» NAT: общие вопросы по настройке + список тем по NAT + ссылки

Цитата:

Эм.. в сети провайдера NAT one-to-one видимо?

Скорее не так. Провайдер предоставляет "серый" адрес, который автор тоже натит.

urodliv
Ну собственно не вижу ни каких не точностей в моём вопросе/утверждении...

Alukardd

Цитата:

Ну собственно не вижу ни каких не точностей в моём вопросе/утверждении..

Согласен. Я имел в виду, что провайдер автору, скорее всего, не предоставляет "белый" адрес, который равносилен "серому" адресу с использованием NAT one-to-one.

urodliv
Я именно так и понял. У меня дома так. У меня статичный ip-адрес из ip-сети провайдера 10/8, и он его один в один натит в "белую" статику, ну и я дальше в квартиру тоже натю (начу?).
Хорошо беседуем

Извините, что так долго отвечал. Ipкамера подключена к роутеру и чтобы ее видеть из другого места нужно заходить на нее, но так как провайдер дает серый ип этого не полкчается сделать. В его и в нашей сети настроен нат. Нужно как то настроить роутер от тп линка чтобы камера прокидывалась до внешнего(не серого ip)

delphi47
Цитата:

Если Вам надо выставить ip-камеру наружу, то на tplink'е делаете DNAT нужного порта (возможно это называется виртуальный сервер) на вашу камеру, правда это не безопасно.

мне нечего добавить к своим словам

просмотрел все вопросы и ответы, но не нашел выхода...
есть пк на нем 1 встроенная сетевая карта, купил переходник USB - LAN(с диском продаются) воткнул два сетевых кабедя 1(без доступа в интернет), второй с доступом. проблема такая: ПК видит оба подключения по локальной сети 1 с доступом в инет другой без(не важно какой провод в какую дырку) но вместе они не работают.
вопрос: может ли NAT разрешить их совместную работу или нет?

geworg Результаты ipconfig /all и route print с ПК в студию (под тегом more ).
Иначе - к телепатам.

ip сервака:
192.168.153.141

ip 3ёх машин в локалке:
192.168.153.143
192.168.153.144
192.168.153.145
со шлюзом и dns 192.168.153.141

NAT:
Пул адресов:
192.168.73.128
255.255.255.0
192.168.73.128

Зарезервировано:
192.168.73.128 это интернет
192.168.153.143 это присвоенно локальной тачке которая подключена к серваку
как я понял это идёт привязка внутренего к внешнему(интернету) ip


у меня вопрос почему на остальных двух машинах есть интернет???непойму я же их ip не привязывал к внешнему?? а только .143 привязал
или он всю сеть "192.168.153.00 - 255" захватывает ?

alaskaman Какую-то лажу ты опять написал.
Если шифруешь адреса, шифруй с умом, чтобы можно было понять,
где у тебя внутренние айпи, где внешние, и как это все подключено.

та чего тут непонятного:
http://pixs.ru/showimage/1jpg_3595656_10790692.jpg
со скриншотами , так вот откуда у 192.168.153.145 интернет?

Цитата:

откуда у 192.168.153.145

Через шлюз 192.168.153.141.
Пропишите на этом компьютере статический адрес, шлюз не указывайте, интернета не будет.

L0R
спс , так он и так статический , тогда неважно какой я резервирую ip 153-й сети если шлюз 141 будет , он как я и думал охватил полностью сеть"192.168.153.0 по 192.168.153.255"
понятненько , я просто думал тут именно конкретный адрес нужно резервировать для каждого компа

alaskaman
Цитата:

я просто думал тут именно конкретный адрес нужно резервировать для каждого компа  

В NAT можно реализовать раздачу разными способами.
1. Все внутренние адреса выпускать через один адрес внешнего интерфейса.
2. Определить пул имеющихся внешних адресов для трансляции внутренних.
3. При наличии достаточного количества внешних адресов закрепить за определенным
внутренним айпи определенный внешний.
Варианты каждый выбирает в зависимости от своих возможностей и потребностей

На роутере HUAWEI HG530, чтобы открыть порт, надо поиграться с настройкой NAT.
Зашел в настройки роутера. NAT Status Disabled

При этом в Wan Setting - IP Address NAT Enable

Viper25, а Virtual Circuit один?

L0R, я не знаю. Роутер находится у соседа.
Можно ли удаленно узнать?

Цитата:

удаленно узнать

Ну хоть соседа спросить, что в выпадающем списке...
Скрин ведь появился откуда то...

Цитата:

Скрин ведь появился откуда то...

Я зашел в настройки со своего компа через 192.168.1.1
Значит могу сам в настройках увидеть Virtual Circuit? Где?

На странице NAT, в выпадающем списке.

Настроил как описано в примере http://www.youtube.com/watch?v=rzBWxswkigo
UpnP активировал.
Все равно порт закрыт. Что я не так сделал?

Цитата:

http://www.it-servis.ru/dokum/dokum_nat.htm - примеры настройки

Самая нужная ссылка - битая!

подрихтовал малость шапку + добавил алерт про "не надо создавать темы".. может, сработает..
// текущий бэкап #

Всем доброго времени суток!
Ещё раз извиняюсь перед модераторами, за создание новой темы после сбоя 6.11.2015, не заметил.

И так, проблема: непонятки с iptables и DNAT.

В Linux я до сих пор многое не понимаю. Столкнулся со странной проблемой.
Система Debian Wheezy i386. Хост является шлюзом пользователей в интернет.

Для начала вводные данные:

в интернет смотрит - eth0, в локалку - eth1
на интернет интерфейсе внешний ip-адрес, назовём его: xxx.xxx.xxx.xxx
на внутреннем интерфейсе адрес: 192.168.1.1

В локалке есть АТС, у которой ip-адрес управляющего модуля: 192.168.5.55, адрес voip-платы: 192.168.5.56
В области интернета есть некий ip: www.www.www.www, который является voip-шлюзом провайдера телефонии.

Для корректного выхода в город, АТС использует UDP порт 5588 и ещё целую кучу разных UDP портов + небольшая пачка TCP портов.

В iptables было прописано DNAT правило:

iptables -t nat -I PREROUTING -i eth0 -s www.www.www.www -d xxx.xxx.xxx.xxx -p udp -m multiport --dport 5588 -j DNAT --to-destination 192.168.5.56
iptables -I FORWARD -i eth0 -s www.www.www.www -d 192.168.5.56 -p udp -m multiport --dport 5588 -j ACCEPT
iptables -I FORWARD -i eth1 -s 192.168.5.56 -d www.www.www.www -p udp -m multiport --sport 5588 -j ACCEPT

Всё работало хорошо, пока в один прекрасный момент, в офисе не отрубился выход в город.
В ходе разбирательств, провайдер попросил перенаправить порт 5588 с 192.168.5.56 на 192.168.5.55

В связи с чем, было удалено предыдущее правило с помощью "iptables -t nat -D PREROUTING <номер_правила>" и вместо него
было написано:

iptables -t nat -I PREROUTING -i eth0 -s www.www.www.www -d xxx.xxx.xxx.xxx -p udp -m multiport --dport 5588 -j DNAT --to-destination 192.168.5.55

а так же были добавлены соответствующие форвардинги.

И случилась очень странная штука:

Делаю "tcpdump -i eth1 -n port 5588", и вижу постоянные повторения следующей картины:

13:51:25.722436 IP www.www.www.www.5588 > 192.168.5.56.5588: UDP, length 36
13:51:25.962251 IP 192.168.5.56.5588 > www.www.www.www.5588: UDP, length 36

посмотрел "netstat-nat -Nn | grep 5588":

udp www.www.www.www:5588 xxx.xxx.xxx.xxx:5588 192.168.5.56:5588 ASSURED

очень странно, до сих пор 5.56...

посмотрел "cat /proc/net/ip_conntrack | grep 5588":

udp 17 177 src=www.www.www.www dst=xxx.xxx.xxx.xxx sport=5588 dport=5588 src=192.168.5.56 dst=www.www.www.www sport=5588 dport=5588 [ASSURED] mark=0 use=2

Почему на 5.56, когда уже прописано на 5.55?

перепроверил себя, посмотрел "iptables -t nat -L -n -v | grep 5588":

0 0 DNAT udp -- eth0 * www.www.www.www xxx.xxx.xxx.xxx multiport dports 5588 to:192.168.5.55

Всё правильно в таблице iptables, стоит нужный нам 5.55, других правил DNAT с портом 5588 или с перекрывающими диапазонами адресов или портов в таблице нет.

Гуглил на тему: "Как удалить залипший DNAT маппинг портов?", но что-то пока ничего не нашёл.
Всё везде указывает на то, что при применении правил iptables, всё само где надо отваливается и всё самое где надо добавляется.

Банальное echo 0 > /proc/net/ip_conntrack пишет "write error: Input/output error"
Как делать специально Flush для этой таблицы - не знаю к сожалению.

Инет-шлюзу ребут сделать проблематично, т.к. очень много людей через него работают.

В общем, вопрос: Залип DNAT-маппинг? Как такое может быть? Как уничтожить в памяти этот залипший маппинг? Или я чего-то не понимаю? Может это баги ядра в Debian 7.1 i386? Система давно не обновлялась.