Ξεκινάει το 5G SA!

[GregoirX23]

Αυτό με το access forbidden το είχα θέμα και εγώ όταν προσπαθούσα να συνδεθώ στο 5G router το οποίο καθόταν μπροστά από το Mesh WiFi router. Με το που ενεργοποησεις το VPS οτιδήποτε κάθεται πίσω από το πρωτεύον NAT δεν είναι πλέον προσβάσιμο. Έχει μια λογική διότι εάν το σκεφτείς ανοίγεις ένα τούνελ το οποίο συνδέει p2p το client με το Server χωρίς τίποτα ενδιάμεσα.

Με CG-NAT δεν παίζει τίποτα γενικά. Χρειάζεσαι PF και ο ISP θα στο μπλοκάρει μόλις φτάσει το traffic στο πρώτο κόμβο που διαχειρίζεται. Για αυτό έχεις μια και μόνο (εύκολη και άμεση) λύση με το zerotier.

To zerotier όμως είναι πιο δύσκολο να το στησεις σε σχέση με το openvpn ε;
Το p2p που λες πάνω το firewall του pc η των ρούτερ που μεσολαβούν δεν βοηθάνε πουθενά;

[netblues]

Ναι όντως έχουμε ξεφύγει αρκετά. Για αυτό καλύτερα να έρθει άμεσα το SA να κλείσει το thread!! Σωστά (κάποια από) αυτά που παραθέτεις ΑΛΛΑ μπορείς κάλλιστα να στήσεις δικό σου ZT network controller (στον private Server σου και με ZTGUI παρακαλώ) και να γλιτώσεις όλα αυτά που λες συν το κοστολόγιο (εάν έχεις τόσο μεγάλο δίκτυο). Μην ξεχνάς οτι μιλάμε για εντελώς ΔΩΡΕΑΝ υλοποίηση. Δεν χρειάζεται ούτε DNS, static/public IP, ούτε hosting ούτε τίποτα. Επίσης αυτό που λες για τα clients απλά δεν ισχύει διότι κανένας κοινός χρήστης δεν θα κληθεί να διαχειριστεί δίκτυα τύπου enterprise για να σετάρει δεκάδες clients για τον σκοπό που δημιουργήθηκε το ΖΤ. Ο επαγγελματίας IT admin θα επιλέξει άλλες λύσεις (π.χ. wireguard server). Εδώ μιλάμε για απλή πρόσβαση σε κάμερα σε απομακρυσμένο LAN. Αλλά ακόμα και 20 σταθμούς να έχεις διασκορπισμένους σε διάφορα LAN και subnet, πόσο δύσκολο είναι να εγκαταστήσεις ένα msi και να του κάνεις c&p το network ID; Επίσης μην ξεχνάς ότι σε clients δικτύου (πάσης φύσεως που για οποιονδήποτε λόγο δεν μπορούν να τρέξουν το ZT), μπορείς κάλλιστα να εισάγεις ένα απλό Linux (ένα από τα πολλά server/desktop distros) σταθμό (π.χ. ένα απλό VM, Raspberry Pi, ένα παλίο PC) στο δίκτυό σου και να το σετάρεις να πασάρει όλη την κίνηση του LAN προς τα έξω με αξιοπρεπέστατη κρυπτογράφηση. Αυτό σημαίνει πως εάν το στήσεις σωστά (τίποτα το δύσκολο εάν δεις και tutorials) θα μπορείς να pingαρεις απομακρυσμένα ότι συσκευή του τοπικού δικτύου σου θέλεις και να την χρησιμοποιείς σαν να είσαι σπίτι σου.

Αυτό με το man in the middle δεν το σχολιάζω. Ακούγεται περισσότερο σαν δικαιολογία παρά σαν κάτι απτό. Υπάρχει το επίσημο site, υπάρχει και το documentation. Τα πάντα είναι open source και ο καθένας μπορεί να βγάλει άκρη εάν το ψάξει καλά και αντιληφθεί το μέγεθος της ευελιξίας που του δίνεται για απλά θέματα δικτύωσης που απασχολούν την πλειοψηφία των απλών χρηστών (πως θα δώ μια κάμερα στο εξοχικό, πως να κάνω απλό file sharing με το NAS εκτός σπιτιού κτλ εύκολα γρήγορα και κατά δύναμη φθηνά). Εάν μελετήσεις λίγο και το documentation και κάνεις καλή προετοιμασία πριν το deployment θα δεις οτι υπάρχει η δυνατότητα για PRIVATE εικονικό δίκτυο defacto. Δεν μπαινοβγαίνει κανείς χωρίς την άδεια σου!

Τα VPS είναι άλλη ιστορία (ασφάλεια, κτλ). ΑΛΛΑ εγώ ας πούμε συνδέομαι με VPS πολλές φορές στο σπίτι με το 5G router και από 60Mbps DL ανεβαίνω στα 200-250 (για το BW) με μια θυσία στο latency της τάξης των 20ms.

Στο κειμενο σου εχεις αναφορες σε αγνωστες λεξεις για αρχαριο που θα του παρει κανα 6 μηνο να βγαλει ακρη. Επισης αν εχεις 20 sites και εισαι ασχετος τοτε ειτε πρεπει να το ξανασκεφτεις συνολικα, ειτε να προσλαβεις εναν sysadmin.

[LTEakias]

Στο κειμενο σου εχεις αναφορες σε αγνωστες λεξεις για αρχαριο που θα του παρει κανα 6 μηνο να βγαλει ακρη. Επισης αν εχεις 20 sites και εισαι ασχετος τοτε ειτε πρεπει να το ξανασκεφτεις συνολικα, ειτε να προσλαβεις εναν sysadmin.

Ναι δυστυχώς όμως χωρίς αυτές τις στοιχειώδεις ορολογίες δεν μπορείς να κάνεις τίποτα. Τι να κανουμε τωρα; Τα δίκτυα δεν προορίζονται για άσχετους defacto. Είναι ολόκληρη επιστήμη που απαιτεί να κάτσεις να μάθεις. Εξάμηνο; 2 χρόνια; 2 μήνες; Αδιάφορο. Να μην ξέρεις τι είναι το NAT; Τι κάνει το PF; Ποιός ο ρόλος του DMZ;

Επίσης εδώ δώσαμε μερικές οδηγίες για ένα απλό σετάρισμα OpenVPN το οποίο υπάρχει ήδη ενσωματωμένο μέσα σε ορισμένα router σε επίπεδο δυσκολίας απλού κλικ. Δεν κληθηκαμε να στήσουμε το server, ουτε να κάνουμε κάποια απαιτητική παραμετροποίηση. Δεν προγραμματίζουμε nginx ούτε το παίζουμε networkChuck.

Οι υπόλοιπες ορολογίες αφορούν τα προβλήματα που θα συναντήσει κάποιος όταν επιχειρήσει κάτι πιο σύνθετο οπως το tunnelling και προσπαθούμε να τα εξηγήσουμε όσο πιο απλά γίνεται (π.χ από προσωπική εμπειρία και trials που κάναμε οι ίδιοι) και πιθανούς τρόπους επίλυσης.

Όταν όμως θέλεις κάτι το οποίο σαν αρχάριος το θεωρείς απλό (π.χ ένα remote session θέλω σιγά το δύσκολο) θα αντιληφθείς πολύ γρήγορα οτι δεν ισχύει και οτι θα πρέπει να μάθεις κάποια βασικά πράγματα για το πως λειτουργεί το networking. Αλλιώς όπως το λες. Καλείς έναν πιο έμπειρο για βοήθεια.

- - - Updated - - -

To zerotier όμως είναι πιο δύσκολο να το στησεις σε σχέση με το openvpn ε;
Το p2p που λες πάνω το firewall του pc η των ρούτερ που μεσολαβούν δεν βοηθάνε πουθενά;

Καθόλου δύσκολο. Μπες να δεις ένα απλό tutorial και θα πάθεις πλάκα. Το ZT χτίζει ένα virtual network με virtual adapters πάνω στο φυσικό σου δίκτυο. Και λειτουργεί με τέτοιο τρόπο που κάνει p2p tunnelling χωρίς να το νοιάζει ούτε εάν έχεις firewall, CG-NAT ή κλειστό εταιρικό δίκτυο. Αρκεί να έχεις μία τυπική πρόσβαση στο internet. Η μόνη ρεαλιστική περίπτωση να μην δουλέψει είναι εάν έχεις ένα πολύπλοκο δίκτυο multi NAT στο οποίο η δρομολόγηση του traffic είναι ιδιαίτερα σύνθετη πριν βγει προς τα έξω.

[usergr123]

Ναι δυστυχώς όμως χωρίς αυτές τις στοιχειώδεις ορολογίες δεν μπορείς να κάνεις τίποτα. Τι να κανουμε τωρα; Τα δίκτυα δεν προορίζονται για άσχετους defacto. Είναι ολόκληρη επιστήμη που απαιτεί να κάτσεις να μάθεις. Εξάμηνο; 2 χρόνια; 2 μήνες; Αδιάφορο. Να μην ξέρεις τι είναι το NAT; Τι κάνει το PF; Ποιός ο ρόλος του DMZ;

Επίσης εδώ δώσαμε μερικές οδηγίες για ένα απλό σετάρισμα OpenVPN το οποίο υπάρχει ήδη ενσωματωμένο μέσα σε ορισμένα router σε επίπεδο δυσκολίας απλού κλικ. Δεν κληθηκαμε να στήσουμε το server, ουτε να κάνουμε κάποια απαιτητική παραμετροποίηση. Δεν προγραμματίζουμε nginx ούτε το παίζουμε networkChuck.

Οι υπόλοιπες ορολογίες αφορούν τα προβλήματα που θα συναντήσει κάποιος όταν επιχειρήσει κάτι πιο σύνθετο οπως το tunnelling και προσπαθούμε να τα εξηγήσουμε όσο πιο απλά γίνεται (π.χ από προσωπική εμπειρία και trials που κάναμε οι ίδιοι) και πιθανούς τρόπους επίλυσης.

Όταν όμως θέλεις κάτι το οποίο σαν αρχάριος το θεωρείς απλό (π.χ ένα remote session θέλω σιγά το δύσκολο) θα αντιληφθείς πολύ γρήγορα οτι δεν ισχύει και οτι θα πρέπει να μάθεις κάποια βασικά πράγματα για το πως λειτουργεί το networking. Αλλιώς όπως το λες. Καλείς έναν πιο έμπειρο για βοήθεια.

- - - Updated - - -



Καθόλου δύσκολο. Μπες να δεις ένα απλό tutorial και θα πάθεις πλάκα. Το ZT χτίζει ένα virtual network με virtual adapters πάνω στο φυσικό σου δίκτυο. Και λειτουργεί με τέτοιο τρόπο που κάνει p2p tunnelling χωρίς να το νοιάζει ούτε εάν έχεις firewall, CG-NAT ή κλειστό εταιρικό δίκτυο. Αρκεί να έχεις μία τυπική πρόσβαση στο internet. Η μόνη ρεαλιστική περίπτωση να μην δουλέψει είναι εάν έχεις ένα πολύπλοκο δίκτυο multi NAT στο οποίο η δρομολόγηση του traffic είναι ιδιαίτερα σύνθετη πριν βγει προς τα έξω.

Το Zero Tier ειναι πανευκολο στο σεταρισμα, υποθεση μερικων λεπτων και πραγματικα λυνει τα χερια. Απο θεμα ασφαλειας και μονο το port forwarding και dmz θα επρεπε να αποφευγετε. Εγω εχω στησει site to site vpn μεταξυ δουλειας και σπιτιου (5g συνδεση σπιτι και vdsl στην δουλεια) με mikrotik router και εδωσα και client στο κινητο και λαπτοπ για οποτε ειμαι on the go. Μην σου πω οτι χαιρομαι να ειμαι πισω το cgnat του 5g, αλλο ενα layer προστασιας για το δικτυο μου.

[LTEakias]

Το Zero Tier ειναι πανευκολο στο σεταρισμα, υποθεση μερικων λεπτων και πραγματικα λυνει τα χερια. Απο θεμα ασφαλειας και μονο το port forwarding και dmz θα επρεπε να αποφευγετε. Εγω εχω στησει site to site vpn μεταξυ δουλειας και σπιτιου (5g συνδεση σπιτι και vdsl στην δουλεια) με mikrotik router και εδωσα και client στο κινητο και λαπτοπ για οποτε ειμαι on the go. Μην σου πω οτι χαιρομαι να ειμαι πισω το cgnat του 5g, αλλο ενα layer προστασιας για το δικτυο μου.

Ακριβώς.

[GregoirX23]

To zerotier αν δεν το υποστηρίζει το ρούτερ, που πως το στήνουμε; Σε υπολογιστή που θα πρέπει να είναι ανοιχτός η σε raspberry; Γιατί τέτοιες λύσεις δεν μου αρέσουν...
Είμαι πιο πολύ να το υποστηρίζει ο εξοπλισμός....

[LTEakias]

To zerotier αν δεν το υποστηρίζει το ρούτερ, που πως το στήνουμε; Σε υπολογιστή που θα πρέπει να είναι ανοιχτός η σε raspberry; Γιατί τέτοιες λύσεις δεν μου αρέσουν...
Είμαι πιο πολύ να το υποστηρίζει ο εξοπλισμός....

Αυτα εδώ τα router τα υποστηρίζει: https://docs.zerotier.com/routers/
Πέρα από pi, pc κτλ, έχεις την δυνατότητα να το στήσεις σε ένα Linux VM το οποίο θα μιλάει ελεύθερα με όλο το LAN (δεν το περιορίζεις με τίποτα VLAN κτλ), σετάρεις το ΖΤ, συνδέεσαι με το netID στο εικονικό σου δίκτυο και έπειτα σεταρεις το ZT να κάνει routing όλο το LAN δίκτυο ΚΑΙ μέσα από το virtual network σου προς τα έξω. Mπορείς επίσης να κάνεις και L2 bridging μεταξύ virtual και physical δίκτυα, αλλά είναι λίγο πιο σύνθετο στο στήσιμο από το routing: https://docs.zerotier.com/integratin...ical-networks/.

Με άλλα λόγια παράλληλα με το physical network σου μέσα απο το οποίο το LAN θα συνεχίσει να μιλάει κανονικά με το Internet σαν να μην τρέχει τίποτα, τώρα θα έχεις επιπλέον την δυνατότητα να συνδέεσαι p2p με άλλα clients εκτός LAN και τα οποία θα εδρεύουν και αυτά εντός του εικονικού σου δικτύου.

[GregoirX23]

Γρήγορη ερώτηση, το openvpn παίζει πίσω από cgnat; Νομίζω όχι;

[WhatTheIanni]

Γρήγορη ερώτηση, το openvpn παίζει πίσω από cgnat; Νομίζω όχι;

Αν και νομίζω ότι έχουμε βγει off topic, οποιοσδήποτε VPN Server θα πρέπει να είναι accessible από έξω. Οπότε αν θέλεις να στήσεις OpenVPN server πίσω από CGNAT, δυστυχώς δεν γίνεται.

[fadasma]

Γρήγορη ερώτηση, το openvpn παίζει πίσω από cgnat; Νομίζω όχι;

Το openvpn παίζει αν ο client έχει cgnat και ο server έχει public ip.
Αν και οι 2 έχουν cgnat, τότε δεν παίζει το openvpn και χρειάζεσαι το tailscale ή το zerotier.

[GregoirX23]

Για τον server ήταν η ερώτηση κυρίως...
Κοινώς όπως το φαντάστηκα...
Thanks..

[BlueChris]

Με ipv6 δεν είσαι σαν να έχεις public ή εγώ δεν το έχω καταλάβει καλά?

[John82]

Αυτό έχω καταλάβει και εγώ, το NAT δεν υπάρχει καν σαν έννοια, κάθε host έχει δίκη του public IP.

[xGreekGamerx]

Το ipv6 της cosmote είναι πίσω από firewall. Δε μπορείς δηλαδή να ανοίξεις ports.

[GregoirX23]

Κάποιο ρόλο παίζει σε όλο αυτό το ΜΑΡ-Ε που έχει επιλέξει η κοτε να υλοποιήσει και φαίνεται νομίζω σαν να έχεις public ipv4...
Στην ουσία αν το έχω καταλάβει καλά εσύ έχεις public ipv6 και το gateway του isp ipv4 και με κάποιο τρόπο γίνεται η μετάφραση από v6@v4 και ανάποδα v4@v6 και τα πακέτα φτάνουν σωστά στο προορισμό τους...
Δεν υπάρχει σε κάποιο σημείο private ip 100.. πχ όπως με το cgnat...
To σύστημα ακούγεται καλό... Το θέμα είναι να υιοθετηθεί από όλους τους κατασκευαστές....
Τα λέγαμε και σε κάποιο άλλο νήμα αυτά πρόσφατα...

- - - Updated - - -

Αυτό έχω καταλάβει και εγώ, το NAT δεν υπάρχει καν σαν έννοια, κάθε host έχει δίκη του public IP.

Public ip έχουν όλοι σε cgnat.... Αυτό από τη πλευρά του isp που βγαίνεις στο ίντερνετ...
Την ίδια public έχουν πολλοί χρήστες και εσύ έχεις private range 100.. H 10..
Δεν είναι το ίδιο με το να έχεις αληθινή public ip, την ίδια στο ρούτερ και στο whatismyip...