, ибо
Проброс портов (Forwarding port) делал на сервере, далее решил мучить свой слушебный ПК (присвоив ему статичского ИП в подсети с модемом): »
То есть получается, сервер еще служит шлюзом между подсетью 192.168.0.х и 192.168.1.х.
Возможно причина каким-то образом связана с подсетями/коммутатором? Не думаю, что дело в Д-Линке, тем более что доступ к его интерфейсу из Интернета есть.
AMDBulldozer
19-07-2013, 20:37
Непохоже »
Если так, то порты проброшены в разные подсети - ничего особенного в этом тоже нет. NAT - это ведь всего лишь процедура замены в заголовке IP пакета одного адреса другим. Нет никаких ограничений на адреса которые или на которые заменяют. Если они из другой сети - какая разница? Главное чтобы их могли потом правильно маршрутизировать. А маршрутизироваться они должны правильно, потому что DNAT всегда выполняется в цепочке PREROUTING.
Rezor666
19-07-2013, 21:02
Так информацию по поводу ip мы не узнаем?
AMDBulldozer
19-07-2013, 21:21
Так информацию по поводу ip мы не узнаем? »
Автор написал, что доступ к http-серверу маршрутизатора из сети есть. С вероятностью 99% это означает наличие публичного ip. Согласитесь, глупо было бы со стороны провайдера выполнять NAT и переадресовывать единственный порт - всё равно публичных ip понадобится столько же, сколько есть клиентов.
Скорее уж можно было бы задать вопрос не выполняет ли провайдер фильтрацию портов. Я не стал его задавать, поскольку если порты и фильтруются, то всегда только привилегированные.
IT Shepherd
19-07-2013, 21:48
Если они из другой сети - какая разница? »
Я лишь хотел удостовериться, что шлюз и компьютер с программой-сервером находятся в одной подсети. Лично для меня очень странно наблюдать проброс в разные подсети, да еще и на устройство 192.168.1.224, которого на схеме не предусмотрено. :) А это означает, что схема не отражает всей картины сети.
Поясняю причину, по которой я задал такие вопросы: Вы допускаете возможность, что программе-серверу требуется еще какой-нибудь порт? »
kairden, вы можете на вашем служебном компьютере включить удаленный рабочий стол, пробросить 3389-й порт на ваш ПК и проверить его работоспособность? Или вы пробрасываете порт 8080. Что это и работает ли это правило?
Rezor666
20-07-2013, 19:51
Автор написал, что доступ к http-серверу маршрутизатора из сети есть. »
Да, вы правы, не заметил...
IT Shepherd
20-07-2013, 22:10
Я тут случайно "наткнулся" на так сказать предысторию (http://forum.oszone.net/thread-263720.html) вопроса. По-моему, это многое объясняет. :) Лично мне на данный момент не понятно, как у ТС ДСЛ-роутер подсоединен к основной сети: через сервер или коммутатор.
alef2474
21-07-2013, 00:59
В настоящее время не работает доступ из интернета, к компьютерам внутренней (локальной) сети. »
Для решения этой задачи Вам нужно или заменять/использовать другое оборудование с vpn (лучше cisco) или ставить между dlink и коммутатором дополнительный компьютер с двумя сетевыми и с Kerio Winroute Firewall (Control) или аналогичным - больше настраивать.
На имеющемся dlink не получится
Здравствуйте, я извинясь за долгое отсутствие.
Вижу, на многие вопросы адресованые мне уже давно ответили... но все равно попробую ответить сам.
kairden, А у Вас ip белый хоть? »
Я незнаю что это значит, просто ввожу временный внешний ип-адрес присвоенный модему.
Также вхожу через домен (динднс.орг), ситуация аналогичная.
При этом у Вас очень хорошо сформулирован исходный вопрос. Не хватало только фразы о том, что доступа к программе-серверу на 192.168.0.5 из интернета всё равно почему-то нет.
Давайте пойдем по пунктам.
Исходя из того что Вы написали, видно, что все необходимые действия Вами выполнены. Но результата нет.
Для начала Вы можете просканировать Ваш внешний ip чем-нибудь вроде nmap и показать результаты (только порты, Ваш ip не нужен).
Вопрос второй - можете тем же nmap просканировать 192.168.0.5 из сети?
Вопрос третий, есть ли у Вас под рукой какой-нибудь сниффер? Wireshark или tcpdump - я ПО Mac'ов, к сожалению, не знаю.
Поясняю причину, по которой я задал такие вопросы: Вы допускаете возможность, что программе-серверу требуется еще какой-нибудь порт? »
192.168.0.5 - я специально присвоил этот ип своему пк, думал этот поможет.
я сканировал проброшенные порты некоторыми интернет-ресурсами - везде дали понять что порт пингуется, но закрыт.
Внутри сети, все работает независимо от ип адресов, а с интернета нет.
Я тоже ПО Маков плохо знаю, а еще я незнаю что такое сниффер, Wireshark или tcpdump:) Я погуглю, попробую и отпишусь по этому члучаю.
Я задавал диапазон портов для ТСП и УДП 1-[max] - ситуация не менялась.
kairden, я вот смотрю на ваш скриншот настроек виртуальных серверов и не могу понять, как можно одновременно пробрасывать порты для разных подсетей??? У вас внутренняя сеть шлюза точно 192.168.0.х? »
То есть получается, сервер еще служит шлюзом между подсетью 192.168.0.х и 192.168.1.х.
Возможно причина каким-то образом связана с подсетями/коммутатором? Не думаю, что дело в Д-Линке, тем более что доступ к его интерфейсу из Интернета есть. »
Внутренняя сеть шлюза или шлюз внутренней сети? Если первое - я незнаю, второе - единственное что могу написать: у коммутатора ДГС 1216Т шлюз отличный.
Скорее уж можно было бы задать вопрос не выполняет ли провайдер фильтрацию портов. Я не стал его задавать, поскольку если порты и фильтруются, то всегда только привилегированные. »
Мне почему то кажется, что проблема именно в этом... Я звонил им, они предложили стат ип, и отключили НАТ - ситуация не изменилась.
Я лишь хотел удостовериться, что шлюз и компьютер с программой-сервером находятся в одной подсети. Лично для меня очень странно наблюдать проброс в разные подсети, да еще и на устройство 192.168.1.224, которого на схеме не предусмотрено. А это означает, что схема не отражает всей картины сети. »
Изначально это был ип адрес сервера, я забыл почистить список вирт серверов.
kairden, вы можете на вашем служебном компьютере включить удаленный рабочий стол, пробросить 3389-й порт на ваш ПК и проверить его работоспособность? Или вы пробрасываете порт 8080. Что это и работает ли это правило? »
Удаленный раб стол во внутренней сети работает.
Я тут случайно "наткнулся" на так сказать предысторию вопроса. По-моему, это многое объясняет. Лично мне на данный момент не понятно, как у ТС ДСЛ-роутер подсоединен к основной сети: через сервер или коммутатор. »
Через коммутатор, в предистории я же писал, что не могу на прямую подключиться к ДСЛ-роутеру.
Для начала Вы можете просканировать Ваш внешний ip чем-нибудь вроде nmap и показать результаты (только порты, Ваш ip не нужен). »
Completed Ping Scan at 17:28, 0.08s elapsed (1 total hosts)
Initiating Parallel DNS resolution of 1 host. at 17:28
Completed Parallel DNS resolution of 1 host. at 17:28, 11.75s elapsed
Initiating SYN Stealth Scan at 17:28
Scanning 91.185.30.188 [1000 ports]
Discovered open port 80/tcp on 91.185.30.188
Discovered open port 23/tcp on 91.185.30.188
Discovered open port 8888/tcp on 91.185.30.188
Discovered open port 5431/tcp on 91.185.30.188
Completed SYN Stealth Scan at 17:28, 0.83s elapsed (1000 total ports)
Initiating Service scan at 17:28
© OSzone.net 2001-2012
vBulletin v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.