Port Forwarding na Huawei HG8245W5 - pomoc

[shiro]

DDNS je prave o tom, aby pristup fungoval, ked staticku IP nemas a sa ti zmeni.

[wingo]

Trochu iné riešim, ale myslím že súvisí - zdá sa že mi nefunguje UPNP. Rovnaký router k Orange optike cez rozvody Telekomu (router mám iba ten Huawei, žiadne zariadenie od Telekomu nemám), jediný router v sieti, žiadne iné aktívne sieťové prvky už na sieti nemám, všetko som už zrušil ako nepotrebné.

Xbox Series X hlási že nie je priamy prístup von a že je nefunkčný UPNP:
https://support.xbox.com/sk-SK/help/Har ... successful
Pritom Xbox je napojený priamo na Huawei, skúšal som cez WiFi aj kábel. V routri je políčko UPNP zaškrtnuté, skúšal som aj podľa toho návodu v linku vyššie UPNP vypnúť, reštartnúť router, zapnúť UPNP, reštartnúť router a reštartnúť konzolu, furt Xbox vypisuje nefunkčné UPNP. Ďalšia rada je zapnúť port forwarding napevno ale to sa mi veľmi nechce. Čo s tým? A ako viem čo najjednoduchšie overiť funkčnosť UPNP aj na inom zariadení v sieti napr. PC či mobile?

[crux2005]

DDNS je prave o tom, aby pristup fungoval, ked staticku IP nemas a sa ti zmeni.

Mne to vysvetlovať nemusíš.

Trochu iné riešim, ale myslím že súvisí - zdá sa že mi nefunguje UPNP. Rovnaký router k Orange optike cez rozvody Telekomu (router mám iba ten Huawei, žiadne zariadenie od Telekomu nemám), jediný router v sieti, žiadne iné aktívne sieťové prvky už na sieti nemám, všetko som už zrušil ako nepotrebné.

Xbox Series X hlási že nie je priamy prístup von a že je nefunkčný UPNP:
https://support.xbox.com/sk-SK/help/Har ... successful
Pritom Xbox je napojený priamo na Huawei, skúšal som cez WiFi aj kábel. V routri je políčko UPNP zaškrtnuté, skúšal som aj podľa toho návodu v linku vyššie UPNP vypnúť, reštartnúť router, zapnúť UPNP, reštartnúť router a reštartnúť konzolu, furt Xbox vypisuje nefunkčné UPNP. Ďalšia rada je zapnúť port forwarding napevno ale to sa mi veľmi nechce. Čo s tým? A ako viem čo najjednoduchšie overiť funkčnosť UPNP aj na inom zariadení v sieti napr. PC či mobile?

Jediné riešenie je manuálne forwardnúť porty.

Pokiaľ sa nemýlim, tak s UPnP by si mal mať "otvorený" typ NAT (full cone NAT) pod Nastaveniami -> Hranie hier -> Sieť Xbox. Niekedy musíš spraviť 2x test aby sa zaplo Teredo.

[wingo]

No však o to mi ide. Takže na tomto Huawei UPnP nefunguje, či je problém v Orange keď jediné riešenie je port forwarding? Čo je to Teredo? Keď som mal od Orange DSL tak to šlo bez problémov.

[crux2005]

No však o to mi ide. Takže na tomto Huawei UPnP nefunguje, či je problém v Orange keď jediné riešenie je port forwarding? Čo je to Teredo? Keď som mal od Orange DSL tak to šlo bez problémov.

Asi nebolo jasné, že som myslel test vo Windows 10/11 pod "Xbox sieť". IMHO je jedno či UPnP nefunguje kvôli CGN (preklad IPv6 na IPv4 na Orange sieti) alebo firmware (upravený pre Orange).

Ak by UPnP fungovalo, zobrazilo by sa ti to zariadenie v Router Menu -> UPnP Configuration. Ak tam nie je, UPnP nefunguje. Mne napr. tiež nefunguje.

Teredo je IPv4 - IPv6 Tunel, ktorý používali niektoré aplikácie/hry. Pre ten test NAT sa musí Teredo "zobudiť zo spánku", čo sa niekedy stalo až po druhom teste.

[crot]

Ahojte, skoro rok riešim podobné problémy ako chalani tu a nič mi nefunguje, neviem odblokovať port 21 pre ftp alebo 2232 pre sftp a už som z toho na prášky

Situacia:
V praci mam PC a doma mam NAS Synology kde mám aj tento orange router. Z PC - práce sa občas prihlasujem do synology cez FTP /filezilla/ pomocou ktorého mi to niekedy pár týždňov ide a potom pár týždňov nejde. Teraz mi to zase nejde . Neviem sa zo žiadnej lokality prihlásiť cez ftp do Synology..

Idem teda postupne.
Synology nastavenia tu (ak treba do pošlem ďalšie) + firewall vypnuty:

Snímka obrazovky 2024-05-18 o 15.18.23.png

Snímka obrazovky 2024-05-18 o 15.18.17.png

V routri som skúsil pošťukať veci takto + tiež firewall off.

Snímka obrazovky 2024-05-18 o 15.22.28.png

Snímka obrazovky 2024-05-18 o 15.22.37.png

A login filezilla takto. Skúsil som aj rôzne kombinácie, šifrované, nešfriované.. Nedávno mi to išlo na nešifrovanom, teraz nič..




Ak by bol niekto ochotný, rád mu zaplatím za čas aby sa na dialku prihlásil a spravil to tak aby to naozaj celé fičalo, či v synology alebo routri. Niekedy to išlo aj keď yougetsignal hlásil porty off, teraz vôbec.. nerozumiem sa týmto sieťarským verziam a nerozumiem prečo to nejde..

Ďakujem moc

[Jerry]

Napadlo ma, mas verejnu IP? Podla logu vidim, ze sa pripajas akoby na IPv6 ale orange ma myslim zatial pre userov len IPv4 ak sa nemylim ...? Smerovanie portov celkom ok, ale par veci by som som tam zmenil ...

[killswitch]

Na IPv6 by sa mala tá DDNS služba skúšať pripojiť, ak ma taký záznam. Problém teda môže byť s tým, čo reportuje NAS do synology.me
Skús pozrieť, aký máš status a testnúť pripojenie

Screenshot 2024-05-18 183526.png

.

[zoom]

Ani ja neviem uplne presne povedat, co to moze sposobovat, ale aspon zhrniem nejake veci, ktore mi napadaju pri pohlade na tie screenshoty.

Resolvovanie domeny

• Vidno, ze sa napajas na "crotproduction.synology.me", ktore v tejto chvili resolvuje na IPv4 178.143.40.139. Neviem, ako casto Synology aktualizuje tento zaznam, ale porovnaj si ho s tvojou existujucou IP (z domaceho PC navstiv napr. https://ipaddress.my/ alebo milion dalsich podobnych stranok).
• V ramci testovania - ked sa ti nepojde napojit na FTP - skus sa namiesto domeny "crotproduction.synology.me" vo FileZille pripojit priamo na IPv4 adresu (tj. teraz 178.143.40.139).
• Budem predpokladat, ze mas este normalnu vlastnu verejnu IPv4 adresu a nie ten DS-Lite zmetok.

Nesifrovane FTP

• Pokial bezne FTP na porte 21 nemas zapnute len kvoli troubleshootingu, tak by som ho nepouzival. Je to nesifrovane spojenie = tvoje meno a heslo ide cez siet v plain texte. Ked uz nic ine, tak by som to presunul prec z defaultneho portu 21.
• Bezne FTP pouziva Control port (standardne 21) a Data port (standardne 20). Obidva by si mal mat presmerovane na routri na IP adresu NASka. Staci len TCP, netreba UDP.

Sifrovane FTP

• Rozmysli si, ci budes pouzivat FTPS alebo SFTP. FTPS je povodny nesifrovany FTP protokol zabaleny do TLS/SSL komunikacie (ako HTTPS web stranky). SFTP je FTP prenos nejako dopatlany do SSH komunikacie. Vyhoda SFTP je jednoduchost nastavenia - pouziva jeden port a hotovo. Tam vyhody koncia. Nevyhoda je nasobne pomalsi prenos z principu fungovania (vsetko ide cez jeden kanal, menej miesta pre data v paketoch, tusim ze neustale handshakovanie spojenia s kazdym paketom). Ako velmi pomaly bude ten prenos a ci ta to bude obmedzovat asi zavisi od dat, ktore tahas z FTP. Ak su to nejake medialne subory, asi by som preferoval FTPS. Samozrejme SFTP je teraz dobre na troubleshooting problemu.
• Ak sa v buducnosti rozhodnes pre FTPS, tak ho tiez nastav na nejaky nestandardny port (napr. ten 2232).
• Manualne nastav tie pasivne porty. Pokial to FTP vyuzivas sam, alebo par ludi, tak naozaj staci rozsah do 10 portov. Zvol si nejaky vlastny rozsah (napr. ak mas to FTP na porte 2232, tak mozes pouzit 22320-22329 alebo take nieco). Tento rozsah TCP portov tiez musis presmerovat v routri na NASko.
• Zapni si "Hlasenie externej IP adresy v rezime PASV". Pri takomto pasivnom spojeni zvonku sa napajas na externu adresu celej siete, tj. nepomoze, ze FTP server by zahlasil, ze "pouzite IP 192.168.100.8 a pasivny port 22320", lebo zvonku sa na to nenapojis.

Dovolil som si oscanovat tu IP 178.143.40.139 na porte 21 a 2232. Ani jeden neodpoveda. Toto by samozrejme v idealnom pripade bolo sposobene tym, ze tuto komunikaciu mas na routri povolenu len z verejnej IP adresy tvojej prace. Ale kebyze nahodou nie, moze to poukazovat na to, ze sa nenapajam na teba, ale na niekoho ineho = neaktualizovany domenovy zaznam spomenuty v prvom bode.

[slamka]

Podla mna to mas cele zle...
Pokial ides na IPv6, tak sa v Orange modeme nastavuje IBA "PCP config", nie "Port Mapping" ako to nastavujes na obrazkoch vyssie.
A zaroven, v IPv6 vies cez Orange otvorit IBA porty v rozmedzi 1025-2047.
Babres sa v zlom nastaveni a snazis sa otvorit zle porty.

Cize interne musis FTP presmerovat na port z uvedeneho rozsahu a ten si otvorit v PCP configu...
Vid moj prispevok tu: viewtopic.php?p=1577815#p1577815

Ale mozno sa mylim a uz Orange znovu nieco zmenil?

[crot]

Ahojte, diky moc všetkým za super odpovede .

Idem postupne:

@Jerry
Neviem či mam verejnú IP, na 90% si myslím že nie, ale čo som zbežne pozrel tak asi nemám, ani nič extra navyše neplatím za to, že by som ju mal mať.

@killswitch
Toto mám podla synology OK, vždy tam svietilo "zelené".

@zoom

Jasné chápem. Táto sieťarina je extrémna galaxia pre mňa.

Domena
- Ano IP adresa sedí s IP ktorá je v nastaveniach synology. Zaujimave inak že tato IP odkazuje na nejakú adresu v Trnave. Reálne som ale v BA.
- Pripojenie cez IP ako píšeš nefunguje - Filezille mi vypíše - "ECONNREFUSED - Connection refused by server“.
- Neviem posúdiť či mám dynamickú alebo verejnú (myslím že dynamickú).. ale myslím že keď som dal RR modemu tak sa adresa zmenila (môžem to ešte raz testnúť - ak nám to povie či mám verejnú alebo dynamickú)

Nesifrovane FTP
- V zásade, keď mi išlo SFTP aj FTP, tak nešifrované FTP bolo najrýchlejšie. Pracujeme s videami, presúvame bežne stovky GB dát, narázovo tam lietajú aj pár TB hore dole, takže rýchlosť prenosu je pre mňa priorita.
- To FTP a porty 20/21..hej viem že klasicke FTP je uplne holé, ale mal som na ňom najvyššie rýchlosti (60Mb upload max na server, pri najvyššom Orange internete 1000/500 - ale toto je téma sama o sebe - ale to asi až potom keď sa nám tam podarí pripojiť)
Posielam screen s tým 20/21 portami - takto je to ok?
- Druhá otázka, mám to odomykanie portov v nastaveniach routru nastavovať v "Forwarding Rules" alebo v IPv6 sekcí ?


Sifrovane ftp
- Super, ďakujem za vysvetlenie. SFTP nie kvôli rýchlosti. FTP využívame reálne len dvaja, každý z iného miesta sa pripájame. Ak som teda správne pochopil tak FTPS je ako tak šifrované a rýchlosti by mali byť ok.
- Ak teda FTPS - je len o " povolení " v synology nataveniach + zmene portu z 21 na napr 2232 aby to fičalo? Poďme teda nastaviť ten FTPS:
- Môže to byť takto? Toto je nastavenie v Nasku, kde by som teda porty pre FTP dal napr 1993 (:D, Slamka po tebe písal porty medzi 1025-2047 tak som dal 1993..) a SFTP ak by som sa pripájal tak som dal tak ako píšeš..



@Slamka

Diky! ano videl som ten príspevok keď som to tu skenoval ale nejak som s tým nepochodil.. môže to byť takto? a teda tie forwardy v IPv6 sekcí aj Forward Rules zmazať? (pozri posledne dva screeny, tie prvé pod týmto textom dalo omylom a neviem ich odstrániť)


Ďakujem

[molnart]

pokial viem tak v IPv6 je z definicie kazda ip adresa verejna (aj ip adresy zariadeni ktore mas vo vnutri sieti, teda ako NAS, telefony atd.). nemam s tym prakticke skusenosti a neviem ako to routre riesia ci tam nejako tie vnutorne zariadenia defaultne blokuju alebo co.

druha vec, ze pokial spravne viem, tak na IPv6 siet sa mozes pripojit len z dalsej IPv6 siete, z IPv4 nie. nebude toto tvoj problem? v praci asi ste na IPv4

[crot]

Rozmýšlam - že môže to byť problém - ale ako to, že niekedy to ide a niekedy nie?

Ja to inak testujem aj doma (kde mam aj synology ano). Na siete/wifine - kde mam ntb sa tam samozrejme v poho pripojim, ale akonahle si prezdielam internet z mobilu do ntb a chcem sa pripojiť (teda niesom na sieti kde je NAS), tak to nejde..
resp celkovo to ftp chápem tak, že ak zadám tie login údaje, porty, meno heslo atď, tak sa pripojim od hocikadial na ten server..

[zoom]

Fu... no pozeram, ako ti to tam funguje. Vobec si nie som isty, ci mas plnohodnotnu verejnu IPv4 adresu alebo uz ten DS-Lite zmetok (IPv6 + NATovanu radoby-verejnu IPv4). Kedze mas pridelenu IPv6 a cez PCP si vies vyziadat otvorenie portu, tak by som povedal, ze uz mas ten DS-Lite. Ak je to tak, tak by som asi upravil moje rady. Dolezite je, ze ti asi naozaj nepomoze presmerovavat porty v Forward Rules > Port Mapping Configuration, pretoze samotny tvoj Huawei router nema plnohodnotnu verejnu IP adresu. Ako bolo spomenute, mal by to ist cez to PCP. Ocividne si si uz vyziadal presmerovanie portu 1993, takze v ramci testovania by som spravil nasledovne:

• Vypol na NASku nesifrovane FTP (samozrejme len ak to nevypne cele FTP so vsetkym).
• Vypol FTPS (nebudeme sa babrat s viac portami teraz).
• Zapol SFTP, nakolko potrebuje iba 1 port na fungovanie a ten nastavil na 1993.
• Existujuce presmerovania v "Port Mapping Configuration" by som asi vymazal, nech to nerobi pripadnu neplechu.
• Skus v PCP nastaveni zmenit "Internal IPv4 Address", lebo tam mas tvoju "verejnu" adresu a nemyslim si, ze to tak ma fungovat...? Asi tam potrebujes dat lokalnu adresu NASka, kde bezi FTP, cize v tvojom pripade asi 192.168.100.8, ak spravne pozeram. Je mozne, ze budes musiet tento zaznam zmazat a vyziadat cez PCP znovu ten isty port, alebo iny, to je fuk. Hlavne ten vysledny port (1993 ci jeho nahrada) potom nastav v nastaveniach FTP.
• V tom PCP nastaveni si vsimni "External IPv4 Address". Na tuto sa asi budes musiet napajat z vonkajsej siete. A ja si nie som isty, ci to je rovnaka IP ako ta, co ti zahlasi NASko v tom DDNS nastaveni (a na co teda zaroven resolvuje tvoja domena). Cize pri testovani skus pouzit (aj) tuto IP adresu.

Tu mas kratky dokument od Orangu k modelovo podobnemu routru ohladom IPv6 a NATovania. Je to tam jemne popisane aj s obrazkami, mozno nieco obkukas.

Toto je zaciatok v ramci troubleshootingu. Dalej by som pouvazoval nad tym, ze na NASku v nastaveni DDNS by som mozno vypol to reportovanie IPv6. Takto ma ta tvoja domena "crotproduction.synology.me" dva zaznamy, jeden IPv4 a jeden IPv6. Ako vidis v tom logu FileZilly, tak sa to napaja na IPv6. Pokial by vypnutie toho IPv6 nastavenia sposobilo, ze zmizne ten AAAA (IPv6) DNS zaznam, tak sa ta domena bude resolvovat len na tu IP adresu, kvoli ktorej toto vsetko nastavujeme.

And last but not least, kedze naozaj prenasas tony dat, tak v buducnosti (ked toto rozbehas) by som presiel na FTPS. V podstate tam bude to iste nastavenie, ako som pisal predtym, len si cez PCP vyziadas este nejake dalsie 2 porty za sebou a tieto pouzijes pre ten Passive rozsah (napr. 1994-1995). Ale zatial by som sa hral s SFTP, aby sme neriesili 2 problemy naraz.

Bonus: Vyskusaj v praci https://ipv6-test.com/ - ak ti vypise, ze IPv6 nie je podporovane, tak sa z prace nenapojis na domace NAS cez IPv6 adresu. A mozes vlastne aj doma skusit.

[shiro]

Vsetko som to necital, tak mozno zopakujem co tu uz bolo napisane.

IPv4 Porty mas naforwardovane dobre. Skus tam este zmenit TCP na TCP/UDP.

Ak si pripojenie vybavoval v priebehu poslednych 5r, tak uz nemusis mat ciste IPv4 ale IPv6 s prekladom na IPv4 u Orange. Toto sposobuje problemy pri port forwardingu. Cely ten system mi pride taky podivny.
IPv6 sa forwarduje v sekcii PCP configuration v routeri.

Ze nemas staticku verejnu IP sa bat nemusis, orange ich nemeni casto. Posledne som mal stejnu IPcku hadam 3r. Ked ich raz za cas zmenia, aktualizujes si ju v nastaveniach filezilly.

Mam na Synology rozbehnute FTP, klasicky cez port 21, ktory mam naforwardovany v routri. Mam este ciste IPv4 pripojenie od Orange, zriadene este predtym ako zacali davat IPv6. Pripajam sa cez total commander priamo na vonkajsiu IP. Vsetko funguje.

Takze by ti to malo fungovat najjednoduchsim sposobom:
Zistis si svoju vonkajsiu IP, napr. cez https://www.whatsmyip.org/
Vo filezille si nastav aby sa pripajala priamo na tuto IP, ziadne *.synology.me alebo ine domeny. Vyhnes sa moznym problemom s DNS.
Skusaj sa pripajat cez IPv4, ak by to neslo, skus IPv6
Zadas login+password a vsetko by malo bezat.

Pokial nie a zistis, ze mas IPv6, problem by som videl v tom preklade IPv6 na IPv4, co sa deje u Orange. Ak mas IPv6 porty naforwardovane spravne, tak nic ine ty uz zo svojej strany urobit nevies a riesil by som to cez helplinku Orangu.

Klasicke FTP bez zabezpecenia nieje az taky problem. Par tipov na zabezpecenie NAS:
V Synology vyrob uzivatela specialne pre FTP, nastav mu silne heslo (8-10 znakov, velke/male pismena, bodky, pomlcky). Daj ho ako clena Users skupiny, nie administrators, ani nic ine. Vytvor v Synology adresar urceny iba pre FTP a povol tomu uzivatelovi pristup na citanie/zapis iba do neho. Tiez mu povol pristup iba k FTP sluzbe. Vsetko ostatne daj "no acces". Vsetko toto nastavis v jednom okne, ked si rozkliknes uzivatela. Takto maximalne obmedzis pripadneho utocnika, ak by sa dostal do NAS cez nejaku dieru vo FTP.

Vies sa este viac zabezpecit, tu ale pozor aby si s tymto nastavenim nespravil chybu, lebo sa mozes vymknut z NAS:
V ovladacom paneli v Synology, v sekcii Security v zalozke Protection daj do allow/block listu vonkajsiu IPcku, z ktorej sa pripajas z prace.
Zistis ju v praci cez https://www.whatsmyip.org/
Tiez si pozistuj IPcky zariadeni v domacej sieti a u vsetkeho, z coho budes potrebovat pristup do NAS. Je vhodne aby tieto zariadenia mali IPcky nastavene napevno. V pripade DHCP sa ti mozu raz za cas zmenit a zrazu ta do NAS napusti. Tieto IPcky daj v allow/block liste do allow sekcie. Potom zapni Auto block a nastav tam do oboch policok jednotky. Toto sposobi, ze ak sa ti bude chciet niekto prihlasit do NAS a raz zada chybne heslo, automaticky ide do block listu a uz sa mu nikdy nepodari z danej IPcky do NAS ani pripojit, nieto este prihlasit. Ak by si dal zle heslo, ty, tak sa nezablokujes, lebo svoje IPcky mas v allow liste. Ak chces, mozes zapnut Block expiration, kde vies nastavit ze minimalne po 1 dni budu IPcky z block listu znova odblokovane. Alebo nastav v Auto Block miesto jednotiek napr. 10 a 10, ak si si nie isty.

Tretia moznost je dobre si nastavit firewall v NAS. Ale to je obsiahla tema.

Mam to takto nastavene uz dlho, pripadni internetovi utocnici sa casom sami povymkynali a uz len raz za cas sa nejaka neznama IP z internetu o nieco pokusi.