DNS per accesso server dall'esterno

[kwb]

Ciao!
Ho un muletto che utilizzo per varie cose.
Siccome in futuro dovrò spostarmi da casa, avrò la necessità di accedere al muletto. Siccome scriversi da qualche parte l'indirizzo ip della mia rete all'esterno non è molto sicuro in caso di caduta della connessione, ho impostato tramite No-Ip.com un servizio di dynamic DNS.
Ho 2 dubbi:

1. Installare il software fornito dal sito No-Ip sul mio muletto, serve solo per tenere aggiornato l'ip? Basta?
2. Siccome ci sono diversi dispositivi connessi alla mia rete, tramite questo indirizzo posso accedere facilmente ad ogni dispositivo usando la giusta porta. Come posso evitare che questo succeda? Io vorrei che si potesse accedere solo ed esclusivamente al muletto ed utilizzando la sua porta impostata ( che già uso per accedere al muletto ). Invece ad esempio, inserendo solo il nome logico a cui ho associato il mio indirizzo ip, posso accedere al router, cosa che non voglio che succeda...

[Gimli[2BV!2B]]

1. Sì, questo è quel che deve fare. Personalmente uso da anni inadyn, che si può utilizzare con molti servizi di questo tipo.
2. Se hai aperto le porte con port forwarding/server virtuali/come li han chiamati nel tuo modem, son già accessibili dall'esterno, non è che si può far altro.
   Mi vien in mente che si potrebbero selezionare range di ip da cui partono i tentativi di connessione, se il tuo modem, router o altri apparati di rete intermedi, o quello di destinazione, offrono questa funzionalità.
   Non mi risulta sia possibile capire se una connessione arriva da un host che ha risolto l'ip tramite DNS oppure usando l'ip liscio.
   Accedi all'interfaccia web del modem/router dall'esterno della tua LAN? Controlla nelle impostazioni. Solitamente le impostazioni di default di questi apparati impediscono qualsiasi accesso alle interfacce di configurazione dall'esterno, ma ci sono eccezioni ed anche casi in cui non si ha disponibile l'opzione di disattivazione.

[eaman]

Una soluzione relativamente semplice e molto linux-like e' smettere di far gestire la connessione (e firewall / NAT) al tuo router. La fai gestire direttamente dal tuo muletto tramite pppoe (pppoeconf) e dopo da fuori vedi solo lui, e poi con due / tre regole di iptables base (sulle quale possiamo aiutarti) te la dovresti cavare.

[kwb]

Originariamente inviato da Gimli[2BV!2B]

Sì, questo è quel che deve fare. Personalmente uso da anni inadyn, che si può utilizzare con molti servizi di questo tipo.

Cosa cambia dall'usare il programma noip2? Solo che funziona anche con altri no?

Originariamente inviato da Gimli[2BV!2B]

Se hai aperto le porte con port forwarding/server virtuali/come li han chiamati nel tuo modem, son già accessibili dall'esterno, non è che si può far altro.
Mi vien in mente che si potrebbero selezionare range di ip da cui partono i tentativi di connessione, se il tuo modem, router o altri apparati di rete intermedi, o quello di destinazione, offrono questa funzionalità.
Non mi risulta sia possibile capire se una connessione arriva da un host che ha risolto l'ip tramite DNS oppure usando l'ip liscio.
Accedi all'interfaccia web del modem/router dall'esterno della tua LAN? Controlla nelle impostazioni. Solitamente le impostazioni di default di questi apparati impediscono qualsiasi accesso alle interfacce di configurazione dall'esterno, ma ci sono eccezioni ed anche casi in cui non si ha disponibile l'opzione di disattivazione.

Il mio router fa distinzione tra port forwarding e Virtual Server. Nel primo posso solo aprire le porte, nel secondo posso anche impostare un indirizzo ip ( non so se si possono usare i range ).
Credo comunque che non risolva il problema. Il mio cruccio principale è che ora come ora si può accedere mettendo una password al pannello del router. Tutavia la connessioni avviene tramite la porta 80, che chiaramente non si può chiudere.
Non vedo soluzione...

Originariamente inviato da eaman

Una soluzione relativamente semplice e molto linux-like e' smettere di far gestire la connessione (e firewall / NAT) al tuo router. La fai gestire direttamente dal tuo muletto tramite pppoe (pppoeconf) e dopo da fuori vedi solo lui, e poi con due / tre regole di iptables base (sulle quale possiamo aiutarti) te la dovresti cavare.

Ma un router non è posto al centro della rete ( in termini di topologia )? Come è possibile far si che sia il muletto a gestire tutte le connessioni e impedire al router di inoltre pacchetti anche agli altri ( che sono connessi via cavo e non al router )?

[wizard1993]

Originariamente inviato da kwb

Ma un router non è posto al centro della rete ( in termini di topologia )? Come è possibile far si che sia il muletto a gestire tutte le connessioni e impedire al router di inoltre pacchetti anche agli altri ( che sono connessi via cavo e non al router )?

anche no. Il router è la parte terminale verso l'esterno. Nulla ti vieta di configurare con uno switch una vlan facendo si che il router possa parlare solo con il muletto, mentre il muletto puoò parlare con tutto, oppure in maniera più semplice puoi configurare il muletto come firewall (passante) con due interfacce di rete, una verso il mondo, una verso la lan e con iptables filtrare il tutto

[eaman]

Guarda e' piu' semplice di quanto credi: il tuo router ADSL fa solo da 'modem' adsl (o se vuoi vedilo come un bridge) completamente gestito dal muletto, per il qualo in pratica e' un device di rete (il coso ADSL e' collegato diretto a una scheda di rete sul muletto, che con un'altra scheda e' collegato allo switch | hub.

Il tuo muletto gestisce il ppp fa da router (ip forwarding), NAT e firewall. Il modem non fa un bel niente e non ha nessuna interfaccia web, l'indirizzo IP pubblico dinamico che ti assegna il provider finisce diretto sulla scheda di rete del muletto.

# ifconfig
adsl      Link encap:Ethernet  HWaddr 00:1c:c0:5e:2d:2a  
          inet6 addr: fe80::21c:c0ff:fe5e:2d2a/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:15564120 errors:0 dropped:0 overruns:0 frame:0
          TX packets:10983549 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:18953745439 (17.6 GiB)  TX bytes:2616041740 (2.4 GiB)
          Interrupt:27 Base address:0xa000 

lan       Link encap:Ethernet  HWaddr f4:ec:38:80:9f:95  
          inet addr:192.168.0.254  Bcast:192.168.0.255  Mask:255.255.255.0
          inet6 addr: fe80::f6ec:38ff:fe80:9f95/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:7000  Metric:1
          RX packets:21184764 errors:0 dropped:0 overruns:0 frame:0
          TX packets:27737468 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:10000 
          RX bytes:13238050737 (12.3 GiB)  TX bytes:30916723165 (28.7 GiB)
          Interrupt:21 Base address:0xe000 

ppp0      Link encap:Point-to-Point Protocol  
          inet addr:**.***.**.**  P-t-P:192.168.100.1  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1492  Metric:1
          RX packets:15531009 errors:0 dropped:0 overruns:0 frame:0
          TX packets:10950413 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3 
          RX bytes:18610068710 (17.3 GiB)  TX bytes:2374105103 (2.2 GiB)

RJ11 -> modem adsl -> muletto -> switch => LAN

[kwb]

Scusate eh, ma questa è la mia configurazione: ho 2 dispositivi collegati in cascata: 1 modem adsl e 1 router wifi+cavo multiporta. Il primo è collegato alla porta apposita del secondo.
Al primo è collegato il cavo adsl.
Al secondo è attaccato anche il muletto, assieme al mio pc ( via cavo ) e poi tutti gli altri pc della casa che generalmente sono connessi wifi.

Al di la del fatto che sono interessato a vedere come funziona questa configurazione, non sarei intenzionato ad utilizzarla perchè se il muletto mi muore, mi muore l'intera rete, cosa che non deve succedere, soprattuto se non sono a casa ( visto che sono l'unico che sa metterci le mani ).

Inoltre, il problema che attualemente voglio risolvere è impedire l'accesso al pannello di controllo del router dall'esterno. Questa configurazione può risolvere il problema?

[eaman]

Tutto si puo' fare in tanti modi.
Cosi' ad occhio direi che la soluzione piu' semplice per te sarebbe di dire al tuo router ADSL di non stare in ascolto con la sua interfaccia web sull'ip pubblico ma solo su quello privato. Sempre se si puo' fare.

Se no se hai un firewall chiudigli la porta 443 tcp / udp sulla (scheda di rete pubblica | ip pubblico | ethernet) .

----
Nella configurazione da me proposta come hai notato se il muletto va giu' va giu' la connesione a internet.
Pero' il muletto e' always on e sempre raggiungibile dall'esterno con ssh, come i filesystem che ospita e gli eventuali servizi che ospita sia per la intranet (proxy, file server, dns, smtp, SAN, ...) che eventualmente all'esterno (ssh, filesystem via ftp / webdav, backup remoto, server web, torrent, smtp, dns, i tuoi robots...).

[eaman]

Originariamente inviato da Gimli[2BV!2B]

[CUT]
Non mi risulta sia possibile capire se una connessione arriva da un host che ha risolto l'ip tramite DNS oppure usando l'ip liscio.

Non per una connessione IP: come il client abbia risolto il nome di dominio e' indifferente. Quindi non interessante per un firewall IP.

Se invece c'e' qualo che gira a livello di applicazione (tipo un proxy | server web ) allora in base ad HTTP 1.1 puo' accedere all'HEADER e vedere che dominio e' richiesto (il principio in base al quale funzionano i virtual hosts).

[Gimli[2BV!2B]]

Originariamente inviato da kwb

Cosa cambia dall'usare il programma noip2? Solo che funziona anche con altri no?

Non conoscendolo e leggendo le informazioni che ho trovato direi di sì. Mi risulta che entrambi siano disponibili nei repository di varie distribuzioni.

Se vuoi avere il massimo controllo sottoscrivo la proposta ppp di eaman, il contro è che il muletto diventa l'anello fondamentale della rete, senza il quale si ferma tutto.
Personalmente ho adottato la seconda topologia suggerita da wizard1993: modem non bridged -> micro-server con più schede di rete -> pc, switch, ecc...
Nei rarissimi casi in cui il server mi fa dannare posso velocemente disconnetterlo ed accedere alla rete direttamente dal modem (principale motivo per cui ho optato per questa configurazione).
Il modem è costretto a fare elaborazioni più onerose, però vende cara la pelle; il server fa da router e ci posso applicare qualsiasi regola, essendo l'unico punto di accesso al modem e quindi ad internet.

Resta che il mio modem, equipaggiato con firmware RouterTech, offre una marea di configurazioni e servizi, tra cui Advanced -> Access Control, che mi risulta sia appunto il controllo di quali interfacce di configurazione siano accessibili e da quali rete (LAN/WAN: All LAN access allowed, all WAN access denied).

@eaman, yes, campo Host dell'header http, se non sbaglio. Però, appunto, si sale di livello.

[omerook]

però se qualche maleintezionato riesce bucare il modem poi se lo riconfigura come vuole e al quel punto se ne va a spasso per la rete.
credo che per una rete accessibbile dall'estero murare tramite un firewall sia obbligatorio.

[kwb]

Originariamente inviato da eaman

Tutto si puo' fare in tanti modi.
Cosi' ad occhio direi che la soluzione piu' semplice per te sarebbe di dire al tuo router ADSL di non stare in ascolto con la sua interfaccia web sull'ip pubblico ma solo su quello privato. Sempre se si puo' fare.

Se no se hai un firewall chiudigli la porta 443 tcp / udp sulla (scheda di rete pubblica | ip pubblico | ethernet) .

Ma 443 non è l'https? Perchè chiudere l'https?

Originariamente inviato da eaman

Nella configurazione da me proposta come hai notato se il muletto va giu' va giu' la connesione a internet.
Pero' il muletto e' always on e sempre raggiungibile dall'esterno con ssh, come i filesystem che ospita e gli eventuali servizi che ospita sia per la intranet (proxy, file server, dns, smtp, SAN, ...) che eventualmente all'esterno (ssh, filesystem via ftp / webdav, backup remoto, server web, torrent, smtp, dns, i tuoi robots...).

Si ma se va giù il muletto intendo un crash di sistema o inchiodamenti vari. Se quello si inchioda puoi fare tutti gli ssh che vuoi ma non lo riavvii secondo me...

Cmq quello che vorrei riuscire a fare è impedire l'accesso al router. L'unica cosa che posso vare è attivare il virtual server ( con il quale impostare una porta e un ip fisso della rete LAN ) oppure disattivare il NAT.. Non so se serve, cmq...

@Gimli[2BV!2B]: Io ho un Sitecom 300N, pessimo come configurazioni disponibili a mio avviso...

[eaman]

Originariamente inviato da kwb

Ma 443 non è l'https? Perchè chiudere l'https?

E che c'hai l'interfaccia web in chiaro sulla porta 80?
Prova a collegarti e dacci un'occhiata, sara' bene in https...

Si ma se va giù il muletto intendo un crash di sistema o inchiodamenti vari. Se quello si inchioda puoi fare tutti gli ssh che vuoi ma non lo riavvii secondo me...

Hemm no, spero di non innervosire il sempre attento Warduck (che saluto amichevolmente dato che ultimamente sono stato un po' brusco con lui, colpa di vi :P ) se sta leggendo ma il serverino Debian non si inchioda. Si inchioda il mio router-accessp-point-wifi di tanto in tanto per motivi oscuri ma il serverino debian va' giu' solo quando devo farrgli fare i file system check. Se va via la corrente quello riparte da solo, fa due conti con il raid mirror, negozia i suoi ip, aggiorna il DNS e fa partire le sue cose

Cmq quello che vorrei riuscire a fare è impedire l'accesso al router. L'unica cosa che posso vare è attivare il virtual server ( con il quale impostare una porta e un ip fisso della rete LAN ) oppure disattivare il NAT.. Non so se serve, cmq...

@Gimli[2BV!2B]: Io ho un Sitecom 300N, pessimo come configurazioni disponibili a mio avviso...

Guarda, io non so esattamente come funziona il tuo router ma mi sembri abbastanza scavato per guardarci tu nel suo manuale di istruzioni: probabilmente c'e' il modo di rendere _non_ accessibile l'interfaccia web sulla porta 'WAN' (o quello che e').

Oppure si potra' mettere un firewall in entrata sulla porta WAN, per quanto se non sono state fatte modifiche suppongo che non esponga all'esterno la ethernet privata, che e' inraggiungibile dall'esterno se non c'e' una qualche forma di DNAT (vserver ?) verso l'interno.

E stai (un po' piu' ) tranquillo che non esiste il "mi bucano il router": ti si buca un eventuale servizio in esecuzione sul router (l'inerfaccia web, un eventuale condivisione file...), se tu non hai servizi in esecuzione sul router in ascolto sull'IP pubblico (fai un portscan da fuori verso il tuo IP) non c'e' niente da bucare. E manco si arriva sugli ip privati (tipo 192.168.*.0) interni da fuori senza DNAT.

[kwb]

Originariamente inviato da eaman

E che c'hai l'interfaccia web in chiaro sulla porta 80?
Prova a collegarti e dacci un'occhiata, sara' bene in https...

No, non è in https. Mi sto armando per metterlo ma sto avendo parecchie difficoltà perchè le guide fornite dagli sviluppatori del software ( Deluge ) non funzionano..

Originariamente inviato da eaman

Hemm no, spero di non innervosire il sempre attento Warduck (che saluto amichevolmente dato che ultimamente sono stato un po' brusco con lui, colpa di vi :P ) se sta leggendo ma il serverino Debian non si inchioda. Si inchioda il mio router-accessp-point-wifi di tanto in tanto per motivi oscuri ma il serverino debian va' giu' solo quando devo farrgli fare i file system check. Se va via la corrente quello riparte da solo, fa due conti con il raid mirror, negozia i suoi ip, aggiorna il DNS e fa partire le sue cose

Si ok, questa è la tua configurazione non la mia

Originariamente inviato da eaman

Guarda, io non so esattamente come funziona il tuo router ma mi sembri abbastanza scavato per guardarci tu nel suo manuale di istruzioni: probabilmente c'e' il modo di rendere _non_ accessibile l'interfaccia web sulla porta 'WAN' (o quello che e').

Devo guardare... Credo che l'unica cosa che si possa fare è agire sui virtual server. Non ha molte opzioni disponibili...

Originariamente inviato da eaman

Oppure si potra' mettere un firewall in entrata sulla porta WAN, per quanto se non sono state fatte modifiche suppongo che non esponga all'esterno la ethernet privata, che e' inraggiungibile dall'esterno se non c'e' una qualche forma di DNAT (vserver ?) verso l'interno.

Si forse una voce riguardo il vserver e dnat ci dovrebbe essere..

[eaman]

Forse ho capito: hai un client torrent Deluge con interfaccia web che gira su un muletto dietro al tuo router che fa DNAT.

E contemporaneamente sull'IP del router da fuori si raggiunge l'interfaccia web del router, che mi sembra strano: manco questa e' in https?

Comunque bisognerebbe dire al router ADSL di NON ascoltare con la sua interfaccia web sulla porta WAN, questo a prescindere dal resto. E non mi spiego come tu possa arrivare sia all'interfaccia web del router sulla 80 che alla webgui sempre sull'80 ma su un host diverso: come fai (url) ad andar su uno piuttosto che su un altro?

Poi resterebbe il web gui deluge che e' in chiaro, e non e' bello.
Senti ma visto che con le porte http sei un po' sfigato (lo dico scherzando ) usare rtorrent via ssh come fan in tanti non sarebbe un'opzione viabile?
Sempre meglio che far girare un server web + una interfaccia web in chiaro...

Ma siamo sicuri di non avere dei DNAT / port forwarding inutili messi su senza tanta cognizione? Xche ne l caso parliamo di niente... ;-)

[kwb]

Originariamente inviato da eaman

Forse ho capito: hai un client torrent Deluge con interfaccia web che gira su un muletto dietro al tuo router che fa DNAT.

Ho un client deluge con interfaccia web si, ma sul DNAT non so risponderti...

Originariamente inviato da eaman

E contemporaneamente sull'IP del router da fuori si raggiunge l'interfaccia web del router, che mi sembra strano: manco questa e' in https?

No, il router non è in https.

Originariamente inviato da eaman

Comunque bisognerebbe dire al router ADSL di NON ascoltare con la sua interfaccia web sulla porta WAN, questo a prescindere dal resto. E non mi spiego come tu possa arrivare sia all'interfaccia web del router sulla 80 che alla webgui sempre sull'80 ma su un host diverso: come fai (url) ad andar su uno piuttosto che su un altro?

No vabbè chiaro che devo mettere l'indirizzo e il nome della porta. Se metto solo l'indirizzo, mi va sull'interfaccia del router ( perchè gira sulla porta 80 e se non viene specificata una porta, viene usata quella ).

Originariamente inviato da eaman

Poi resterebbe il web gui deluge che e' in chiaro, e non e' bello.
Senti ma visto che con le porte http sei un po' sfigato (lo dico scherzando ) usare rtorrent via ssh come fan in tanti non sarebbe un'opzione viabile?
Sempre meglio che far girare un server web + una interfaccia web in chiaro...

Per l'https sto cercando di risolvere, facendomi aiutare dal forum di supporto, dove mi dicono che con le ultime versioni installate, la cosa è già impostata e, teoricamente, basterebbe spuntare un'opzione dalla webUI. Però a me non so perchè non funziona...
Mettere rtorrent non mi va. L'avevo provato in passato. Gestirlo tramite ssh non mi piace perchè non su tutti i pc ho accesso ad un programma per ssh.
Questo quindi richiede il setup di un'interfaccia grafica web ( ruTorrent ) che è veramente uno sbatti impostare. Inoltre richiederebbe il risettaggio delle impostazioni e quello che mi spaventa di più è quando c'è la necessità di fare un aggiornamento: infatti l'ultima volta, facendo un aggiornamento del software, rTorrent ha smesso di funzionare.
Con deluge mi basta scaricare 2 pacchetti con APT, si installano si configurano e tutto torna come prima, senza perdermi nemmeno i torrent caricati.

Originariamente inviato da eaman

Ma siamo sicuri di non avere dei DNAT / port forwarding inutili messi su senza tanta cognizione? Xche ne l caso parliamo di niente... ;-)

Uhm... Ammetto di essermi informato poco sulla questione, anche perchè il router, non so come mai, ha una codifica caratteri incompatibile con tutti i nuovi browser: I caratteri o non vengono visualizzati ( come succede su Safari, Opera e Chrome ) oppure si vedono punti di domanda e caratteri a caso ( Firefox ). L'unico che ho attualmente installato e funzionante è IE6, posto alcune schermate che secondo me sono le uniche che possono cercare di risolvere il mio problema:
Virtual Server:


Accesso Remoto:

[Gimli[2BV!2B]]

L'interfaccia web del router funziona solo con IE6?!

Tu però hai scritto di avere un modem ed un router, uno in cascata all'altro.
Se l'interfaccia del router è accessibile dall'esterno *attraverso il modem* allora occorre agire nelle impostazioni del modem. Avrà impostata una regola che farà DNAT/server virtuale/ecc... delle connessioni in ingresso al modem sulla porta 80 dell'ip del router.

Nel modem hai impostato qualcosa?
Modello preciso del modem e del router?

[kwb]

Originariamente inviato da Gimli[2BV!2B]

L'interfaccia web del router funziona solo con IE6?!

Tu però hai scritto di avere un modem ed un router, uno in cascata all'altro.
Se l'interfaccia del router è accessibile dall'esterno *attraverso il modem* allora occorre agire nelle impostazioni del modem. Avrà impostata una regola che farà DNAT/server virtuale/ecc... delle connessioni in ingresso al modem sulla porta 80 dell'ip del router.

Nel modem hai impostato qualcosa?
Modello preciso del modem e del router?

Il modem non è raggiungibile perchè è in cascata e utilizza un indirizzo ip differente ( un net-id diverso da quello del router ).
Cmq il router ( quello di cui si vedono le impostazioni ): Sitecom WL-183
L'altro il: Sitecom DC-223

Ahimè si, l'interfaccia funziona con pochi browser. Attualmente sul portatile ( il macbook in firma ) è l'unico su cui funziona. Non so se è colpa del sistema operativo o che, fatto sta che è chiaro che è stato mal programmato.

[kwb]

Boh, alla fine la situazione si è risolta magicamente da sola:
L'https dell'interfaccia web ora funziona, un riavvio accidentale del muletto ha risolto.
Il router non è più accessibile dall'esterno tramite alcuna porta, e non ho toccato niente...
Benone direi...

[kwb]

Domanda (finale, spero ): Siccome quando sono fuori succede che mi connetta da una rete che ha tutte le porte bloccate ( almeno credo tutte ), ho cercato di accedere al muletto tramite porta 80. Su LAN, ci sono riuscito, ma dall'esterno risulta irraggiungibile, credo a causa del fatto che la 80 è comunemente usata dal www. C'è modo di risolvere?
Posso scoprire quali sono le porte bloccate, magari trovando una porta diversa dall'80 aperta?

EDIT: Siccome ora accedo al muletto tramite https, perchè la porta 80 non funziona? Il servizio https non usa la 443?

EDIT2: Ho testa usando un'altra porta diversa ( quella dell'IMAP secure, 993 ) che sono certo funzioni anche da dove mi connetto, ma non riesco a connettermi nemmeno da casa.. Quindi immagino la 80 sia l'unica...