גישה לשרת ביתי מחוץ לישראל

yooaavv · שליחה #1 09/05/2020 23:57

היי כולם,
בניתי לעצמי שרת ביתי שאני מתכנן לארח עליו אתר שבניתי.

פתחתי את פורט 80 בראוטר, אבל מסיבה שאני לא מצליח להבין אני יכול לקבל טראפיק רק מישראל.

יש למשהו מושג איך אני פותר את הבעיה הזו?

אני משתמש בראוטר DV5820 של סלקום.

אשמח לספק מידע נוסף שיתבקש

mosheamsalem56 · שליחה #2 10/05/2020 9:39

בדקת ממחשב אחר באותה רשת או ממש ממחשב אחר בארץ ?

eran405 · שליחה #3 10/05/2020 10:00

yooaavv כתב:אשמח לספק מידע נוסף שיתבקש
...

אתה מבקש עזרה לגבי בעיה שיש לך ואני מניח שמפריעה לך (לי אישית זה ממש לא מפריע שלא הצלחת לפתוח את הפורט...), אז המינימום שאתה יכול לעשות זה לספק את כל המידע הרלוונטי.

מהמעט מידע שציינת, "לקבל טראפיק רק מישראל" זה לא הגיוני ובטח לא משהו שיכול לקרות בטעות (מאד בתיאוריה לפחות במידה מסויימת אפשר לעשות זאת בציוד מתאים אבל זה ממש לא טריוואלי ולא משהו שיכול לקרות בטעות). אפשר להגיד כמעט בוודאות שיש אצלך בעיה אחרת שמסיבה כלשהי גורמת לך להאמין שזה המצב. מה שמחזיר אותנו לצורך לקבל מידע טכני מדויק על התופעה שאתה רואה ואיזה בדיקות עשית.

באופן כללי דברים שהייתי בודק:

א. לוודא שאפשר לגשת לשירות ברשת המקומית.

ב. לוודא שאינך מאחורי NAT של הספק (ספציפית אם אתה מאחורי NAT של הספק כמובן שאי אפשר לפתוח פורטים לכיוון האינטרנט אבל בתיאוריה יתכן שה-NAT לא חוסם תקשורת של לקוחות אחרים של אותו הספק שגם מאחורי ה-NAT).

ג. כאשר השירות פעיל, לבדוק האם הפורט פתוח באתרים כגון:
https://www.canyouseeme.org/

ד. לבדוק פורט אחר. אני מתעצל למצוא את השירשור הרלוונטי אבל היה שירשור דומה לאחרונה ואם אני זוכר נכון הבעיה הייתה ספציפית לגבי פורט 80 (אולי הראוטר המעפן של סלקום "לוקח" לעצמו את פורט 80 ולא מאפשר להפנות אותו או אולי משום מה הספק מתערב דווקא בתקשורת של הפורט הזה אם בטעות או בכוונה).

שליחה #4 10/05/2020 11:29

זה נשמע שיש עדיין איזה firewall פעיל בדרך. או אצלך או אצל הספק

yooaavv · שליחה #5 10/05/2020 17:57

תודה רבה על המענה המהיר.

ערן היקר, לא קשה להסיק לפי הפוסט שאני חדש בתחום. תודה על המענה אבל אין סיבה לכתוב בצורה צינית כזו. כתבתי שאני אספק כול מידע נוסף שייתבקש מכיוון שאני לא יודע מה המידע הרלוונטי שצריך.

ולנקודות שכתבתם:

1. כן, אחרי שפתחתי את הפורט הייתי יכול להתחבר לשרת שלי מהארץ( וודאתי שהמכשיר שהתחבר לא היה מאותה רשת). אך כאשר חבר שלי ניסה להתחבר מגרמניה הוא לא הצליח. בנוסף ניסיתי להתחבר דרך טור ושוב, ללא הצלחה.
2. כאשר ניסיתי לבדוק אם הפורט פתוח באתרים שמציעים את השירות וזה לא עבד, אבל אני מניח שזה קרה מכיוון שהשרתים שלהם מחוץ לישראל. כאשר אני משתמש ב TELNET מרשת שונה אני מקבל תגובה.
3. לצערי אני לא יודע איך לוודא שאני מאוחרי ה NAT של הספק, אבל אני כן הצלחתי להתחבר לשרת דרך רשת שהיא לא נטוויז׳ן.

לגבי ה-firewall, המערכת הפעלה שאני משתמש בה היא UNRAID, ושם אין firewall מותקן.
מה שכן יכול להיות הגיוני הוא שלראוטר יש firewall שמונע את החיבור, אבל ב GUI אין אפשרות לשנות את ההגדרות של ה- firewall, ובמדריך של הראוטר לא רשום כלום. כאשר התקשרתי לשירות לקוחות של נטוויז׳ן הם לא ידעו מה להגיד לי, וכרגע אני מחכה לנציג ״מומחה״ שלהם שיתקשר אלי.

האם לDMZ יכול להיות קשר לבעיה שלי? זה הדבר שהכי קרוב לפיירוואל שאני יכול לשחק אותו בהגדרות.

eran405 · שליחה #6 10/05/2020 21:10

yooaavv כתב:כאשר אני משתמש ב TELNET מרשת שונה אני מקבל תגובה.
...

לא ברור איך פתאום התערבב פה telnet שנמצא כמובן על פורט אחר (פורט 23) ומה הכוונה "רשת שונה" (שהרי גם לגבי ה-http זה כביכול עובד מרשת שונה כל עוד שהיא בארץ). בעולם של היום אין שום הצדקה לשריד ההיסטורי שקוראים לו telnet ומהווה פירצת אבטחה מאד רצינית. אם יש לך צורך ב-CLI מרחוק אז SSH עם authentication מתאים הוא הפתרון.

yooaavv כתב: 3. לצערי אני לא יודע איך לוודא שאני מאוחרי ה NAT של הספק,
...

מאד פשוט: תשווה את הכתובת שאתה רואה שהראוטר קיבל (כלומר הכתובת WAN שמופיע בממשק ניהול של הראוטר) עם הכתובת שאתה מקבל בחיפוש "my ip" בגוגל. אתה כמובן צריך שהכתובות יהיו זהות, מה שאומר שאתה לא מאחורי NAT של הספק ושלפחות מהבחינה הזאת אתה יכול להפנות פורטים.

אני מודה שאם אתה מצליח להתחבר מספק אחר בארץ אז (למיטב הבנתי) אין שום סיכוי שאתה מאחורי NAT של הספק. עדיין, בהינתן שאנחנו לא מבינים מה קורה אצלך ושזו בדיקה כל כך פשוטה שווה לבצע אותה.

yooaavv כתב: מה שכן יכול להיות הגיוני הוא שלראוטר יש firewall שמונע את החיבור, אבל ב GUI אין אפשרות לשנות את ההגדרות של ה- firewall, ובמדריך של הראוטר לא רשום כלום. כאשר התקשרתי לשירות לקוחות של נטוויז׳ן הם לא ידעו מה להגיד לי, וכרגע אני מחכה לנציג ״מומחה״ שלהם שיתקשר אלי.
האם לDMZ יכול להיות קשר לבעיה שלי? זה הדבר שהכי קרוב לפיירוואל שאני יכול לשחק אותו בהגדרות.
...

·

אתה כמובן צריך להפנות את הפורט בראוטר בצורה תקינה. היות שההפניה בראוטר היא לכתובת IP פנימית מסויימת חשוב שיהיה למכשיר שמריץ שירות כזה כתובת קבועה ברשת המקומית (ברב הראוטרים תהיה אפשרות לעשות "dhcp reservation" לפי ה-mac, אם לא אז אתה יכול להגדיר כתובת קבועה במכשיר עצמו; בשני המקרים תבחר כתובת קבועה באותו הרשת - כלומר שלושת המספרים הראשונים זהים - אבל שהמספר האחרון יהיה כך שהכתובת מחוץ לטווח שה-DHCP מחלק ולא בשימוש ע"י אף מכשיר אחר עם כתובת קבועה).

לגבי DMZ, במקרה של ציוד רשת ביתי, המושג מתייחס להפניית כל הפורטים אל כתובת ברשת הפנימית (חוץ מאילו המוגדרים בהפניית הפורטים). זה צעד קיצוני שפוגע באבטחה של הרשת ולכן מומלץ בחום להמנע ממנה (אלא אם יש לך סיבה ממש טובה). פשוט תגדיר הפניות פורטים ספציפיות לפי הצרכים.

כל הנושא של firewall והפניות הפורטים לא מסביר איך מכתובות מסויימות באינטרנט אתה מצליח ומאחרות לא (ב-firewallים מספיק מתקדמים יש הגדרות שיכולות לעשות סינונים כאלה אבל במיוחד סינון לפי מדינה זה לא דבר טריוואלי ואין סיכוי שדבר כזה יקרה בלי שתהיה מודע).

לבסוף לא התייחסת לזה:

eran405 כתב: ד. לבדוק פורט אחר. אני מתעצל למצוא את השירשור הרלוונטי אבל היה שירשור דומה לאחרונה ואם אני זוכר נכון הבעיה הייתה ספציפית לגבי פורט 80 (אולי הראוטר המעפן של סלקום "לוקח" לעצמו את פורט 80 ולא מאפשר להפנות אותו או אולי משום מה הספק מתערב דווקא בתקשורת של הפורט הזה אם בטעות או בכוונה).
...

אתה אפילו לא צריך לשנות את הפורט בשרת המקומי, כרגיל בהפנית הפורט בראוטר יהיה source port ו-destination port בנפרד, אז אתה יכול להגדיר לדוגמא שפורט 12345 מופנה לפורט 80 בשרת המקומי. אחרי שאתה מגדיר את זה האם ב-canyouseeme אתה רואה שפורט 12345 פתוח? (כמובן חובה שהשרת ירוץ בזמן שאתה עושה את הבדיקה)

Batnun · שליחה #7 10/05/2020 22:08

eran405 כתב:לא ברור איך פתאום התערבב פה telnet שנמצא כמובן על פורט אחר (פורט 23) ומה הכוונה "רשת שונה" (שהרי גם לגבי ה-http זה כביכול עובד מרשת שונה כל עוד שהיא בארץ). בעולם של היום אין שום הצדקה לשריד ההיסטורי שקוראים לו telnet ומהווה פירצת אבטחה מאד רצינית. אם יש לך צורך ב-CLI מרחוק אז SSH עם authentication מתאים הוא הפתרון.
...

אני די בטוח שהוא התכוון ל-Telnet לפורט 80, הרי השימוש היחידי היום ל-Telnet הוא בדיקת פורטים

שרת Telnet הוא אכן פרצת אבטחה, אבל קליינט של Telnet כשלעצמו לא מהווה כל סיכון.

Batnun

.

yooaavv · שליחה #8 11/05/2020 17:26

כמו ש-Batnun אמר, אפשר להשתמש ב-Telnet כדי לבדוק פורטים.

בכול מקרה שמח להגיד שהבעיה נפתרה, מסיבה שאני לא בטוח מה היא היה צורך באייפי סטאטי כדי להתחבר לשרת מחול. ברגע שנטוויז׳ן נתנו לי אייפי סטאטי יכלתי להתחבר לשרת מחו״ל.

Borderline1 · שליחה #9 11/05/2020 17:32

לא השתמשת/הגדרת שירות ddns??