[ADSL] Geen Natloopback

[Faisalovic]

Goedendag,

Wij hebben hier een win2000server met winxpclients. Op die server draaien we oa. een ftp server/ mysql ea. services. De krijgt verbinding met het internet via een modem/router (speedtouch 510). De server heeft 2 netwerkkaarten... 1 voor het interne netwerk en 1 voor het internet.
De clients krijgen verbinding via de remote acces service van win2000server.

Beknopt schema: extern ip [80.xxx.xxx.xxx] -->nat modemrouter-->intern ip [modemrouter] 10.0.0.150 --> internet netwerkkaart server (krijgt ip van dhcp modemrouter) 10.0.0.138 --> nat remoteacces service --> (intern adres van server tevens domein server adres) 192.168.0.1 --> dhcp naar clients.

Nu hebben wij een medewerker met een laptop... die zowel intern als extern dmv. 1 snelkoppeling zijn erp systeem met de mysqlserver wil verbinden.
Het handigste leek mij om dan standaard het externe ipadres van de modem/router te gebruiken voor de mysql verbinding.. dat werkt nl vanaf buiten naar binnen wel dmv. portforwarding.
Helaas is dat feestje niet doorgegaan... het werkte dus niet. Overigens alle andere services kunnen niet connecten via het externe adres vanuit het internet netwerk. Het rare is... pingen lukte wel.

Nu las ik op tweakers.net dat dit te maken had met het niet ondersteunen van NAT loopback door de modem/router. En dat dit te omzeilen was door gebruik te maken van de proxy van ISP.
Bij mij blijven de vragen dan wel... waarom nat loopback? en hoe wordt een verbinding via de proxy van de ISP tot stand gebracht?

[Verwijderd]

NAT loopback is puur de vaardigheid van de router om te herkennen dat een request op het externe IP-adres van binnen komt en die zo te routen dat deze weer terugkomt bij de interne client. En ja, een router heeft dat of heeft het niet (of het staat disabled).

Wanneer je een proxy gebruikt zorgt de proxy voor de terugkoppeling van het request op het externe IP-adres naar jouw client.

[Faisalovic]

Thx JSS!

Ik heb dus 2 opties.

1. Of een router/modem kopen die NAT loopback ondersteund (dure optie).
2. Of de verbinding omzeilen via de ISP Proxy (goedkope optie).

Weet iemand hoe ik aan de hand van de bovenstaande (begin post) configuratie zo'n verbinding via de proxy tot stand kan brengen.

[Verwijderd]

Gewoon een proxy in je browser instellen. Het nadeel is dat je dan met die laptop overal en altijd over die proxy zit te internetten (tenzij je verschillende browsers gebruikt etc.).

De netste oplossing is het zorgen voor een situatie met NAT-loopback. Wat je als eerste zou kunnen proberen te doen is die Speedtouch in te stellen als modem, niet als modem/router; volgens mij werkt de SIP-spoof methode ook gewoon bij 510's. Dan krijgt je server dus direct het externe IP-adres van je provider op zijn 'internet-kaart' en is hij de enige die NAT toepast. Met een beetje geluk ondersteunt RRAS (ik ga ervan uit dat je RRAS gebruikt) wel NAT-loopback of is dat in elk geval te enablen.

Edit: http://www.petri.co.il/route_vpn_clients_through_nat.htm lijkt een voorbeeld daarvan.

[ Voor 7% gewijzigd door Verwijderd op 07-04-2005 12:40 ]

[leuk_he]

De proxy van de isp gebruiker werkt uiteraard alleen voor http (en ftp) verkeer. Anders niet. Dus dat is geen oplossing voor jou kijkt me.

Andere oplossing: zet modem in bridge status, zodat de server het externe ip adres krijg ipv het modem. (Firewall wel aan te raden .) /Edit ^^ dat schijft JSS hierboven dus
of

Zorg ervoor dat je dns instellingen zo regelt (je conenct toch met domain namem, niet met ip's?) dat intern de adressen geresolvd naar 10.* adresssen en exern naar 80.* adressen. simpelste manier om dit te doen is in de hostfile. werk uiteraard niet met een hostfile als de mederwerker binnen en buiten het netwerkt connect.

[ Voor 13% gewijzigd door leuk_he op 07-04-2005 12:49 ]

[Faisalovic]

Ik heb nog een laatste vraag...

Waarom werkt pingen naar het externe adres wél? Want dit gaat over poort 7 (echo) én terug.

[ Voor 22% gewijzigd door Faisalovic op 07-04-2005 16:04 ]

[leuk_he]

Faisalovic schreef op donderdag 07 april 2005 @ 15:57:
Ik heb nog een laatste vraag...

Waarom werkt pingen naar het externe adres wél? Want dit gaat over poort 7 (echo) én terug.

ingewikkeld antwoord: zelf effe googlen.
(loopback routing nat icmp) ==> [url=htttp://www.policyrouting.org/PolicyRoutingBook/ONLINE/CH06.web.html]verhaalte over routing[/url]

Simpel antwoord volgens mij: Een ping wordt niet geroute, maar een ping wordt direct ge echo'ed door het modem. De ping wordt niet doorgestuurd, maar beantwoord door het modem.

maar als je het echt wil weten open eens een topic hierover met een goede topic start hierover

[Faisalovic]

Na lang zoeken en proberen heb ik nog steeds geen modem/router die NAT-Loopback wel ondersteund. Ik test op t moment een e-tech adsl multi pc modem (zonder typenr of wat dan ook) uit, maar ik denk niet dat ik er daarmee ga uitkomen. De manuals en websites van de fabrikanten die ik heb gevonden geven geen info over deze functie. Zelfs wanneer ik ze bel weten ze niet waar je t over hebt .

Ik gebruik nu dus die speedtouch 510i voor mijn xs4all verbinding... kan iemand mij een modem/router tot 70 euro aanraden die adsl/isdn, xs4all EN Nat Loopback ondersteunt?

[ Voor 3% gewijzigd door Faisalovic op 10-05-2005 12:22 ]

[rdfeij]

Misschien een iets andere oplossing:

Router kopen.
ADSL Modem DMZ naar router ip. (stuurt alle requests van alle poorten door naar router)
router -> port forwarding instellen. Zo is gelijk je server van internet ontkoppeld. (hackers zullen eerst je router door moeten komen, das wat moeilijker dan windows af en toe).

Bij mijn linksys spul komt in ieder geval zo mysql verkeer er wel goed doorheen.

[ Voor 15% gewijzigd door rdfeij op 10-05-2005 12:41 . Reden: ff wa toevoeguh ]

[Arnout]

Misschien moet je gaan denken aan een aparte (lichte) pc met linux erop, die router gaat spelen. Linux ondersteunt standaard wel NAT Loopback. Daarnaast krijg je een hele "luxe" router tot je beschikking zodat je later ook VPN kunt gaan ondersteunen , of aan traffic shaping kan gaan doen.

[ Voor 8% gewijzigd door Arnout op 10-05-2005 12:44 ]

[Croga]

Je kunt het natuurlijk ook nog veel makkelijker oplossen.....

Gebruik simpelweg een domein naam voor je server. Registreer deze en laat hem op het internet verwijzen naar je externe IP.

Zet vervolgens op je interne netwerk een eigen DNS server op, die je intern via DHCP als primary op geeft. Zet op deze DNS server vervolgens een verwijzing van dezelfde domein naam naar het interne adres van de server.

Vervolgens stel je het ERP pakket zo in dat hij het domein naam van de server gebruikt, in plaats van het IP adres. Zo makkelijk als snoepjes afpakken van een klein kindje....

[Verwijderd]

Croga schreef op dinsdag 10 mei 2005 @ 12:52:
Zo makkelijk als snoepjes afpakken van een klein kindje....

En dit vind ik dus persoonlijk de beste work-around voor een router zonder NAT-loopback. Ik maak thuis en op mijn werk gebruik van deze methode, en het werkt perfect. Geen gekloot met host files en andere ranzige methodes.

Dit is "ongeveer" de zelfde methode als veel spyware werkt, het aanpassen van DNS gegevens (in de DNS server of HOSTS file). Waardoor je niet op de goeie website uitkomt maar op een andere server dan die jij eigenlijk wou hebben.

Via deze methode had ik op mijn oude werk (een school) veel websites geblockeerd. Gewoon DNS aanpasssing doen (naar 1.2.3.4 doorverwijzen). Zodat ze bijvoorbeeld niet op MSN / Porn websites konden komen.

[Verwijderd]

nog makkelijker voer je hostnaam in in je hosts file en voilla werkt prima en kost niets.

[r0b]

Verwijderd schreef op dinsdag 10 mei 2005 @ 15:18:
[...]

En dit vind ik dus persoonlijk de beste work-around voor een router zonder NAT-loopback. Ik maak thuis en op mijn werk gebruik van deze methode, en het werkt perfect. Geen gekloot met host files en andere ranzige methodes.

Dit is "ongeveer" de zelfde methode als veel spyware werkt, het aanpassen van DNS gegevens (in de DNS server of HOSTS file). Waardoor je niet op de goeie website uitkomt maar op een andere server dan die jij eigenlijk wou hebben.

Via deze methode had ik op mijn oude werk (een school) veel websites geblockeerd. Gewoon DNS aanpasssing doen (naar 1.2.3.4 doorverwijzen). Zodat ze bijvoorbeeld niet op MSN / Porn websites konden komen.

Krijg je dan geen last met je interne DNS cache?

Verwijderd schreef op dinsdag 10 mei 2005 @ 21:47:
nog makkelijker voer je hostnaam in in je hosts file en voilla werkt prima en kost niets.

Tot de medewerker extern gaat werken.

[ Voor 21% gewijzigd door r0b op 11-05-2005 04:20 ]

[PenguinPower]

Verwijderd schreef op dinsdag 10 mei 2005 @ 15:18:
[...]

En dit vind ik dus persoonlijk de beste work-around voor een router zonder NAT-loopback. Ik maak thuis en op mijn werk gebruik van deze methode, en het werkt perfect. Geen gekloot met host files en andere ranzige methodes.

Dit is "ongeveer" de zelfde methode als veel spyware werkt, het aanpassen van DNS gegevens (in de DNS server of HOSTS file). Waardoor je niet op de goeie website uitkomt maar op een andere server dan die jij eigenlijk wou hebben.

Via deze methode had ik op mijn oude werk (een school) veel websites geblockeerd. Gewoon DNS aanpasssing doen (naar 1.2.3.4 doorverwijzen). Zodat ze bijvoorbeeld niet op MSN / Porn websites konden komen.

1. Een spit-dns (zoals deze oplossing heet) is zeker geen workaround. Werken met ip nummers en natloopback is een niet standaard oplossing. Een split DNS omgeving creeren is wat elke goede netwerkbeheerder doet van een beetje organisatie.

2. Knappe spyware die jou interne DNS ffetjes aanpast. Zeker als je fatsoenlijk met beheerders accounts omgaat

3. Dat werkt misschien op een school met niet zo'n slimme leerlingen ... Das natuurlijk geen oplossing, iedereen kan een ip adres invullen en dan werkt het alsnog. Bovendien wil ik niet weten hoe jou dns records er dan uit zien, en hoeveel zonnes jij gecreerd hebt.

[Verwijderd]

PenguinPower schreef op woensdag 11 mei 2005 @ 05:01:
1. Een spit-dns (zoals deze oplossing heet) is zeker geen workaround. Werken met ip nummers en natloopback is een niet standaard oplossing. Een split DNS omgeving creeren is wat elke goede netwerkbeheerder doet van een beetje organisatie.

Klopt, mja ach, de ene keer hang je via DHCP met je laptop aan onze dns, de andere keer aan je eigen ISP dns, werkt opzich goed.

2. Knappe spyware die jou interne DNS ffetjes aanpast. Zeker als je fatsoenlijk met beheerders accounts omgaat

Ik zeg alleen dat spyware / hackers soms EXTERNE server's veranderen waardoor je niet op de goeie server uitkomt omdat het IPadres veranderd is. Ik zeg niets over je interne server

3. Dat werkt misschien op een school met niet zo'n slimme leerlingen ... Das natuurlijk geen oplossing, iedereen kan een ip adres invullen en dan werkt het alsnog. Bovendien wil ik niet weten hoe jou dns records er dan uit zien, en hoeveel zonnes jij gecreerd hebt.

1) De meeste websites draaien op een shared server, dan kan je leuk een IP invullen, maar kom je nog nergens.

2) DHCP op vaste PC's kunnen ze niet veranderen, dus ook de DNS server niet. Op laptopjes kan je ook niet veel veranderen (geen admin accounts bij de users). En DHCP gaat op MAC adres niveau (is wat werk als je veel netwerkkaarten hebt, maar achteraf werkt het wel handig).

3) Ik heb thuis geloof ik 5 zones, hier op mijn werk (zonder blockings) iets van 2 (de telewerk pagina en nog een pagina doorverwijzen naar intern). Op mijn oude werk had ik er idd wel wat meer

[Faisalovic]

DANK voor al jullie hulp. Ik heb nu een 2e hands (werkende) zyxel 650r-33 aangeschaft. Nat loopback aangedaan.. en t werkt. Nogmaals thx