Double NAT - לא יודע כבר מה לעשות...

starrywolf · שליחה #1 13/02/2019 14:28

לפני הכל אני רוצה לציין שאני מחובר לאינטרנט של 1Gbps בחו"ל דרך מודם-נתב שסופק על ידי ספק האינטרנט.

בבדיקת כתובות אינטרנט מצאתי שכתובת ה-IP החיצונית שאני מקבל וכתובת ה-IP שמקבל הנתב שונות ולכן הבנתי שאני מאחורי NAT כפול.

בדיקת Traceroute אישרה את העובדה הזאת.

גם לאחר ניתוק המחשב וחיבורו ישירות לקיר (כלומר ללא חיבור למודם-נתב) בדיקת Traceroute חוזרת מראה שאני עדיין מאחורי NAT כפול (קפיצה ראשונה לכתובת IP פרטית של הספק שמתחילה ב-10 וה-5 או 6 קפיצות שאחריו לכתובות IP פרטיות אחרות של הספק שמתחילות ב-172).

אני מבין שאין טעם לנסות Port Forwarding או DMZ במקרים כאלה אז רציתי לדעת האם יש משהו שניתן לעשות על מנת לעקוף את ה-NAT הכפול הזה חוץ מאשר לפנות לספק עצמו?

mescaline · שליחה #2 13/02/2019 15:05

VPN או שתסביר למה אתה צריך הפניית פורטים?

starrywolf · שליחה #3 13/02/2019 15:33

רציתי לנסות ולעקוף את ה-NAT הכפול לצורך שיתוף קבצים כי עם שאר הדברים שאמורים להיות חסומים כמו גישה למצלמות אבטחה מרחוק למשל אין בעיה.

אני אנסה את הרעיון של ה-VPN ואחזור לכאן במידה ולא אצליח.

תודה על העזרה!

eran405 · שליחה #4 13/02/2019 15:36

starrywolf כתב: ...
אני מבין שאין טעם לנסות Port Forwarding או DMZ במקרים כאלה אז רציתי לדעת האם יש משהו שניתן לעשות על מנת לעקוף את ה-NAT הכפול הזה חוץ מאשר לפנות לספק עצמו?
...

·

לא הצלחת להסביר מה בדיוק הקונפיגורציה שאתה עובד איתה ואיפה ה-double-NAT.

אם לדוגמא זה היה double-NAT אצלך בבית ויש שליטה על שני הראוטרים אז אין בעיה לפתוח פורטים ע"י הגדרות מתאימות בשניהם.

אם אני מבין נכון זה לא המצב ולכן ה-double NAT או בגלל NAT אצל הספק או בגלל הקונפיגורציית VPN/התחברות מרחוק שלא פירטת.

אם זה בגלל NAT בצד של הספק, אז מן הסתם הדרך היחידה לצאת ממנו זה או לדבר עם הספק או לעבור לספק אחר.

starrywolf · שליחה #5 13/02/2019 17:27

ה-NAT הכפול נמצא מן הסתם אצל הספק ולא אצלי בבית - אחרת הייתי מצליח להתגבר על הבעיה.

עד עכשיו לא הייתי מחובר דרך VPN אלא ישירות לנתב בצורה קווית או אלחוטית לפי הצורך.

בעקבות העצה של mescaline ניסיתי להתחבר דרך VPN וכרגע בשיתוף הקבצים אני אכן מצליח להתחבר אבל לא מצליח להתחבר לכולם (בדיקה חיצונית מעלה שהפורט הנדרש לכך סגור - יש טעם לפתוח אותו בשימוש ב-VPN?) אז אני מניח שה-VPN כן מצליח איכשהו חלקית לעקוף את הבעיה של ה-NAT הכפול אבל לא לחלוטין.

eran405 · שליחה #6 13/02/2019 23:55

@starrywolf
·

עדיין לא ברור מה אתה מנסה לעשות ובאיזה קונפיגורציה.

ללא VPN, העסק מאד פשוט: אתה מחובר דרך הספק שלך. הראוטר בבית אצלך זה בעצם NAT שבתקווה מקבל כתובת IP חיצונית מהפסק ואז אפשר לפתוח פורטים וכו'. אם הספק שם אותך מאחורי NAT בצד שלו, אז בעצם יש double-NAT (אחד הראוטר שלך בבית ואחד בצד של הספק) ואתה לא יכול לפתוח פורטים לא בגלל שזה double NAT אלא בגלל שאין לך שליטה על ה-NAT בצד של הספק. לא תמיד זה מפריע אבל אם כן אתה צריך לדבר עם הספק (או להחליף אותו).

עם VPN, זה תלוי בדיוק מה השימוש ואיך זה מוגדר אבל כרגיל אתה מקבל כתובת מה-VPN ומעביר את כל התקשורת רק דרך ה-VPN. במקרה כזה אין שום משמעות האם הספק עושה לך double-NAT או לא כי גם דרך NAT של הספק אתה יכול לפתוח חיבור אל ה-VPN.

מאד הגיוני ששרת ה-VPN שם אותך מאחורי NAT בצד שלו (אחרת הוא יצטרך לספק כתובת אינטרנט "אמיתית" לכל משתמש). כרגיל משתמשים ב-VPN בשביל גלישה אנונימית ואז ה-NAT דווקא עוזר.
אני לא בטוח לגבי קבלת כתובת IPv4 אמיתית משרת VPN אבל לדעתי אפשר למצוא שרתי VPN שתומכים בפתיחת פורטים דרכם. אני לא באמת מתמצא בשרתי VPN, אולי מישהו שמכיר יכול לפרט יותר.

NegativeIQ · שליחה #7 14/02/2019 0:57

starrywolf כתב:לפני הכל אני רוצה לציין שאני מחובר לאינטרנט של 1Gbps בחו"ל דרך מודם-נתב שסופק על ידי ספק האינטרנט.

בבדיקת כתובות אינטרנט מצאתי שכתובת ה-IP החיצונית שאני מקבל וכתובת ה-IP שמקבל הנתב שונות ולכן הבנתי שאני מאחורי NAT כפול.

בדיקת Traceroute אישרה את העובדה הזאת.

גם לאחר ניתוק המחשב וחיבורו ישירות לקיר (כלומר ללא חיבור למודם-נתב) בדיקת Traceroute חוזרת מראה שאני עדיין מאחורי NAT כפול (קפיצה ראשונה לכתובת IP פרטית של הספק שמתחילה ב-10 וה-5 או 6 קפיצות שאחריו לכתובות IP פרטיות אחרות של הספק שמתחילות ב-172).

אני מבין שאין טעם לנסות Port Forwarding או DMZ במקרים כאלה אז רציתי לדעת האם יש משהו שניתן לעשות על מנת לעקוף את ה-NAT הכפול הזה חוץ מאשר לפנות לספק עצמו?
...

לאיזה ספק אתה מחובר? יש ספקים שידועים לשמצה בזה שהם שמים אותך מאחורי NAT (הכי ידועה זאת אקספון אבל לפעמים רואים את זה גם בהוטנט). אקספון יוציאו אותך מה-NAT אם תבקש משירות הלקוחות אבל זה בערך לשלושה חודשים ואז אתה צריך להתקשר שוב. סופר מעצבן. בהוטנט אם הבנתי נכון אם מבקשים שירות סינון אתרים אז מקבלים IP חיצוני (לא ברור למה) ואז אתה יכול לשנות את שרת ה-DNS ל-8.8.8.8 או 1.1.1.1 כדי לבטל את הסינון עצמו.
אם אתה רוצה פתרון יותר קבוע אז או שתעבור לאחת משלושת הספקיות הגדולות (בזק בינ"ל, נטויז'ן, סמייל), שידוע שלא שמות אותך מאחורי NAT (לפחות לא בינתיים) או שלם על IP קבוע (כל הספקיות נותנות את זה בתוספת תשלום).

starrywolf · שליחה #8 14/02/2019 17:28

eran405 כתב:ללא VPN, העסק מאד פשוט: אתה מחובר דרך הספק שלך. הראוטר בבית אצלך זה בעצם NAT שבתקווה מקבל כתובת IP חיצונית מהפסק ואז אפשר לפתוח פורטים וכו'. אם הספק שם אותך מאחורי NAT בצד שלו, אז בעצם יש double-NAT (אחד הראוטר שלך בבית ואחד בצד של הספק) ואתה לא יכול לפתוח פורטים לא בגלל שזה double NAT אלא בגלל שאין לך שליטה על ה-NAT בצד של הספק. לא תמיד זה מפריע אבל אם כן אתה צריך לדבר עם הספק (או להחליף אותו).

עם VPN, זה תלוי בדיוק מה השימוש ואיך זה מוגדר אבל כרגיל אתה מקבל כתובת מה-VPN ומעביר את כל התקשורת רק דרך ה-VPN. במקרה כזה אין שום משמעות האם הספק עושה לך double-NAT או לא כי גם דרך NAT של הספק אתה יכול לפתוח חיבור אל ה-VPN.

מאד הגיוני ששרת ה-VPN שם אותך מאחורי NAT בצד שלו (אחרת הוא יצטרך לספק כתובת אינטרנט "אמיתית" לכל משתמש). כרגיל משתמשים ב-VPN בשביל גלישה אנונימית ואז ה-NAT דווקא עוזר.
אני לא בטוח לגבי קבלת כתובת IPv4 אמיתית משרת VPN אבל לדעתי אפשר למצוא שרתי VPN שתומכים בפתיחת פורטים דרכם. אני לא באמת מתמצא בשרתי VPN, אולי מישהו שמכיר יכול לפרט יותר.
...

הראוטר בבית לא ממש רלוונטי כי אני יכול לחבר את המחשב ישירות לשקע בקיר ועדיין להיות מחובר לאינטרנט.

אין לי שליטה על ה-NAT של הספק (לדעתי NAT כפול בצד שלו - גם בחיבור ישיר לקיר מתקבלת אותה תוצאה של NAT כפול בבדיקת Traceroute).

לגבי ה-VPN אני משתמש ב-ExpressVPN ואני לא בטוח שהם מאפשרים פתיחת פורטים בצד שלהם.

שלגון · שליחה #9 14/02/2019 17:33

ולעבור ל- IPv6 זאת לא אופציה עבורך?

starrywolf · שליחה #10 14/02/2019 17:33

NegativeIQ כתב:
...
...
לאיזה ספק אתה מחובר? יש ספקים שידועים לשמצה בזה שהם שמים אותך מאחורי NAT (הכי ידועה זאת אקספון אבל לפעמים רואים את זה גם בהוטנט). אקספון יוציאו אותך מה-NAT אם תבקש משירות הלקוחות אבל זה בערך לשלושה חודשים ואז אתה צריך להתקשר שוב. סופר מעצבן. בהוטנט אם הבנתי נכון אם מבקשים שירות סינון אתרים אז מקבלים IP חיצוני (לא ברור למה) ואז אתה יכול לשנות את שרת ה-DNS ל-8.8.8.8 או 1.1.1.1 כדי לבטל את הסינון עצמו.
אם אתה רוצה פתרון יותר קבוע אז או שתעבור לאחת משלושת הספקיות הגדולות (בזק בינ"ל, נטויז'ן, סמייל), שידוע שלא שמות אותך מאחורי NAT (לפחות לא בינתיים) או שלם על IP קבוע (כל הספקיות נותנות את זה בתוספת תשלום).
...

אני לא גר בארץ אז לצערי לא אוכל להעזר במה שכתבת אבל תודה בכל אופן.

starrywolf · שליחה #11 14/02/2019 17:36

@שלגון

הבנתי שזו כן יכולה להיות אופציה אבל לא ניסיתי אותה עדיין כי אין לי מושג איך לעשות את זה בלינוקס - אני אצטרך לקרוא על זה וכמובן שאשמח לקבל עזרה או הכוונה בנושא.

Borderline1 · שליחה #12 14/02/2019 18:29

למה אתה מדבר איתנו ולא עם הספק שלך בחו"ל?
אולי יש לו פיתרון עבורך?
כמעט לכולנו כאן אין נסיון עם ספקים בחו"ל, המדיניות שלהם והאפשרויות העומדות בפני לקוחותיהם לגבי הקצאות ip
חוץ מדיון תיאורטי שום דבר פרקטי לא יצא מהדיון הזה, לדעתי לפחות

starrywolf · שליחה #13 14/02/2019 21:50

@Borderline1

כי אני לא חושב שספק אינטרנט באנגליה יראה בעין יפה את הרצון שלי לשתף קבצים ברשת.

Borderline1 · שליחה #14 14/02/2019 22:03

יש המון סיבות לגיטימית מדוע לא להיות מאחורי double nat
שאינן קשורות לשיתוף קבצים

eran405 · שליחה #15 14/02/2019 22:51

starrywolf כתב: כי אני לא חושב שספק אינטרנט באנגליה יראה בעין יפה את הרצון שלי לשתף קבצים ברשת.
...

·

יש סיכוי סביר שיש לך סיבה מוצדקת לפחד משיתוף תוכן לא חוקי דרך הספק אינטרנט באנגליה. אני כמובן לא מכיר מה בדיוק המצב באנגליה ובטח לא מכיר מה המצב בספק הספציפי שלך אבל אני יודע שבהרבה מקרים הספקים באירופה חייבים לשתף פעולה עם הרשיות בנושא הזה.

זה כמובן לא עניין של "יראה בעין יפה" או של שיחת טלפון לשירות לקחות של הספק. זה עניין שקל יחסית לראות שאתה משתף תוכן לא חוקי מכתובת IP מסוימת ומשם להגיע לספק שלך ודרכו אליך.

הפתרון הישיר לזה הוא שלפחות כל שיתוף הקבצים שלך יהיה רק דרך שרת VPN מתאים. כמו שכבר הסברתי ברגע שאתה עושה זאת אין שום משמעות להאם הספק שם אותך מאחורי NAT או לא.

אני לא מכיר את הנושא, אבל לפי חיפוש בגוגל דווקא נראה כמו ש-expressVPN אחד מהשירותים המומלצים גם לצורך כזה:
http://lmgtfy.com/?q=vpn+service+for+torrenting

הפתרון שלדעתי אפילו יותר טוב הוא seedbox. אם אתה ממש רוצה לכסות את כל הבסיסים אתה יכול לקחת גם VPN וגם seedbox.

starrywolf · שליחה #16 14/02/2019 23:00

Borderline1 כתב:יש המון סיבות לגיטימית מדוע לא להיות מאחורי double nat
שאינן קשורות לשיתוף קבצים
...

בינתיים הדבר היחיד שלא הצלחתי לעשות דרך Double NAT זה שיתוף קבצים ולכן בקשת העזרה.

starrywolf · שליחה #17 14/02/2019 23:09

eran405 כתב:
...
...
·

יש סיכוי סביר שיש לך סיבה מוצדקת לפחד משיתוף תוכן לא חוקי דרך הספק אינטרנט באנגליה. אני כמובן לא מכיר מה בדיוק המצב באנגליה ובטח לא מכיר מה המצב בספק הספציפי שלך אבל אני יודע שבהרבה מקרים הספקים באירופה חייבים לשתף פעולה עם הרשיות בנושא הזה.

זה כמובן לא עניין של "יראה בעין יפה" או של שיחת טלפון לשירות לקחות של הספק. זה עניין שקל יחסית לראות שאתה משתף תוכן לא חוקי מכתובת IP מסוימת ומשם להגיע לספק שלך ודרכו אליך.

הפתרון הישיר לזה הוא שלפחות כל שיתוף הקבצים שלך יהיה רק דרך שרת VPN מתאים. כמו שכבר הסברתי ברגע שאתה עושה זאת אין שום משמעות להאם הספק שם אותך מאחורי NAT או לא.

אני לא מכיר את הנושא, אבל לפי חיפוש בגוגל דווקא נראה כמו ש-expressVPN אחד מהשירותים המומלצים גם לצורך כזה:
http://lmgtfy.com/?q=vpn+service+for+torrenting

הפתרון שלדעתי אפילו יותר טוב הוא seedbox. אם אתה ממש רוצה לכסות את כל הבסיסים אתה יכול לקחת גם VPN וגם seedbox.
...

סידבוקס הוא כמובן הפתרון הקל (והיקר) יותר אבל הוא המוצא האחרון מבחינתי מכיוון שיש לי אינטרנט במהירות של גיגה סימטרי אז למעשה אני משלם עוד כסף על משהו שאני יכול לעשות בעצמי אם רק תהיה לי את האפשרות ולכן חשבתי ש-VPN שאני ממילא משלם עליו ומשתמש בו יעזור לי לעקוף את הבעיה של ה-NAT הכפול.

כמו שזה נראה כרגע הבעיה היא בכך ש-ExpressVPN חוסמים פורטים מהצד שלהם ולכן קשה לשתף קבצים ואני לא חושב שהם יסכימו לפתוח פורטים למטרה זו מטעמי ביטחון כך שאולי עדיף להחליף אותם ב-VPN שתומך בפתיחת פורטים או לנסות להשתמש ב-ipv6.

eran405 · שליחה #18 15/02/2019 0:11

@starrywolf
·

א. אני לא בטוח לגבי expressVPN אבל יש שרותי VPN שכן תומכים בזה.

ב. זה שיש לך חיבור בבית של גיגה סימטרי זה ממש לא הופך אותו לבר השוואה לסידבוקס:

1. מבחינת אנונומיות ושקט נפשי מהרשיות הרלוונטיות כנראה ש-seedbox טוב ו-VPN טוב דומים יחסית (לא שומרים logs, "מבטיחים" לא לחשוף את הזהות שלך ופועלים מארץ שהם יכולים לקיים את ההבטחה הזו בצורה חוקית).
כמובן שבמקרה של VPN אתה די תחסל את המהירות שלך, שלא לדבר על סיבוכים כמו פתיחת פורטים וכו', אז זה די מחטיא את המטרה....
למיטב הבנתי במדינות מסוימות לעבוד ללא VPN וללא seedbox זה סיכון רציני.

2. המהירות של הסידבוקס נובעת בעיקר בגלל שהחיבור בין החוות של הסידבוקסים כרגיל מטורף ובמעשי אתה תראה קצבים אחרים לגמרי גם אם מהירות החיבור כביכול אותו הדבר (שלא לדבר על שיתוף מול סידבוקסים מאותה החווה או אפילו בין שתי מכונות וירטואליות על אותה מכונה פיזית). לדוגמא אצלי יש 500 גיגה סימטרי של אנלמיטד ואני רואה איך הסידבוקסים לא רואים את החיבור שלי ממטר. אני יודע שחיבור גיגה באנגליה זה לא אותו דבר כמו חיבור 500 מגה בארץ אבל עדיין אני די בטוח שבמעשי תראה תוצאות אחרות לגמרי מסידבוקס.

כל זאת בלי להתייחס לעובדה שהיום אתה כבר מקבל סידבוקס של 10 גיגה במחיר מצחיק (לדוגמא כאן).

3. ללא סידבוקס אתה חייב מחשב שרץ 24/7 ומריץ את התוכנות המתאימות. סידבוקס פותר את התלות הזאת ואם אני לא טועה גם מגיע עם כל התוכנות שאתה צריך (ואלה שלא ידעת שאתה צריך) בצורה סטדנרטית ונוחה יחסית לתפעול. לדוגמא כל הנושא של autodl-irssi הוא מאד בעייתי להריץ בבית על מחשב windows ולמיטב הבנתי טריוויאלי בסידבוקס.

starrywolf · שליחה #19 15/02/2019 2:46

@eran405

א. אני יודע ולכן אמרתי שאולי כדאי לנסות אחד מהם.

ב. יש משהו בדבריך:

1. VPN מספיק לי בהחלט ובחיבור דרכו להולנד למשל אני מקבל קצב של 100 מגה סימטרי שמבחינתי זה מספיק טוב, הבעיה היא שאני לא מצליח להעלות בקצב הזה - עם קצב ההורדה לעומת זאת אין לי בעיה.

2. אין ספק שסידבוקס עדיף מבחינת מהירות וגם המחיר לא בשמיים. אולי שווה באמת לנסות... למרות שאני לא מאמין שאצליח להעלות דרך סידבוקס בקצב של 10 גיגה אלא אם אעלה עשרות קבצים במקביל וגם זה בספק אז זה כרגע מיותר מבחינתי.

3. פה טמון ההבדל הגדול וזה לדעתי מה שיכריע את הכף לטובת סידבוקס - לפחות לחודש נסיון.

NegativeIQ · שליחה #20 15/02/2019 2:54

starrywolf כתב:@Borderline1

כי אני לא חושב שספק אינטרנט באנגליה יראה בעין יפה את הרצון שלי לשתף קבצים ברשת.
...

גם בלי חיבור נכנס אני לא בטוח שספק אינטרנט יראה את זה בעין יפה. עם זאת כמובן שרוב ספקי האינטרנט בעולם לא יעשו בנושא הזה יותר ממה שהחוק המקומי מחייב אותם כי ברור להם למה רוב האנשים משלמים על רוחב-פס גבוה.

עם זאת, יש גם סיבות אחרות, חוקיות, שמצדיקות IP אמיתי. אצלי לדוגמה מותקן על הראוטר שרת VPN שמאפשר לי להתחבר מרחוק למחשב השולחני שלי ב-Remote Desktop ול-NAS. גישה מרחוק זאת דוגמה נהדרת לצורך ב-IP חיצוני אז הנה יש לך תירוץ. בנוסף אתה ממש לא צריך לתת לספק שלך הסברים, בסופו של דבר אתה הלקוח. אני יכול להגיד אמנם מנסיון עם ספקים בארץ שאתה מבקש, הם אומרים לך אם זה אפשרי, אם זה בתוספת תשלום וכו' אבל אף-פעם לא שאלו אותי למה אני צריך את זה ואם היו שואלים כנראה שהייתי עונה "ככה" ו/או "אם אתם לא מעוניינים אז יהיה ספק אחר שכן". אין שום סיבה שהספק ישאל אותך למה אתה צריך. מה שכן קח בחשבון שזה יכול להיות בתוספת תשלום.
מה שכן, אם מדובר לצורך שיתוף בלבד אז אולי באמת שירות VPN עדיף לך, ולו בשל מדיניות הפרטיות של הרבה ספקי VPN, שלפחות מצהירים שהם לא שומרים לוגים מזהים בכלל (אם אתה מאמין להם זה כבר סיפור אחר). אין הרבה ספקי אינטרנט עם המדיניות הזאת. בנוסף לזה ספק VPN יאפשר לך לגלוש דרך IP שאינו מהמדינה שאתה נמצא בה פיסית שזה גם בונוס לא קטן. כמובן שאתה משלם על זה ב-latency (פחות רלוונטי לשיתוף אבל מאוד רלוונטי לגיימינג).