Что может мешать работе NAT?

Question

[Петр]

Имеется ADSL роутер Sagemcom f@st 2804. Выдан мне белый IP, пытаюсь выполнить проброс портов к устройству во внутренней сети.



Прописываю на вкладке "Виртуальный сервер" внешний порт, внутренний и внутренний IP и из вне порт не доступен.

Из особенностей, только данное устройство подключено к LAN порту через кабель. Все остальные устройства подключены по WiFi. Внутри сети другие устройства видят данное и имеют к нему доступ.
Если на вкладке "Виртуальный сервер" прокидывать порт любого wifi устройства, то из вне они доступны.
В чем может быть проблема?

Дополнил картинкой как выглядит проброс, а то пустая страница вводит в заблуждение


Еще особенность:
С самого роутера не проходит ping на это устройство, а с других устройств с ping проблем нет, и из роутера они тоже пингуются

Comments

[Ruslan-Strannik]

ну а само устройство слушает по данному порту? фаерволл на нем имеется?

[Петр]

Ruslan-Strannik, Нет на нем фаервола, из локальной сети с других устройств проблем с коннектом нет.

[Ruslan-Strannik]

мало того что фаерволл открыт, порт должен именно прослушиваться. каким-то сервисом. Будь то веб-сервер или терминальный или VPN. сервис должен быть запущен и ожидать данных по этому порту, иначе будет казаться что порт не пробрасывается.

[Петр]

Ruslan-Strannik, все в точности как вы написали. )) Все активно. Из локальной сети с любого устройства доступ есть.

[Ruslan-Strannik]

а. так вот что имеется ввиду :) я не так понял. из локалки то вы ломитесь на порт 80?
кстати, на этом роутере диагностика пинг как работает? скорей всего все запросы идут в ван порт. по-этому ваш сервер недоступен с роутера.
Но это предположение.

По проблеме... Как вы проводите диагностику извне?

[Петр]

Ruslan-Strannik, Диагностика из вне идет из внешней сети. Решается через сотовую сеть мобильного телефона.
"кстати, на этом роутере диагностика пинг как работает?" этого я не знаю, но всех wifi клиентов пингует нормально, только это LAN соединение не может.
"из локалки то вы ломитесь на порт 80?" да, и это нормально работает.

[Ruslan-Strannik]

ну тогда решение следующие :
переводим модем в режим бриджа, подключаем к нему МикроТик и все настраиваем.
Все работает, радуемся жизни. ))))

[fpir]

Ruslan-Strannik,

скорей всего все запросы идут в ван порт

маршрут в локалку прописан, если физический интерфейс добавлен в группу с локалкой и есть мост между локалкой и влан, то пинг должен ходить

[Ruslan-Strannik]

fpir, Конечно должен. Обязан даже )) Но кто его знает как в этом роутере устроена утилита Пинг и какие подводные камни он скрывает.

[АртемЪ]

Петр, Что это за порт? 65535.
Вы точно уверены что ваш веб сервер слушает этот порт?

[Петр]

АртемЪ, Это пример настройки. Притом это порт внешний для белого IP, проброс с него идет на 80 порт, что точно работает

[АртемЪ]

Петр,

проброс с него идет на 80 порт, что точно работает

Если работает тогда в чем вопрос?

[Петр]

АртемЪ, Так в вопросе точно прописано, что в локальной сети все работает. Но проброс через NAT не работает и с роутера ping на устройство не проходит. Проблема явно между роутером и устройством

[АртемЪ]

Петр,

Но проброс через NAT не работает

Вы только что сказали что он работает!
Ваши слова пять минут назад - "Притом это порт внешний для белого IP, проброс с него идет на 80 порт, что точно работает"

и с роутера ping на устройство не проходит.

Проверяйте сетевые настройки компьютера.
Точно роутер является его шлюзом по умолчанию?

Answer 1

[fpir]

А куда прокидывается порт? LAN адрес не указан. Прокидывать на все устройства? Так это веб морда, что она там своими скриптами пишет в NAT таблицу, известно только производителю.
P.S. по решению: не забываем, что кроме NAT в роутере есть группы интерфейсов между которыми прокинут мост. В обычном бытовом роутере этих групп 2 или 3 и они по дефолту все связанны мостом. когда групп больше или роутер более продвинутый это может быть не так.

Comments

[fpir]

Задайте диапозон DHCP, скажем 100-200, пропишите на "Устройстве" 254 руками и на него прокидывайте. Не то что это правило, но обычно сетевые устройства вешают на статические адреса из начала подсети, а сервера на конец.

[Петр]

fpir, Сначала устройству давал статический IP из сети, затем переключил на получение фиксированного по MAC из DHCP, разницы нет, из сети работает из вне через NAT - нет
И дополнил вопрос картинкой, что с настройкой NAT норм.

[fpir]

Петр, попробуйте временно добавить в DMZ. Так вы определите, где проблема, на роутере или на хосте. Обычно DMZ на таких устройствах работает чётче, чем проброс.

[Петр]

fpir, Прописал в DMZ и пропробовал как просто к 80 порту, так и с настройкой порта через "Виртуальный сервер"
и так и так доступ не появился.

[Петр]

fpir, Добавил в вопрос еще особенность с ping.

[mayton2019]

Петр, пинг это протокол ICMP и вобщем случае к этой задаче не имеет отношения.

Кстати как ты вообще доступа проверяешь. Давай telnet на порт.

Из из линукса nc -zv {host} 113

[fpir]

mayton2019, А вот кст, странно, что с роутера хост не пингуется, вижу вкладку "группировка интерфейсов", это чего? Инет на компе есть? может моста нет между wan и lan?

[Петр]

mayton2019, На устройстве есть web сервер, так что 80 порт активен, с wifi устройств доступ до 80 порта устройства есть. Так и проверяю. Устройство с закрытой ОС там telnet нет.

[fpir]

VLANми вы там не баловались?

[fpir]

Петр, что значит с закрытой OC? в бытовой винде telnet не установлен по дефолту, но он есть в сборке. Панель управление-программы и компоненты-компоненты windows.

[mayton2019]

Ну ты понимаешь что ICMP пакет не имеет никакого номера порта?

Он может проверить доступность хоста. Извне это будет доступность твоего роутера либо DMZ.

[Петр]

fpir, Виртуальных сетей не создавал. Посто подключил switch и к нему устройство. И эта парочка одна подключена в LAN разьем роутера

[fpir]

mayton2019, я понимаю, и это было бы не важно, если-бы пинг был а порт был закрыт. А вот обратная ситуация привлекает внимание. Он-же пингует внутри локалки, пинги должны ходить от любого к любому. Если только роутер не в другой подсети. Что не так, судя по первому скриншоту.

[Петр]

fpir, в роутере находятся такие статические маршруты

[fpir]

Петр, первый скриншот настоящий, или тоже, для примера?

[Петр]

fpir, Настоящий.

[fpir]

А роутер с хоста пингуется?

[Петр]

fpir, С wifi устройств роутер пингуется. На проблемном устройстве есть только тест конекта с интернетом и там роутер шлюзом прописан. Тест проходит.

[fpir]

Петр, так а что там с "группировкой интерфейсов"?

[Петр]

fpir,

[fpir]

Вот тут интересно. 4 порта lan, это наверное ethernet интерфейсы, pppoe понятно. Предположим, что у роутера есть WAN интерфейс, в который можно подключить провайдера и с помощью WAN1 и WAN2 организовать резервирование. Тогда wlan это wireless lan, и получается, что вам надо, либо подключить хост в лан1 или лан2, либо добавить лан3 и лан4 в дефолтный мост.

[Петр]

fpir, Переткнул провод из LAN4 в LAN1 и сразу пинг с роутера появился и NAT тоже заработал. Благодарю!

[mayton2019]

Петр, я вспоминаю мультфильм Симпсоны. Там Нельсон бросает камень в белку. И белка убегает. И он записывает в тетрадку - "Белки не любят камни."

Вот мне интересно какой вывод ты сделал для себя после этого топика? Или просто пофиксил и забыл.

[Петр]

mayton2019, Вывод в том, что современные сетевые устройства стали значительно сложнее в настройках. И что нужно пополнить знания информацией про "группировки интерфейсов".

[fpir]

Петр, я-бы сказал, что сетевые устройства стали слишком просты в настройке, поэтому не требуется знаний по сетям, что-бы их настроить. Ваша настройка явно не дефолтная, кто-то это настроил, мне трудно предположить зачем. И пополнять знания надо по сетям, а не групировкам интерфейсов. В первую очередь понимать, что они бывают логические и физические. Что роутер по русски - это маршрутизатор, и он маршрутизирует не только на уровне портов и IP, но и на уровне интерфейсов. Причём как на 2 уровне OSI, так и на 3-4, а потом ещё и виртуальные сети.

[Петр]

fpir, По умолчанию, такая настройка на роутерах устанавливается для клиентов Таттелеком. ((

[fpir]

Петр, тогда я понимаю зачем, наверное на 3м порту будет IPTV, а на 4м VoIP, ну, или наоборот. И странный выбор оборудования понятен, не везде доступно управление интерфейсами из вебморды. И нет, если вы получили это оборудование в таком виде, не значит, что это дефолтные настройки. Кст, очень сильно может быть, что у него организован админский доступ со стороны WAN. если вы сами пробрасываете порты, оно вам надо?

[Петр]

fpir, Я их пробрассываю для своих рабочих нужд. ))

Answer 2

[mayton2019]

Ты не указал внутренний IP куда будут ходить пакеты на 113 порт.

Comments

[Петр]

Это пример страницы на роутере. Чтобы было понятно отвечающим, что еще доступно на роутере. Я ведь написал "Если на вкладке "Виртуальный сервер" прокидывать порт любого wifi устройства, то из вне они доступны."

[mayton2019]

Я не вижу принципиальной разницы Wifi или Ethernet с точки зрения протокола NAT. Укажи явно связь MAC-IP и все будет работать.

[Петр]

mayton2019, Видать всетаки какая то разница есть и не работает

[mayton2019]

Давай искать ее

[Петр]

mayton2019, Может это о чем-то скажет

[Петр]

АртемЪ, )) Посмотрите список возможных IP адресов, а уже потом bold применяйте. )) 178.206.237.191 это белый адрес.

[АртемЪ]

Петр, Такие вещи надо выносить в заголовок, вместо картинок.
Увидел адрес внешнего интерфейса на 10 и написал.

[Петр]

АртемЪ, Проблема не в белом IP и IP на 10 дан для доп.информации тем, кто уже пытается помочь. В базовом вопросе он и не нужен был.

[АртемЪ]

Петр, Вы специально вводите желающих помочь в заблуждение давая неверные данные? Или как?
И что значит базовый вопрос? У вас что их несколько? И они подлежат классификации?