temat Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP w Modemy i routery

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

bajolo — Fri, 07 May 2021 07:29:06 GMT

Sytuacja wygląda tak:

Mam w sieci lokalnej serwer HTTP(S), nasłuchujący na portach 80 i 443. Serwer ma zarezerwowany adres IP (tj. konfigurację bierze przez DHCP, ale zawsze dostaje ten sam adres IP). Chcę mieć do niego dostęp z internetu, więc przekierowałem w Funboksie odpowiednie porty. Mam na Funboksie skonfigurowaną usługę dynamicznego DNS, więc załóżmy że Funbox jest pod adresem foobar.com. Funbox ma wyłączony dostęp zdalny. Ma zainstalowaną najnowszą wersję oprogramowania (SGF6-pl-01.06.13.17_20.04.14).

Chcę móc zawsze połączyć się z serwerem przy pomocy adresu foobar.com, niezależnie od tego czy jestem w tej samej sieci lokalnej co serwer.

Gdy łączę się z https://foobar.com spoza sieci lokalnej zawierającej serwer (np. z telefonu przez sieć komórkową), wszystko działa.

Gdy łączę się z tej samej sieci lokalnej co serwer, nie mogę się połączyć. Przeglądarka pokazuje, że certyfikat jest podpisany przez Orange, stąd przypuszczenie że Funbox próbuje mi zaserwować stronę konfiguracyjną (ale coś mu nie wychodzi, bo wysyła pustą odpowiedź - ERR_EMPTY_RESPONSE w Chromium). Jeśli użyję wewnętrznego IP Funboksa zamiast zewnętrznego, poprawnie dostaję stronę konfiguracyjną.

Dodam, że na moim serwerze działają różne usługi na innych portach (np. serwer VPN), i jestem w stanie się z nim połączyć przy pomocy zewnętrznego IP niezależnie od tego czy jestem wewnątrz sieci lokalnej, czyli tzw. hairpinning działa.

Szukałem jakiegoś ustawienia, które pozwoliłoby mi zmienić port HTTPS strony konfiguracyjnej, ale niczego takiego nie znalazłem.

W teorii mógłbym obejść ten problem stawiając na serwerze resolver DNS który przekierowuje foobar.com na wewnętrzny IP serwera, ale Funbox nie pozwala mi zmienić IP serwera DNS.

Idealnie byłoby gdyby Funbox na wewnętrznym adresie IP serwował stronę konfiguracyjną (tylko dla adresów źródłowych z wewnątrz sieci), a na zewnętrznym IP poprawnie przekierowywał pakiety, niezależnie od tego czy adres źródłowy jest wewnątrz sieci lokalnej.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

j131 — Mon, 19 Apr 2021 16:29:54 GMT

@bajolo: to może ustaw u siebie swój DHCP ze swoim DNS... Wiem że to obejście a nie rozwiązane problemu ale zadziała jeśli Twój serwer na to pozwoli - nie do końca rozumiem kto w tej sytuacji cerytfikuje tożsamość serwera.

Na dostęp "z zewnątrz" to nie będzie miało wpływu, a jeśli "wewnątrz" problemem jest tylko rozwiązanie nazwy na IP to własny DNS sprawę załatwi nawet lepiej niż zewnętrzny dynamiczny DNS. Jeśli masz IPTV to tylko musiałbyś zadbać o to, żeby dla dekodera serwerem DNS był nadal FB.

Naturalnie DHCP w FB trzebaby wtedy wyłączyć.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

bajolo — Mon, 19 Apr 2021 17:11:45 GMT

Chciałbym uniknąć ustawiania własnego serwera DHCP - dla mnie to wysiłek niewspółmierny do rozwiązywanego problemu 😄 do tego w moim przypadku nie ma gwarancji że serwer jest cały czas włączony.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

pirenej — Mon, 19 Apr 2021 19:26:24 GMT

No nie żartuj, stawiasz http, https, vpn, a tego nie ogarniesz? Kaman!

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

bajolo — Mon, 19 Apr 2021 19:42:10 GMT

Ogarnąć raczej bym to ogarnął, ale jak już wspomniałem serwer niekoniecznie będzie chodził 24/7, a w sieci są inne urządzenia które potrzebują serwera DHCP.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

pirenej — Mon, 19 Apr 2021 21:13:11 GMT

Czy na pewno przekierowałeś port 443 zgodnie ze swoim zamierzeniem? Spróbowałem odtworzyć Twoją sytuację u siebie, nie mając przekierowanego portu 443 i uzyskałem połączenie, mniej więcej z takim efektem (tutaj uwaga: mam funboksa3, a nie 2, jak może sugerować poniższa zawartość).

$ openssl s_client -connect moje.publiczne.ip:443
CONNECTED(00000003)
depth=1 C = FR, O = Orange, OU = 0002 380129866, CN = Orange Devices Auth Web CA
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 C = PL, O = Orange, CN = Web admin Funbox2 G6
verify error:num=10:certificate has expired
notAfter=Jun 29 15:35:19 2020 GMT
verify return:1
depth=0 C = PL, O = Orange, CN = Web admin Funbox2 G6
notAfter=Jun 29 15:35:19 2020 GMT
verify return:1
---
Certificate chain
 0 s:C = PL, O = Orange, CN = Web admin Funbox2 G6
   i:C = FR, O = Orange, OU = 0002 380129866, CN = Orange Devices Auth Web CA
 1 s:C = FR, O = Orange, OU = 0002 380129866, CN = Orange Devices Auth Web CA
   i:C = FR, O = Orange, OU = 0002 380129866, CN = Orange Devices Root CA
---
Server certificate
-----BEGIN CERTIFICATE-----
MIIEtjCCAp6gAwIBAgIUCR4/9Mo6/jtdBg6xBFj8PkpkGUUwDQYJKoZIhvcNAQEL
BQAwXDELMAkGA1UEBhMCRlIxDzANBgNVBAoMBk9yYW5nZTEXMBUGA1UECwwOMDAw
<i tak dalej - ciach>

i nie jest to żadna stronka, bo odpowiedzią na GET / było rozłączenie. Natomiast po przekierowaniu portu 443 w miejsce gdzie nic nie nasłuchuje (bo nie mam nic do zaserwowania przes https), mam połączenie odrzucone:

$ openssl s_client -connect moje.publiczne.ip:443
34371108864:error:0200203D:system library:connect:Connection refused:/usr/src/crypto/openssl/crypto/bio/b_sock2.c:110:
34371108864:error:2008A067:BIO routines:BIO_connect:connect error:/usr/src/crypto/openssl/crypto/bio/b_sock2.c:111:
connect:errno=61

Może spróbuj najpierw potrenować na porcie innym niż 443, dla upewnienia się, że Funbox się nie wtrąca?

PS.

Głupi ten wasz edytor. Ugrzązł mi tekst w pierwszym spoilerze, który miał być między spoilerami i nijak nie mogę rozdzielić spoilerów. Nawet w HTML nie jest dostępny w postedycji.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

bajolo — Mon, 19 Apr 2021 22:01:07 GMT

Myślę że przekierowanie jest takie jakie ma być, bo "z zewnątrz" elegancko łączę się z serwerem.

Dzięki za sugestię spróbowania z innym portem: uruchomiłem serwer HTTPS na porcie 8443, i przekierowałem na niego zewnętrzny port 8443. Będąc w sieci lokalnej serwera, https://foobar.com:8443 ładuje się elegancko. Gdy przekierowałem na niego zewnętrzny port 443, https://foobar.com nie daje odpowiedzi, więc ewidentnie Funbox się wtrąca na porcie 443.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

Samotnick — Tue, 20 Apr 2021 08:06:49 GMT

Gdy przekierowałem na niego zewnętrzny port 443, https://foobar.com nie daje odpowiedzi, więc ewidentnie Funbox się wtrąca na porcie 443.

Ja mam przekierowany port 443 TCP na 1194 i takie przekierowanie działa z zewnątrz i z wewnątrz. W logach OpenVPNa widać próby ustanowienia sesji SSL (jak jakiś robot próbuje się wbić) więc może sprawdź u siebie czy też widzisz takie próby połączenia. Może to nie wina FB tylko firewalla na Twoim serwerze? Przy HNAT adres źródłowy jest adresem bramy a nie zewnętrznym (publicznym).

Edit:

Jak się dobrze przyjrzałem to jednak próba połączenia z wewnątrz skutkuje w tym przypadku połączeniem przychodzącym z adresem publicznym FB a nie z prywatnym adresem bramy.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

bajolo — Tue, 20 Apr 2021 08:23:43 GMT

W logach widać próby ustanowienia sesji TLS z różnych publicznych IP.

Skoro przy HNAT adres źródłowy jest publicznym adresem bramy, to serwer raczej nie powinien odróżniać pakietów z internetu od pakietów z sieci lokalnej po przejściu przez HNAT. Tak czy siak, sprawdziłem reguły iptables i niczego podejrzanego nie znalazłem.

Gdy próbuję łączyć się z https://foobar.com z sieci lokalnej, w logach serwera nic się nie pojawia, tak jakby pakiety w ogóle do niego nie docierały.

@Samotnick, który model FB posiadasz?

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

Samotnick — Tue, 20 Apr 2021 08:26:07 GMT

@bajoloFB3.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

bajolo — Tue, 20 Apr 2021 08:32:11 GMT

Nie wiem na ile różne są FB3 i FB6, ale możliwe że mają całkiem inny soft, więc nawet jeśli mamy identyczną konfigurację to może u Ciebie działać, a u mnie nie. Z tego co czytałem FB6 to całkiem nowe urządzenie, więc możliwe że w oprogramowaniu jest sporo błędów.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

bajolo — Wed, 21 Apr 2021 08:22:54 GMT

Czy ktoś z Orange mógłby potwierdzić/zaprzeczyć że to jest błąd w oprogramowaniu? @Bartłomiej?

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

j131 — Fri, 23 Apr 2021 21:50:01 GMT

@bajolo: źle adresujesz swoje pytanie. To nie jest forum Orange, tylko otwarte forum samopomocowe użytkowników, nie wszyscy tu obecni w ogóle korzystają aktywnie z usług Orange. Jedyne na co możesz liczyć to weryfikacja Twojej hipotezy przez innych użytkowników FB6 - to do nich powinieneś się zwrócić. Firmware FB6 zapewne ma błędy i Twoja hipoteza jest jaknajbardziej uzasadniona ale tym bardziej uzyskanie potwierdzenia byłoby istotne, właśnie w kontekście zwrócenia uwagi ludziom odpowiedzialnym za naprawienie tych błędów.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

slav72 — Fri, 23 Apr 2021 23:01:57 GMT

@j131 co do NO masz rację że to forum samopomocowe, wśród użytkowników raczej nie ma pracowników operatora (a jak są to się nie afiszują), jednak część moderatorów to pracownicy Orange.

@bajolo co do FB 6, to sprzęt nowy, mający swoje niedociągnięcia i błędy w sofcie, myślę jednak i miejmy nadzieję że niedługo zostaną wydane aktualizacje zawierające poprawki oprogramowania.

Co do softu to @Bartłomiej pisał o planach naprawczych w tym roku i o dalszym rozwoju oraz dodawaniu nowych funkcjonalności w roku następnym, także trzeba uzbroić się w cierpliwość.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

j131 — Sat, 24 Apr 2021 11:50:26 GMT

@slav72ja to rozumiem. Ale IMHO bardziej byłoby produktywne gdyby inni użytkownicy FB6 (np. tacy jak ty?) zweryfikowali problem raportowany przez @bajolo na swoim sprzęcie. Nie widziałem jeszcze na NO sytuacji, w której wezwanie czy to Orange generalnie czy to konkretnego moderatora do "przyznania się do winy" skutkowało jakąkolwiek widoczną akcją. Poza ewentualną cenzurą co bardziej krewkich sformułowań.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

bajolo — Sat, 24 Apr 2021 13:41:31 GMT

Przyznaję, pochopnie zażądałem wyjaśnień od Bartłomieja - przydałoby się uzyskać potwierdzenie problemu od innego posiadacza FB6. Jeśli są tu tacy i używają Linuksa, bardzo bym prosił o wykonanie następujących kroków:

- Uruchom proces nasłuchujący na jakimkolwiek porcie (np. 4444):

$ netcat -l 4444

- Na stronie konfiguracyjnej FB (zaawansowane > konfiguracja sieci > NAT/PAT) przekieruj zewnętrzny port 4444 TCP na wewnętrzny port 4444 maszyny na której znajduje się nasłuchujący proces

- Na stronie "wsparcie > informacje systemowe > Internet" sprawdź adres IPv4 WAN (na potrzeby przykładu załóżmy adres 1.2.3.4)

- Spróbuj połączyć się z nasłuchującym procesem z tej samej sieci lokalnej przy użyciu publicznego IP:

$ netcat 1.2.3.4 4444

Wpisz jakikolwiek tekst i wciśnij Enter. Ten sam tekst powinien zostać wypisany przez nasłuchujący proces. Po potwiedzeniu że połączenie działa zakończ proces wciskając Control-C. Nie kończ jeszcze procesu nasłuchującego.

- Teraz usuń przekierowanie z portu 4444 na 4444 i dodaj przekierowanie z portu 443 na 4444.

- Ponownie spróbuj połączyć się z nasłuchującym procesem. Ponieważ przekierowaliśmy zewnętrzny port 443 na 4444, łącząc się przez publiczny IP używamy portu 443:

$ netcat 1.2.3.4 443

- Wpisz jakikolwiek tekst i wciśnij Enter. Nasłuchujący proces nic nie wypisuje (przynajmniej u mnie).

Jeśli u Ciebie też tak jest, proszę napisz tutaj wiadomość.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

slav72 — Sat, 24 Apr 2021 13:58:48 GMT

Wprawdzie posiadam szóstkę lecz nie używam Linuksa, więc niestety nie mogę pomóc ☹️

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

bajolo — Sat, 24 Apr 2021 14:48:11 GMT

@slav72owszem, możesz, ale będzie to wymagało innego programu: iperf. Służy on do benchmarkowania połączeń. Zakładam że używasz Windowsa - jeśli używasz Mac OSa, to tam netcat jest dostępny.

- Wypakuj folder zawierający iperf3.exe gdziekolwiek, np. do folderu Pobrane.

- Otwórz wiersz polecenia (cmd.exe) i przejdź do folderu zawierającego iperf3.exe.

- Aby uruchomić proces nasłuchujący:

iperf3 -s

Zezwól na dostęp do sieci prywatnych. Proces wypisze port, na którym nasłuchuje.

- Przekieruj porty tak, jak w przypadku Linuksa

- Aby połączyć się z procesem nasłuchującym:

iperf3 -c <ip> -p <port>

Gdy przekierowałem zewnętrzny port TCP 4444, test połączenia przebiegł pomyślnie. Gdy przekierowałem zewnętrzny port TCP 443, próba połączenia kończy się błędem:

iperf3: error - control socket has closed unexpectedly

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

slav72 — Sat, 24 Apr 2021 14:52:58 GMT

@bajolo może jakoś w przyszłym tygodniu uda mi się spróbować, aktualnie jestem w drugim domu bez dostępu do kompa i szóstki, a piszę z fona.

Funbox 6 - dostęp do serwera HTTP(S) z sieci lokalnej używając zewnętrznego adresu IP

bajolo — Sat, 01 May 2021 12:49:59 GMT

@slav72nie chcę wyjść na natręta, ale masz może teraz chwilę żeby to sprawdzić u siebie? Byłbym mega wdzięczny 🙂