Apertura porte VS2 e Netgear R7000

[LucaZPF]

Ciao a tutti,
per gestire l'allarme di casa, ho bisogno di aprire una specifica porta sul router. Fin qui nessun problema; l'ho fatto un sacco di volte in passato. Il problema è che adesso ho la fibra di Vodafone e la situazione è più complessa.

Ho un modem che riceve il segnale della fibra, il quale è collegato alla Vodafone Station 2.
A sua volta, la Vodafone Station 2 è collegata con un cavo di rete al router Netgear R7000. Nello specifico, il cavo parte da una delle quattro porte ethernet della VS2 e termina nella presa WAN del Netgear.
La VS2 ha come IP: 192.168.1.1
Il DHCP della VS2 ha assegnato all'interfaccia WAN del Netgear l'IP: 192.168.1.100
Ho quindi impostato l'IP del gateway (Netgear) : 192.168.0.1

In questo modo navigo senza problemi da tutti i dispositivi collegati in rete. Ho disabilitato il WiFi della VS2 in modo da collegarmi direttamente con il WiFi del Netgear; il problema è appunto sul port forwarding.

Dalla VS2 mi permette di creare una regola solo sull'indirizzo IP che rileva connesso a se stessa, ovvero il Netgear. Ho provato a creare lo stesso la regola e a replicarla poi anche sul Netgear, indicando questa volta l'IP del dispositivo di rete dell'allarme, senza successo.

Consigli?
La mia configurazione è sbagliata ed è meglio collegarli in un altro modo? in Bridge?
Ciao grazie

[pigi2pigi]

tu hai
VS2 192.168.1.1 - netgear wan 192.168.1.100 lan 192.168.0.1 - pc 192.168.0.0/24

Se il router netgear lo configuri in bridge (basta spostare il cavo di ingresso dalla porta wan a una delle ethernet e disabilitare nat e dhcp e abilitare dhcp su vs2) semplifichi ed elimini il doppio nat.

In alternativa la procedura da te usata di forwardare la porta dal vs2
192.168.1.1 su netgear 192.168.1.100, e sul netgear forwardarla sul pc di destinazione è corretta

L'unico motivo per cui non funzionerebbe questa configurazione è se sul netgear non hai attivato il nat

[LucaZPF]

Corretto quello che scrivi.

Se mi fa inserire le regole di port forwarding presumo che il NAT sia abilitato. Effettivamente dall'interfaccia (DD-WRT) non vedo un oswitch per abilitare/disabilitare il NAT però penso sia attivo..c'è un modo più efficace per verificare?

[LucaZPF]

Corretto quello che scrivi.

Se mi fa inserire le regole di port forwarding presumo che il NAT sia abilitato. Effettivamente dall'interfaccia (DD-WRT) non vedo un oswitch per abilitare/disabilitare il NAT però penso sia attivo..c'è un modo più efficace per verificare?

Se metto il dispositivo in DMZ riesco a beccarlo dall'esterno..ma non so quanto fidarmi

EDIT: scusate, credevo di aver fatto modifica!

[pigi2pigi]

dd-wrt abilita il NAT sulla interfaccia LAN in Gateway Mode, se lo hai in Router mode non è attivo, penso si possa anche lasciare in router mode e usare i comandi iptables, ma non sono esperto di DD-WRT

penso si possa verificare il nat attivo con il comando su netgear
iptables -t nat -L

Se metto il dispositivo in DMZ riesco a beccarlo dall'esterno..ma non so quanto fidarmi

se hai due nat, anche se metti un dmz non ci sono problemi rimane l'altro

se è in dmz sul netgear nessun problema hai prima un nat

se va in dmz su vs2 accertati di avere il nat su netgear

edit:
E sicuramente in nat altrimenti dalla rete2 (192.168.0.0) non accedevi a internet

[LucaZPF]

Ecco cosa mi ritorna il comando iptables -t nat -L

Chain PREROUTING (policy ACCEPT)
target prot opt source destination
DNAT icmp -- anywhere new-host.station to:192.168.0.1
DNAT tcp -- new-host.station new-host.station tcp dpt:www to:192.168.0.100:80
DNAT udp -- new-host.station new-host.station udp dpt:www to:192.168.0.100:80
TRIGGER 0 -- anywhere new-host.station TRIGGER type:dnat match:0 relate:0

Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
SNAT 0 -- 192.168.0.0/24 anywhere to:192.168.1.2
MASQUERADE 0 -- anywhere anywhere mark match 0x80000000/0x80000000

new-host è il nome che la vodafone station assegna al router Netgear. 192.168.0.100 è il server (adesso sto provando con la porta 80 su un ws che ho in casa) Inoltre, l'IP che la VS2 assegna al netgear non è più 192.168.1.100 ma 192.168.1.2 perchè ho fatto un reset delle impostazioni. Comunque ho ricreato la regola di forwarding nuovamente, aggiornando l'ip (non più x.x.1.100 ma x.x.1.2)

Grazie per il tuo aiuto

[pigi2pigi]

Il nat c'è e il doppio forwarding dovrebbe funzionare.

Avendo due router si possono fare 4 configurazioni (dipende ovviamente dalle apparecchiature a disposizione).
1) Quella che hai ora due router con doppio nat
2) Due router il secondo senza nat (si può fare solo se sul primo router si può inserire una route statica)
3) Il primo solo come modem e il secondo come router con nat e dhcp
4) Il secondo in bridge (no nat no dhcp)

Con 1º Devi fare doppio forward
Sul 2º non tutti i router accettano un forward su subnet diversa e l'inserimento di route statiche

Se usi 3º e 4º ti semplifichi tutto e basta aprire una porta su un solo router

Come configuravi in dmz?