Реальный IP через nat ?

[Ower]

Решил я подключить услугу реальный IP, которую предоставляем мой провайдер. В основном нужно для ssh. С нового месяца вроде как подключили..
Пытаюсь пинговать:

Код: Выделить всё

ping me
PING me 56(84) bytes of data.
From 172.18.0.100 icmp_seq=1 Time to live exceeded

отлично!

Попробовал ssh, ftp, http: нифига не работает.

Nmap:

Код: Выделить всё

nmap -PN me

Starting Nmap 5.21 ( http://nmap.org ) at 2010-12-02 21:01 EET
Nmap scan report for me
Host is up.
All 1000 scanned ports on me  are filtered

Nmap done: 1 IP address (1 host up) scanned in 201.21 seconds

iptables голый - все на accept

Звоню в техподдержку - там мне говорят, что-то о том что реальній ip через nat и ssh не получится завести, http получится. Потом он что-то говорит что если пошаманить ssh можно и настроить...

В общем, я немного нифига не понимаю. Реальный IP в моем понимании - меня пробрасывают в мир под неким ip и я могу получить полный доступ к своей машине.
Что это за бред какой-то??

Может чего-то настроить надо. В общем, пожалуйста, кто разбирается помогите,

Пользую донецкого прова Stels.

[rm_]

From 172.18.0.100 icmp_seq=1 Time to live exceeded

отлично!

Что именно "отлично"? Вы понимаете, что означает это сообщение?
Не говоря уж о том, что 172.18.0.100 - это не "реальный IP", а внутренний, из одного из диапазонов для локалок.

[SLEDopit]

В основном нужно для ssh.

Ну если вам нужно только для ssh, то ipv6 может решить эту проблему бесплатно (:

[Ower]

From 172.18.0.100 icmp_seq=1 Time to live exceeded

отлично!

Что именно "отлично"? Вы понимаете, что означает это сообщение?
Не говоря уж о том, что 172.18.0.100 - это не "реальный IP", а внутренний, из одного из диапазонов для локалок.

вы понимаете, что такое сарказм? )

В основном нужно для ssh.
Ну если вам нужно только для ssh, то ipv6 может решить эту проблему бесплатно (:

не только) вообще-то раз уж я заплатил деньги за услугу я хочу получить ее в полном объеме.

[SLEDopit]

вы понимаете, что такое сарказм? )

нет. потому что, если это был сарказм, зачем пытаться ломиться по ссш/фтп/хттп/етц на неправильный адрес?

[Ower]

вы понимаете, что такое сарказм? )

нет. потому что, если это был сарказм, зачем пытаться ломиться по ссш/фтп/хттп/етц на неправильный адрес?

потому что, может быть блочится только icmp.

[SLEDopit]

потому что, может быть блочится только icmp.

неправильный он, потому что блок 172.16.0.0/12 (172.16.0.0 - 172.31.255.255) зарезервирован под локальные адреса и не может быть внешним адресом.
если вы точно не знайте свой внешний адрес, зайдите, скажем, сюда и посмотрите свой адрес. ломиться надо на него.
во-вторых ни слова не сказано про то, как вы подключаетесь к сети. если у вас еще и роутер или еще что, то нужно порты пробрасывать.
потом некоторые провайдеры блокируют стандартные 22 и 80 порты, нужно убедиться, что у вашего этого нет.
ну для начала хватит.

[Ower]

ну я не совсем тупой. пинговал то я не 172* , а свой ip, котоый мне точно показывает плазмоид current ip, и подтвердили в техподдержке. так что все вышенаписанное в силе.
подключен по локалке через шлюз авторизация по порту.

потом некоторые провайдеры блокируют стандартные 22 и 80 порты, нужно убедиться, что у вашего этого нет.

да мне бы для начала хоть по 1 любому порту достучаться

[SLEDopit]

да мне бы для начала хоть по 1 любому порту достучаться sad.gif

ну подключение то как происходит? через роутер или напрямую к машине? сервисы, на которые пытаетесь достучаться запущены?

Потом он что-то говорит что если пошаманить ssh можно и настроить...

Что значит пошаманить?

[Ower]

ну подключение то как происходит? через роутер или напрямую к машине? сервисы, на которые пытаетесь достучаться запущены?

через роутер

Код: Выделить всё

route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.2.128.0      0.0.0.0         255.255.224.0   U     0      0        0 eth2
0.0.0.0         10.2.128.1      0.0.0.0         UG    0      0        0 eth2

сервисы запущены, порты открыты, iptables на accept

Код: Выделить всё

nmap localhost

Starting Nmap 5.21 ( http://nmap.org ) at 2010-12-02 23:06 EET
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000011s latency).
Not shown: 992 closed ports
PORT     STATE SERVICE
21/tcp   open  ftp
22/tcp   open  ssh
53/tcp   open  domain
80/tcp   open  http
111/tcp  open  rpcbind
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds
5432/tcp open  postgresql

Что значит пошаманить?

с бубном плясать

[SLEDopit]

через роутер

ок, а в роутере проброс портов настроен? конфигурация применена?

с бубном плясать

блин, ну я серьезно таки. как кто-нить сможет вам помочь, если вы не можете или не хотите предоставить полную информацию о своей проблеме? и так все клещами вытягивать приходится.

[Ower]

ок, а в роутере проброс портов настроен? конфигурация применена?

имеется в виду шлюз прова, что там у них настроено я не в курсе). ко мне напрямую сетевой кабель вставлен. по локалке через шлюз 10.2.128.1 получаю инет

блин, ну я серьезно таки. как кто-нить сможет вам помочь, если вы не можете или не хотите предоставить полную информацию о своей проблеме? и так все клещами вытягивать приходится.

да в саппорте ничего толком не сказали. просто вначале говорил, что ssh не получится, а потом говорит настраивать надо... и сказали, что реальный ip у них через нат (я так понимаю - это называется cтатический NAT? 1 в 1 должен делать)

опять таки, о ssh пока что думать рано nmap то показал все 1000 портов filtered.

Код: Выделить всё

traceroute me
traceroute to me, 30 hops max, 60 byte packets
 1  10.2.128.1 (10.2.128.1)  4.670 ms  4.940 ms  5.587 ms
 2  172.18.0.100 (172.18.0.100)  0.158 ms  0.159 ms  0.144 ms
 3  172.18.0.100 (172.18.0.100)  0.187 ms  0.169 ms  0.157 ms
 4  172.18.0.100 (172.18.0.100)  0.263 ms  0.247 ms  0.199 ms
 5  172.18.0.100 (172.18.0.100)  0.177 ms  0.279 ms  0.262 ms
 6  172.18.0.100 (172.18.0.100)  0.246 ms  0.263 ms  0.248 ms
 7  172.18.0.100 (172.18.0.100)  0.234 ms  0.221 ms  0.208 ms
 8  172.18.0.100 (172.18.0.100)  0.195 ms  0.244 ms  0.232 ms
итд

[Ower]

итак, попытался сейчас протестить с работы. Все замечательно работает: icmp, ssh, ftp, http

а когда из дому пытаюсь приконнектиться, то происходит затык на 172.18.0.100

Код: Выделить всё

1  10.2.128.1 (10.2.128.1)  4.670 ms  4.940 ms  5.587 ms
2  172.18.0.100 (172.18.0.100)  0.158 ms  0.159 ms  0.144 ms

в саппорт позвоню вечером. но как-то странно.. зачем пров блокирует мне доступа к себе по внешнему адресу?

[DaemonTux]

итак, попытался сейчас протестить с работы. Все замечательно работает: icmp, ssh, ftp, http

а когда из дому пытаюсь приконнектиться, то происходит затык на 172.18.0.100

Код: Выделить всё

1  10.2.128.1 (10.2.128.1)  4.670 ms  4.940 ms  5.587 ms
2  172.18.0.100 (172.18.0.100)  0.158 ms  0.159 ms  0.144 ms

в саппорт позвоню вечером. но как-то странно.. зачем пров блокирует мне доступа к себе по внешнему адресу?

То есть вы пытаетесь конектится с домашней машины на домашнюю?
Если да то при ваших условиях и не должно подключаться

[Ower]

да, пытался, как мне еще было затестить не могли бы объяснить почему не должно подключаться?

[SLEDopit]

Если да то при ваших условиях и не должно подключаться

та ну.
у меня схема: inet <-> router <-> server.
так вот с сервера я могу зайти как и по локальному ип сервера, так и по внешнему.
а в другом месте машинка напрямую в инет воткнута. и тоже все замечательно.

а вообще было много тем, где поднималась такая проблема, что люди не могут на свой внешний ип попасть. но вроде решалось как-то все.
вот первое, что поиском нашлось.

[Alex2ndr]

На самом деле известная проблема. Называется это "марсианские пакеты".
Вот тут например про них есть. А вот тут описано отчего так получается(правда словосочетание "Клиент 'путается'" я бы объяснил по другому).
Решение - грамотная настройка роутера у провайдера(т е добавление SNAT для локального адреса). Но думаю что провайдер может и не заморачиваться такой проблемой, т к снаружи все работает, а доступ изнутри можно осуществить по внутреннему адресу.

[Ower]

приблизительно понял в чем дело.

а если как адрес отправителя подставлять сразу свой внешний ip ничего не выйдет? т.е. какими-нибудь локальными настройками решить это не получится?

неудобно получается.. во-первых нормально не получится потестить настройки файрвола. и во-вторых у пользователям внутренней сети не будет доступа по доменному имени(оно то будет резольвиться во внешний ip) вот с эти интересно что делать?

[rm_]

у пользователям внутренней сети не будет доступа по доменному имени(оно то будет резольвиться во внешний ip)

А такой доступ у них крайне редко когда есть, если не ошибаюсь, это называется "NAT reflection" и поддерживается очень мало где: если на большинстве железячных роутеров-коробочек настроить какой-то проброс портов извне внутрь, пользователи из локалки, стучащиеся на эти порты по внешнему адресу роутера, никуда проброшены не будут.
Если у вас стоит свой DNS-сервер с возможностью переопределять отдаваемые в локалку ответы, можете настроить т.н. split DNS, когда при запросах из локалки возвращается не "внешечный", а локальный адрес компьютера с сайтом. Если такого нет, можете сделать поддомен, local.yourdomain.tld, и этот локальный адрес прописать туда. Ну либо использовать IPv6, там проблем с NAT'ами нет.

[Ower]

а свой ip, котоый мне точно показывает плазмоид current ip, и подтвердили в техподдержке.

чёрт возьми, вы сделали мой день! (или ночь? нет, вроде на утро уже похоже).

ну и чем это хуже совета определить свой ip на том же 2ip.ru или другом подобном сервисе?

i	Уведомление от модератора Ленивая Бестолочь
	я отредактировал ваше сообщение. кнопки "модератору" вполне достаточно. извиняюсь, что не реагирую быстро

[NickLion]

ТС проверять открытые порты на своей машине лучше чем-то вроде:
http://www.canyouseeme.org/

[DaemonTux]

ТС проверять открытые порты на своей машине лучше чем-то вроде:
http://www.canyouseeme.org/

http://nmap-online.com/

[NickLion]

Ну, да, или такое.