פתיחת פורט RDP 3389 בפרוטוקול IPV6 בנתב BE

yanivg11 · שליחה 01/06/2022 21:52

הי לכולם,
לאחרונה עברתי לסיבים של בזק שהפכו להיות גם ה- ISP שלי,
לאחר שעברתי הבנתי כי הם משתמשים ב- cgnat והפסקתי לקבל כתובת IPV4 ציבורית כפי שהיה עד עכשיו, ולכן אינני יכול להתחבר למחשב הביתי מרחוק ב- RDP כפי שהיתי מתחבר בעבר.

כיוון שהם תומכים ב- IPV6 אני מעוניין לגשת למחשב מרחוק ב-IPV6.
בבדיקה שלי ממחשב נוסף בתוך הרשת הביתית אני מסוגל לגשת ב- RDP למחשב הראשון דרך כתובת IPV6 מבפנים, אך לא מבחוץ כשאני מנסה משרת מרוחק שגם הוא עם IPV6.

מה יכולה להיות הבעיה?
לדעתי מדובר ב- Firewall של נתב BE שחוסם את התקשורת מבחוץ, למרות כל ניסיונותי לאפשר את הגישה בפורט RDP 3389 מבחוץ אינני מצליח (מצ"ב תמונה ממסך ההגדרות של הנתב).
האם מישהו יודע כיצד לאפשר את העניין?
אני מעוניין לפתוח מ- Any ל- Any כיוון שהכתובת IPV6 שאני מקבל היא זמנית בלבד כמובן.

האם מישהו נתקל במקרה דומה?

OMRIJ · שליחה 01/06/2022 22:08

ניסית לבדוק עם nmap או סורק פורטים שהפורט אכן פתוח בכתובת IPV6 שלך?

yossi_s1 · שליחה 01/06/2022 23:04

שים גם לב שלמחשב שלך יש יותר מכתובת IPV6 אחת. בדוק עם what is my ip מי מהן היא הציבורית

yanivg11 · שליחה 02/06/2022 8:18

01/06/2022 22:08
OMRIJ כתב: ניסית לבדוק עם nmap או סורק פורטים שהפורט אכן פתוח בכתובת IPV6 שלך?
...

כן כמו שכתבתי, פתוח מבפנים, אך מבחוץ סגור

yanivg11 · שליחה 02/06/2022 8:19

01/06/2022 23:04
yossi_s1 כתב: שים גם לב שלמחשב שלך יש יותר מכתובת IPV6 אחת. בדוק עם what is my ip מי מהן היא הציבורית
...

אני כמובן מנסה להתחבר לכתובת החיצונית שאותה רואים באתר כמו https://test-ipv6.com/

sys_admin · שליחה 02/06/2022 8:48

עוד הרבה לפני שאתה מתחיל לחפש איך לפתוח פורט, אתה צריך לדאג לקבל delegated prefix קבוע ב IPv6. אחרת לכל הפתיחות או סגירות אין שום משמעות כלל וכלל.

yanivg11 · שליחה 02/06/2022 8:49

02/06/2022 8:48
sys_admin כתב: עוד הרבה לפני שאתה מתחיל לחפש איך לפתוח פורט, אתה צריך לדאג לקבל delegated prefix קבוע ב IPv6. אחרת לכל הפתיחות או סגירות אין שום משמעות כלל.
...

לכן אני רוצה לפתוח Any כך שהגישה תמיד תהיה פתוחה

OMRIJ · שליחה 02/06/2022 8:55

אני מסתדר בינתיים גם בלי prefix קבוע
הsuffix קבוע (EUI-64)
ואפשר לפתוח פורט עבורו

yanivg11 · שליחה 02/06/2022 8:59

02/06/2022 8:55
OMRIJ כתב: אני מסתדר בינתיים גם בלי prefix קבוע
הsuffix קבוע (EUI-64)
ואפשר לפתוח פורט עבורו
...

אצלי ה- suffix איננו קבוע, השאלה איך עושים את זה בנתב BE

sys_admin · שליחה 02/06/2022 9:04

אם ה prefix לא קבוע, אז suffix כבר לא משנה. וזה מסיבה פשוטה ביותר שכל כמה זמן כל הטווח כתובות שיש לך הוא משתנה ובגלל זה כל השאר ההעסקות בזה הופכת מיותרת לגמרי.

yanivg11 · שליחה 02/06/2022 9:07

02/06/2022 9:04
sys_admin כתב: אם ה prefix לא קבוע, אז suffix כבר לא משנה. וזה מסיבה פשוטה ביותר שכל כמה זמן כל הטווח כתובות שיש לך הוא משתנה ובגלל זה כל השאר ההעסקות בזה הופכת מיותרת לגמרי.
...

מצויין, לכן אני רוצה לפתוח Any

sys_admin · שליחה 02/06/2022 9:17

02/06/2022 9:07
yanivg11 כתב: מצויין, לכן אני רוצה לפתוח Any
...

ברגע שהתעסקות בזה הופכת מיותרת זה עד כדי כך מצויין עד שגם אין צורך לפתוח ANY, בגלל שכל זה כבר פשוט ללא כל תכלית.

yanivg11 · שליחה 02/06/2022 9:29

02/06/2022 9:17
sys_admin כתב: ברגע שהתעסקות בזה הופכת מיותרת זה עד כדי כך מצויין עד שגם אין צורך לפתוח ANY, בגלל שכל זה כבר פשוט ללא כל תכלית.
...

כן, אבל זה לא עובד

OMRIJ · שליחה 02/06/2022 10:12

02/06/2022 9:04
sys_admin כתב: אם ה prefix לא קבוע, אז suffix כבר לא משנה. וזה מסיבה פשוטה ביותר שכל כמה זמן כל הטווח כתובות שיש לך הוא משתנה ובגלל זה כל השאר ההעסקות בזה הופכת מיותרת לגמרי.
...

זה לא משנה שהטווח משתנה...
אתה פותח פורט בכתובת
:

5678:9abc:def0/-64
או
:

5678:9abc:def0/::ffff:ffff:ffff:ffff

כאשר 1234:5678:9abc:def0 לא משתנה (נגזר למשל מה Mac address)

yanivg11 · שליחה 02/06/2022 15:10

נמצאה הבעיה, הציעו לי בפורום נוסף להחליף את פורט 3389 שכן ייתכן והספק (בזק) חוסמים אותו כדי למנוע ניסיונות חיבור.
החלפתי אותו בפורט אחר דרך ה- registry והכל מנגן, תודה לכולם.

OMRIJ · שליחה 02/06/2022 16:16

02/06/2022 8:59
yanivg11 כתב: אצלי ה- suffix איננו קבוע, השאלה איך עושים את זה בנתב BE
...

זה לא בנתב, זה במכשיר שאליו מחובר (כלומר כתובת הIPV6 הספציפית של המחשב הרלוונטי)
אפשר למשל בwindows לבטל את הפיצ'ר הזה
https://docs.microsoft.com/en-us/powers ... ver2022-ps

sys_admin · שליחה 02/06/2022 17:32

02/06/2022 16:16
OMRIJ כתב: זה לא בנתב, זה במכשיר שאליו מחובר (כלומר כתובת הIPV6 הספציפית של המחשב הרלוונטי)
אפשר למשל בwindows לבטל את הפיצ'ר הזה
https://docs.microsoft.com/en-us/powers ... ver2022-ps
...

זה נקבע באמת בנתב מן הסתם ועל סמך מזהה ייחודי ששולח לקוח בתוך הרשת הפנימית לנתב. וזה במקרה של SLAAC. במקרה יותר הגיוני, אם משתמשים בנתב ב DHCPv6, אז ניתן לשריין כתובת IPv6 מוגדרת לכל התקן לפי מזהה DUID שלו. רק כל זה מיותר לגמרי במקרה שלא קיים לך את delegated prefix . ואת זה כבר הסברתי בשרשור זה שלוש פעמים. בדיוק כפי בפתגם ההוא מארה''ב: פעם שלישית... גלידה.

OMRIJ · שליחה 02/06/2022 17:56

כאמור, זה פתיר...

yanivg11 · שליחה 02/06/2022 18:58

אגב, כדי שהעסק אכן יעבוד, צריך לאפשר פתיחה בפיירוול של הנתב.
אני מצרף תמונה מתוך ההגדרה שעשיתי לפתוח את פורט 3390 עד פורט 3391 (זה הפורט החלופי במקום 3389 שחסום בבזק).

תוך כדי התעסקות הבנתי שמה שקובע זאת הטבלה העליונה שנקראת Level, ומנהלת סטים של rules בטבלה מתחתיה.
משום מה הערכים בטבלה התחתונה לא משנים כלום, גם אם אני קובע את ה- rule על מצב drop (במקום accepted).

מישהו יכול לשפוך אור על אופן פעולת ה- firewall הזה?

NegativeIQ · שליחה 06/06/2022 17:55

02/06/2022 15:10
yanivg11 כתב: נמצאה הבעיה, הציעו לי בפורום נוסף להחליף את פורט 3389 שכן ייתכן והספק (בזק) חוסמים אותו כדי למנוע ניסיונות חיבור.
החלפתי אותו בפורט אחר דרך ה- registry והכל מנגן, תודה לכולם.
...

באופן כללי להשאיר פורט 3389 פתוח חשוף לאינטרנט זאת בקשה שיפרצו אליך. בזמנו היה אצלנו שרת בענן עם פורט 3389 פתוח וב-Security Log שלו ראית ממש כל כמה דקות נסיון כניסה כ-Administrator (שזה בטוח לא מישהו מורשה כי שינינו את השם של משתמש ה-admin וכולם ידעו את זה). בסוף באמת שינינו גם את הפורט. בנוסף אגב, זה לא נפוץ, אבל לפני כמה שנים היתה פרצה נוראית ברכיב Terminal Server שאפשרה הרצת קוד מרחוק בלי צורך ב-Login, ברגע שהפורט פתוח היה אפשר לפרוץ לך למחשב. באופן כללי ההמלצה שלי היא להימנע מלפתוח RDP לאינטרנט ולשים אותו מאחורי VPN במקום זה.