[ROUTER] Toegang van buitenaf zonder portmapping

[Wietse]

De situatie is als volgt: Ik zit binnen een business-center achter een router met nog een aantal andere bedrijven. Zelf heb ik geen toegang tot de instellingen van deze router (logisch), toch zou ik graag vanaf buiten toegang krijgen tot één van mijn pc's.

Voordat iedereen nu gaat roepen 'dat kan niet zonder portmapping' etc. luister even naar mijn verhaal. Ik begrijp dat wanneer de router zomaar een aanvraag binnen krijgt deze geen idee heeft voor welke pc binnen het netwerk de aanvraag bedoelt is.

Wanneer ik echter bijv. binnen een IRC chatroom zit, stuurt die server mij gegevens (berichten etc.) en die ontvang ik uiteraard wél. Dus wordt er (lijkt mij) een soort 'tunnel' (tcp/ip connectie) gemaakt tussen mij en die irc server.

Concreet: Is er geen manier om bijv. een SSH connectie te maken met één van mijn pc's op de MSN/IRC manier?

[Mr Magic]

Probeer eens www.logmein.com

[Fish]

wat let je om bijv een http tunnel op te zetten ?

[Wietse]

fish schreef op donderdag 27 oktober 2005 @ 21:23:
wat let je om bijv een http tunnel op te zetten ?

Daar ga ik eens naar kijken, er is dus wel degelijk een 'oplossing' voor dit probleem.

[axis]

Je kunt ook (heb ik zelf ook ) een doosje opzetten die een ipv6 tunnel opzet en dat routeert over je eigen netwerkje.. Heb je geen NAT meer nodig, en je leert er nog van ook

Of je zet een OpenVPN op naar thuis, het enige dat je nodig hebt is 1 TCP of UDP poortje naar BUITEN

[ Voor 24% gewijzigd door axis op 27-10-2005 21:57 ]

[Aetje]

Als je op een IRC server zit heb je een TCP connectie van jouw PC naar de server. Die connectie gaat het verkeer over. Een IRC server zou bijvoorbeeld geen connectie NAAR jouw PC kunnen maken achter een router. VPN is idd de manier hier.

[Orion84]

Inderdaad, zoals aetje l aangeeft is de evrbinding met een irc server gestart vanaf jou pc, en niet vanaf de server. Dat de berichtjes van de server naar jou toe gaan wil niks zeggen, over zo'n door jouzelf geinitieerde verbinding gaat gewoon tweerichtingsverkeer.

Als iemand jou telefoonnummer niet heeft kan hij je niet opbellen, als jij hem daarentegen belt dan kan hij vervolgens wel iets terugzeggen.

[nhanssen]

Misschien is iets als dit handig voor je

Hamachi:

[qoute]Hamachi is a UDP-based virtual private networking system. Its peers utilize the help of a 3rd node called mediation server to locate each other and to boot strap the connection between themselves. The connection itself is direct and once it's established no traffic flows through our servers.
Hamachi is not just truly peer-to-peer, it is verifiably secure peer-to-peer.
Believe it or not, but we are able to successfully mediate p2p connections in roughly 97% of all cases we dealt with so far (few tens of thousands as of early March). This includes peers sitting behind different firewalls and/or broadband routers (aka NAT devices). It is high-tech and it is really cool :)[/quote]

http://files.hamachi.cc/HamachiSetup-0.9.9.9-nl.exe Nederlandse versie

[ Voor 3% gewijzigd door nhanssen op 27-10-2005 22:21 ]

[Wietse]

axis schreef op donderdag 27 oktober 2005 @ 21:55:
Je kunt ook (heb ik zelf ook ) een doosje opzetten die een ipv6 tunnel opzet en dat routeert over je eigen netwerkje.. Heb je geen NAT meer nodig, en je leert er nog van ook

Die ipv6 tunnel klinkt interresant. Op dit moment heb ik de volgende situatie (excuses voor het slechte overzicht):



Stel ik installeer een (tunnel)applicatie op de externe server die al het verkeer voor bijv. port 4000 doorstuurd naar de interne server. Uiteraard heb ik eerst verbinding gemaakt met deze applicatie vanaf de interne server (zodat de tcp connectie 'open staat'). Nu zou ik dus vanaf mijn pc thuis, verbinding kunnen maken met de externe server op port 4000 die dan dat verkeer weer doorstuurd naar mijn interne server aangezien die al eerder met elkaar 'verbonden' waren. Is deze theorie juist?

[MetalfanBlackness]

Misschien een idee om hier naar te kijken:

http://ultravnc.sourceforge.net/addons/repeater.html

En dan naar UltraVNC Repeater Mode II

bij server settings doe je dan i.p.v. localhost naar een repeater die je bij jouw thuis draait,
hij zorgt dus voor een uitgaande connectie naar je repeater thuis,
waardoor je met vnc een connectie via de repeater met de pc die achter nat zit berijken

Dit allemaal d.m.v. UltraVNC een vnc soort.

Dit kan allemaal over poort 80 gedaan worden,
dus zolang er geen packetfiltering op poort 80 zou dit moeten werken

[ Voor 12% gewijzigd door MetalfanBlackness op 28-10-2005 15:49 . Reden: toevoeging over poorten ]

[Wietse]

axis schreef op donderdag 27 oktober 2005 @ 21:55:
Of je zet een OpenVPN op naar thuis, het enige dat je nodig hebt is 1 TCP of UDP poortje naar BUITEN

Heb even wat onderzoek gedaan, en zit nog met de volgende vraag:

Stel installeer een vpn Client op mijn [interne server], deze maakt verbinding met een vpn Server op de [externe server]. Hoe zorg ik dan dat ik al het verkeer wat binnen komt op (een bepaalde port van) mijn [externe server] doorgestuurd wordt over de eerder aangelegde vpn tunnel?

zie ook mijn overzicht

[axis]

ZeTt schreef op vrijdag 28 oktober 2005 @ 12:29:
[...]
Die ipv6 tunnel klinkt interresant. Op dit moment heb ik de volgende situatie (excuses voor het slechte overzicht):

[afbeelding]

Stel ik installeer een (tunnel)applicatie op de externe server die al het verkeer voor bijv. port 4000 doorstuurd naar de interne server. Uiteraard heb ik eerst verbinding gemaakt met deze applicatie vanaf de interne server (zodat de tcp connectie 'open staat'). Nu zou ik dus vanaf mijn pc thuis, verbinding kunnen maken met de externe server op port 4000 die dan dat verkeer weer doorstuurd naar mijn interne server aangezien die al eerder met elkaar 'verbonden' waren. Is deze theorie juist?

Zo zou je het kunnen doen bij een willekeurige tunnel, alleen heeft dit niet zoveel met ipv6 te maken..

Als je een ipv6 router opzet, dan maakt die een tunnel aan naar een broker zoals sixxs. Je kunt vervolgens een subnet (publieke adressen) routeren over die tunnel.. Je interne servers krijgen dan een PUBLIEK ipv6 adres, en je kunt vanaf overal bij je interne servers. Er is dan dus geen sprake meer van NAT, elke machine heeft een echt, direct benaderbaar ip-adres.

Je moet dan dus wel op je routertje alles inkomend blokkeren, en alleen SSH toestaan naar de servers die je wilt kunnen benaderen. (met bijvoorbeeld ip6tables)...

[axis]

ZeTt schreef op vrijdag 28 oktober 2005 @ 13:17:
[...]
Heb even wat onderzoek gedaan, en zit nog met de volgende vragen:

Stel installeer een vpn Client op mijn [interne server], deze maakt verbinding met een vpn Server op de [externe server]. Hoe zorg ik dan dat ik al het verkeer wat binnen komt op (een bepaalde port van) mijn [externe server] doorgestuurd wordt over de eerder aangelegde vpn tunnel?

zie ook mijn overzicht

Je kunt met openvpn routen of bridgen.. Staat ook in de howto op de site.. Als je zou bridgen:

Jij zet op beide locaties (op je werk en thuis) een OpenVPN machine neer, die leggen verbinding met elkaar, en bridgen het verkeer met elkaar..

De twee fysieke netwerkkaarten worden echt transparant aan elkaar geknoopt, al het verkeer dat de ene netwerkkaart in komt, gaat er aan de andere kant weer uit (over het internet).. Net alsof je je thuis-pc op je werk erin prikt..

[ Voor 7% gewijzigd door axis op 28-10-2005 13:26 ]

[Verwijderd]

Uuuuhm simpele oplossing PAT:

Mirc staat wel open op het werk, das mooi, stel nu dat telnet ook openstaat. dan kan je de volgende situatie bouwen:

Thuis-pc (bijv RDP op 3389) -----> Thuis router (Pat 3389 naar poort 23) -----> werk router <--------- Werk pc, RDP naar thuis.domein.nl op poort 23

RDP kan ook remote administrator zijn, of VNC ofzo

En de telnetpoort de Mirc poort

[ Voor 7% gewijzigd door Verwijderd op 28-10-2005 13:38 ]

[Wietse]

Waarschijnlijk is mijn openingspost wat onduidelijk, maar er staat géén (ook geen mirc) port open op de router op mijn werk. Hier een nieuwe situatie schets om het geheel te verduidelijken:

Oude situatie:


Nieuwe situatie:



Mijn vraag: Is dit mogelijk? en welke software moet ik waar installeren?

[MetalfanBlackness]

Mag je wel applicaties installeren op de pc?

[Verwijderd]

ZeTt schreef op vrijdag 28 oktober 2005 @ 14:13:
Mijn vraag: Is dit mogelijk? en welke software moet ik waar installeren?

Ja dit is mogelijk, met OpenVPN. Bijde kanten installeer je OpenVPN en klaar.
De publieke server gaat je hoofd VPN server worden, de interne server connect via een VPN client naar die VPN server, en routert alles door van server naar client. Zou moeten werken.

[Wietse]

MetalfanBlackness schreef op vrijdag 28 oktober 2005 @ 15:51:
Mag je wel applicaties installeren op de pc?

Heb root acces op beide servers

Verwijderd schreef op vrijdag 28 oktober 2005 @ 17:43:
[...]

Ja dit is mogelijk, met OpenVPN. Bijde kanten installeer je OpenVPN en klaar.
De publieke server gaat je hoofd VPN server worden, de interne server connect via een VPN client naar die VPN server, en routert alles door van server naar client. Zou moeten werken.

Is het ook mogelijk om één port door te sturen in plaats van al het netwerk verkeer?

[ Voor 18% gewijzigd door Wietse op 29-10-2005 11:10 ]