Compal CH7465VF - moznost pristupu k zarizeni z internetu pres IPv6

[Návštěvník romco]

Zdravim,

prosim, chtel bych se zeptat, jake jsou moznosti, pokud chci mit moznost vzdalene pristupovat (z internetu/externi site) na jedno z mich zarizeni pomoci IPv6. (Pro kontext, chtel jsem otestovat hostovani apache webserveru pro osobni domenu na raspberry pi).

Podle manualu by to melo byt mozne: http://pics.vodafone.cz/2/kabel/compal_ch7465lg/compal_ch7465vf_manual.pdf

(page 27)

Quote

Filtrování IP a portůTato sekce umožňuje provozovat na LAN veřejně přístupný server zadáním mapování portů TCP/UDP na místní PC. Tato funkce umožňuje příchozím požadavkům na konkrétní čísla portů přístup k webovým serverům, serverům FTP, poštovním serverům apod. z veřejného internetu.

Z mych testu mi vsak prislo, ze je to mozne jenom pokud bych vypl firewall uplne (co nechci delat). Druha moznost je, ze bych si nechal prepnout moje pripojeni z IPv6 na IPv4 s externou IP (taky moc nechci).

 

Pri pokusu o filtrovani portu jsem zkousel nekolik kombinaci tohohle nastaveni (pokud si spravne pamatuju, vsechny 4 kombinace z "enabled/disabled, traffic policy: yes/traffic policy: no", jedna z nich mi uplne odpalila pristup na internet, po cem jsem musel resetovat modem - citil jsem se velmi hloupe 🙂 ) v kombinaci se zapnutym firewallem (ip adresu jsem samozrejme vyplnil skutecnou, pri nekterych pokusech jsem pouzil i destination IP: All po cem pak prisel ten tragicky moment).

Popisu nastaveni ale moc nerozumim - enabled/disabled mysleno ten filtering samotny, nebo ten rule? Co pak znamena traffic policy?

Tohle nastaveni ale zdanlive nemelo dopad - pri vypnutem firewallu pristup fungoval, pri zapnutem porad ne. A i pokud by to fungovalo, porad bych nemel jistotu, ze jsem to nastavil bezpecne pro zbytek site.

Mohol by mi nekdo prosim poradit? Nejsem expert, takze je dost mozne ze mam spatny predpoklad o tom jak to funguje, nebo neco delam spatne 🙂

Moc diky,

Roman

Upraveno 10. března 2021 uživatelem romco

[Sparrow]

Jestli to správně chápu, chceš do svého rPI přistupovat z venku ? 

Na to stačí přesměrovat port 80 na IP adresu toho rPI.  Např viz screen níže, mám to nastavené na OrangePI, ale já mám vlasti router a u VDF modemu bych ten můj domácí blázinec nechtěl nastavovat 😄

Ale obávám se, že pokud mluvíš o IPv6 tak máš smůlu, protože nemáš veřejnou IP adresu IPv4. Čili ta tvoje domácí interní síť je ještě v jedné interní VDF síti a pak možná je externí veřejná IP ardesa.

 

 

Upraveno 10. března 2021 uživatelem Sparrow

[Arcao]

@Sparrow V DS-lite je IPv6 nativní - veřejné, takže je to jen o nastavení modemu - potažmo tady firewallu na modemu. Veřejné IPv4 u DS-lite nedostaneš.

@romco Bohužel tento modem nevedu, takže zcela neporadím. A tomu manuálu se nedá ani říkat manuál. Každopádně by to mělo fungovat tak, že zařízení za modemem (routerem) musí mít veřejnou IPv6 od modemu. Pak musíš nastavit, že modem povoluje příchozí IPv6 toho RPI, ostatní blokuje. S NATem/maškarádou se v IPv6 nepočítá.

Upraveno 10. března 2021 uživatelem Arcao

[Sparrow]

@Arcao Aha, to jsem netušil, naštěstí mám veřejnou IPv4. Pamatuji, že jsem se kdysi pokoušel kámošovi zprovoznit přístup do IP kamery co měl na krámě a tam to bylo tak, že jednotlivé byty (a nebytovky) v paneláku byla interní síť, paneláky v sídlišti byla další interní síť a pak možná byla nějaká veřejná IP 😄 

Ale někde se tu psalo, že by to na požádání mělo jít přehodit na IPv4.

[Návštěvník romco]

@Sparrow Prave tomu prohozeni bych se chtel vyhnout, pokud to je mozne.

Jednak z principu ze IPv4 je stara technologie a casem stejne myslim ze IPv6 bude nutnost, a druhak mi prijde ze to s tim IPv6 nejak musi jit - bud to proste nastavit jde, jen nevim jak, nebo mi napadlo koupit router ktery by umoznoval ten firewall mit selective a zapojit ho za vodafone modem, na vodafone modemu vypnout wifi i firewall a pouzit ho jenom jako bridge (ale netusim jestli ta predstava je realizovatelna).

1 hour ago, Arcao said:

@Sparrow V DS-lite je IPv6 nativní - veřejné, takže je to jen o nastavení modemu - potažmo tady firewallu na modemu. Veřejné IPv4 u DS-lite nedostaneš.

@romco Bohužel tento modem nevedu, takže zcela neporadím. A tomu manuálu se nedá ani říkat manuál. Každopádně by to mělo fungovat tak, že zařízení za modemem (routerem) musí mít veřejnou IPv6 od modemu. Pak musíš nastavit, že modem povoluje příchozí IPv6 toho RPI, ostatní blokuje. S NATem/maškarádou se v IPv6 nepočítá.

Ten edit jsem si predtim nevsiml - zkusim si jeste pohrat s temi settings a mozna se mi to podari, pripadne pak napisu jak jsem to nastavil, jestli tam nemam potencialni problem s bezpecnosti... Zatim diky 🙂

[zajdee]

@romcopokud si koupite router, ktery umi fungovat v roli DHCPv6 klient vcetne podpory pro Prefix delegation, dostanete od Compalu blok IPv6 adres o velikosti /60 (tj. 16 IPv6 podsiti o velikosti /64). Pred rokem byl na cernem Compalu bug, kdy prefix delegation nefungovalo spravne, ale podle mych vcerejsich testu uz to opravili.

na Compalu pak muzete vypnout firewall uplne (ne, web UI compalu nebude dostupne z Internetu) a firewallovani resit az na Vasem routeru, za ktery pripojite sve zarizeni.

[Návštěvník romco]

@zajdee Diky za tip, nastesti se mi to nakonec podarilo pres ten filtering - ukazalo se, ze to asi slo i predtim, problem byl ze jsem se zkousel na domenu doptavat pres device ktere nemelo spravne nastavene DNS pro IPv6 takze to vypadalo ze to nejede.

Pokud by to nekoho zajimalo, takhle vypada to nastaveni filtru (ale je to asi to prvni co clovek zkusi, informativni je asi spis zbytek prispevku):

Jeste musim upravit aby ten filtr propoustel jenom nektere Source adresy (I kdyz nevim jestli to nejak rozumne pujde). Druhy screen je pak jak to vypada v pridavani pravidla.

Upraveno 10. března 2021 uživatelem romco

[Návštěvník mcic]

Jak v tomto případě zjistit IPV6 adresu routeru, který chci mít veřejný?