[netwerk sharing] maar één kant op mogelijk...

[Atmoz]

Beste,

Ik heb een situatie zoals in onderstaand schema:



Omschrijving:

Ik kan vanaf de server niet naar het werkstation (rode pijl)
Pingen geeft geen resultaat, \\naam_van_werkstation niet, niks!

Het is visa versa echter wél mogelijk: ik kan vanaf het werkstation netjes pingen naar de server, en ook zijn netwerkshare's bereiken. (groene pijl).

Vraag: is er een mogelijkheid (misschien een bepaalde route ofzo instellen?) dat ik vanaf de server wel de netwerkshare op het werkstation kan bereiken? (andere pc's in het netwerk "zien" die share wel al gewoon!!)

[edit] ben ik op de juiste weg als ik dit bekijk?
http://technet.microsoft.com/nl-nl/library/dd469812.aspx


Alvast bedankt voor de hulp / groet, Atmoz

[ Voor 7% gewijzigd door Atmoz op 10-02-2014 16:47 ]

[Mad Marty]

Je server zit nu 'bloot' aan het internet, je workstation zit achter NAT. Zolang je niets in je router configureert is je workstation inderdaad niet bereikbaar voor je server, immers je server bevindt zich buiten je eigen netwerk.

Voor je server is dit imho absoluut geen goeie configuratie, omdat je ontzettend vatbaar bent voor ongewenste toegang tot je server. Zet je server ook achter je router, en configureer portforwarding in je router mocht je je server van buiten willen benaderen. Wanneer je server gewoon binnen je eigen netwerk (i.e. achter de router, in het 192.168.1.x netwerk) zit, hoef je niets speciaals te doen om je server te benaderen.

[Paul]

Voor een server is dit juist de standaard, alle servers die niet op een consumentenlijntje draaien hebben een publiek IP, en ze hebben echt lang niet allemaal een hardware firewall tussen hun en het grote boze internet.

Wel zijn ze (als het goed is ) zo geconfigureerd dat er geen services draaien die niet nodig zijn en dat er niks luistert op een publiek IP wat je niet aan wilt bieden aan de wereld.

In dit geval zit de NAT je in de weg, de server weet niet waar het je interne IP kan vinden. Wat je mogelijk kunt doen is de poorten die SMB gebruikt (TCP/445 of UDP/137, UDP/138, TCP/137 en TCP/139) op de router forwarden naar 192.168.1.50. Je zet het daarmee echter wel open voor de hele wereld! Dus ofwel op het werkstation in de firewall instellen dat alleen localsubnet en 150.255.54.40 erbij mogen, of in de router een firewallregel bij de port forward dat alleen de server dat mag. Vervolgens ga je met verkenner op de server niet naar \\192.168.1.50 maar naar \\150.255.54.51

[Atmoz]

Thanks voor de (snelle) antwoorden!
Ik ga dit eens met de collega's bespreken

[chickpoint]

Waarom eigenlijk SMB open en bloot over internet en geen alternatief zoals SFTP WebDAV of via VPN?

[chickpoint]

[ Voor 100% gewijzigd door chickpoint op 10-02-2014 19:09 . Reden: dubbelpost ]

[chickpoint]

[ Voor 100% gewijzigd door chickpoint op 10-02-2014 19:10 . Reden: driedubbelpost ]

[johnkeates]

SMB over internet: Uiterst slecht plan.

[Paul]

Wat noem je 'internet' Omdat iets een publiek IP heeft wil dat nog niet zeggen dat het over het internet gaat; het zit beiden in hetzelfde subnet

En waarom SMB? Dat is wat er nu ook gebruikt wordt, dan kun je er voor kiezen om er een hele infrastructuur en handelswijze naast te gaan bouwen of je besluit voor die ene lokale hop een regel in je firewall te zetten

[Fish]

Mja Ik zou de server ook achter de router zetten, met dien verstande dat de router naar bijde ip adressen luisterd en zorgt dat de juiste poorten/data voor het server ip bij server terechtkomen.


Een route aanmaken + poorten forwarden kan wel, mits het om 1 werkstation gaat. maar is eigelijke een kutoplossing (routes aanmaken is normaal, maar niet in deze situaie )

[ Voor 31% gewijzigd door Fish op 10-02-2014 19:28 ]

[Paul]

In dit geval staat de server in een soort DMZ. Als je deze in hetzelfde netwerk plaatst als je werkstations dan is een gecompromitteerde server een mooi staging point naar de rest van je netwerk.

Dan moet je dus al een router hebben die meerdere netwerken snapt. Ik heb alleen geen idee om wat voor router het hier gaat

[Fish]

Alle routers snappen wel meerdere netwerken ook ook de cheap ass ones (mits je een route toevoegt). Meerder ip's wordt een ander verhaal

[ Voor 11% gewijzigd door Fish op 10-02-2014 19:29 ]

[Paul]

Als je gaat muggenziften over het woord 'snappen' misschien wel ja... Ik ben echter van mening van niet, met een 3e netwerk kunnen de meeste consumentenrouters niets, hij kan maar verkeer sturen naar adressen in twee netwerken, vaak WAN en LAN gedoopt.

[Fish]

Paul schreef op maandag 10 februari 2014 @ 19:55:
Als je gaat muggenziften over het woord 'snappen' misschien wel ja... Ik ben echter van mening van niet, met een 3e netwerk kunnen de meeste consumentenrouters niets, hij kan maar verkeer sturen naar adressen in twee netwerken, vaak WAN en LAN gedoopt.

Je hoeft niet lelijk te gaan doen als je het niet met me eens bent hoor.

Als er een netwerk achter een ander netwerk zit welke niet via de default gateway gaat, maak je een route op de router aan zodat de router weet via welk ip hij dat netwerk kan bereiken. ze kunnen dus wel degelijk overweg met meerdere netwerken daarvoor is de hele route tabel.

Er is btw geen "3e" netwerk, er is gewoon spraken van 2 netwerken alleen het subnet aan de wan kant is groter dan een normale consumentenlijn


edit: idd dus niet verwarren met meedere interfaces naar buiten hebben, al dan niet met een wrt versie of een professioneler spul

[ Voor 7% gewijzigd door Fish op 10-02-2014 20:22 ]

[Paul]

fish schreef op maandag 10 februari 2014 @ 20:19:
ze kunnen dus wel degelijk overweg met meerdere netwerken daarvoor is de hele route tabel.

En dat is dus het muggenziften. Ja je kunt een router vertellen waar hij verkeer voor andere subnetten naartoe moet sturen, maar nog steeds zit de gemiddelde consumentenrouter maar in 2 netwerken...

Er is btw geen "3e" netwerk, er is gewoon spraken van 2 netwerken alleen het subnet aan de wan kant is groter dan een normale consumentenlijn

Daar lijkt een korte zin te zijn verdwenen (of niet getypt ) in mijn post...

Paul schreef op maandag 10 februari 2014 @ 19:27:
In dit geval staat de server in een soort DMZ. Als je deze in hetzelfde netwerk plaatst als je werkstations dan is een gecompromitteerde server een mooi staging point naar de rest van je netwerk.

Als je dat niet wilt dan moet je naar een echt DMZ en Dan moet je dus al een router hebben die meerdere netwerken snapt. Ik heb alleen geen idee om wat voor router het hier gaat