Το ένα subnet βλέπει το άλλο αλλά όχι το αντίστροφο

[logvphys]

Εκτος των αλλων συνεχιζω και δε καταλαβαινω την υπαρξη του vpn.

[Questioner]

Αν και το θέμα εδώ δεν είναι το VPN μιας και όπως είπα έχω δοκιμάσει να δω το άλλο subnet κατευθείαν από το lan και δεν το βλέπει, ας κάτσω να εξηγήσω για ποιον λόγο υπάρχει ΚΑΙ το vpn στο setup. 

Το VPN υπάρχει γιατί υπάρχει μια βάση δεδομένων στην οποία κάποιες φορές χρειάζεται να έχω access σε αυτή απομακρυσμενα. Επίσης με βοηθάει πολλές φορές στο troubleshooting μικροπροβληματων με το lan. 

Αυτό που λέω όμως είναι ότι το πρόβλημα δεν ξεκινάει από το VPN αλλά από το LAN. 

Οποιαδήποτε ιδέα καλοδεχούμενη. 

Επεξ/σία 25 Ιουνίου 2020 από Questioner

[logvphys]

Με αυτο το τροπο ομως περιπλεκεις το θεμα του να βλεπονται τα 2 LAN. Δες τον οδηγο πρωτα που σου ποσταρε ο φιλος πριν. Καλυτερα να βρεις ενα τροπο να βλεπεις τη βαση σου με non zero configuration τροπους και οχι με vpn. 

[zx1234r]

Άσχετα με το VPN, το πρόβλημα υφίσταται στο τοπικό δίκτυο. Ξαναλέω, για να δει ένα subnet, κάποιο άλλο, πρέπει να υπάρχει routing. Αν δεν υπάρχει routing παίρνεις πίσω μηνύματα πως ο προορισμός δεν είναι προσβάσιμος. Προφανώς το routing δεν υπάρχει στο Xiaomi. Εκεί πρέπει να κοιτάξει κάποιος, ασχετα με το VPN.

[m4is]

Καλησπέρα, πρέπει να βάλεις ένα στατικό route στο speedport για το δίκτυο 192.168.31.0/24.

Στο Speedport -> Local Network > Route > IPv4 > Static Routing:

Name: lan2
Connection: LAN
Network Address: 192.168.31.0
Subnet Mask: 255.255.255.0
Gateway: 192.168.1.52
 

[Questioner]

11 ώρες πριν, zx1234r είπε

Άσχετα με το VPN, το πρόβλημα υφίσταται στο τοπικό δίκτυο. Ξαναλέω, για να δει ένα subnet, κάποιο άλλο, πρέπει να υπάρχει routing. Αν δεν υπάρχει routing παίρνεις πίσω μηνύματα πως ο προορισμός δεν είναι προσβάσιμος. Προφανώς το routing δεν υπάρχει στο Xiaomi. Εκεί πρέπει να κοιτάξει κάποιος, ασχετα με το VPN.

Ακριβώς. Το θέμα δεν έχει να κάνει με το VPN. Δεν θα έπρεπε να το αναφέρω καν γιατί έμπλεξα παραπάνω το θέμα.

10 ώρες πριν, m4is είπε

Καλησπέρα, πρέπει να βάλεις ένα στατικό route στο speedport για το δίκτυο 192.168.31.0/24.

Στο Speedport -> Local Network > Route > IPv4 > Static Routing:

Name: lan2
Connection: LAN
Network Address: 192.168.31.0
Subnet Mask: 255.255.255.0
Gateway: 192.168.1.52
 

Αυτό έκανα σε πρόταση του φίλου παραπάνω αλλά πάλι δεν το βλέπει (ποσταρα και το ping). Μάλλον το xiaomi μου κάνει την ζωή δύσκολη και δεν είναι τόσο παραμετροποιήσιμο.

[zx1234r]

53 λεπτά πριν, Questioner είπε

Ακριβώς. Το θέμα δεν έχει να κάνει με το VPN. Δεν θα έπρεπε να το αναφέρω καν γιατί έμπλεξα παραπάνω το θέμα.

Αυτό έκανα σε πρόταση του φίλου παραπάνω αλλά πάλι δεν το βλέπει (ποσταρα και το ping). Μάλλον το xiaomi μου κάνει την ζωή δύσκολη και δεν είναι τόσο παραμετροποιήσιμο.

Α ναι παρέλειψα ότι το έκανες και σε μπλόκαρε το Xiaomi. Ξεχαστηκα. Εφόσον παίρνεις μήνυμα ότι σε κάτι σε κόβει, σημαινει ότι το routing τουλάχιστον είναι σωστό γιατί τα πακέτα σου γνωρίζουν τη διαδρομή και φτάνουν εκεί που πρέπει. Ψάξε λίγο τις ρυθμίσεις του Xiaomi. Τι άλλες επιλογές ασφαλείας έχει?

Προσπάθησε να φτάσεις από το ένα subnet στο άλλο με κάποιο άλλο πρωτόκολλο που είναι ανοιχτό σε κάποια συσκευη. Αν δουλεύεις κάτι με web interface ή κάποιον ftp server. Μην δοκιμάζεις το Xiaomi σαν τελικό προορισμό.

[jkoukos]

Ας τα πάρουμε με την σειρά, αναφέροντας χοντρικά πως έχουν τα πράγματα.

1. Το Xiaomi, όπως κάθε Router, δημιουργεί αυτόματα την δρομολόγηση της κίνησης από το εσωτερικό προς το όποιο εξωτερικό δίκτυο. Και φυσικά γνωρίζει ποια συσκευή από το δικό του LAN ξεκίνησε την επικοινωνία, άρα δρομολογεί σωστά και την απάντηση που θα έρθει από το WAN προς αυτήν. Για τον λόγο αυτό ο φίλος αναφέρει ότι δεν έχει πρόβλημα όταν η επικοινωνία ξεκινά από το LAN του Xiaomi.

2. Το ίδιο κάνει και το Speedport για την εξερχόμενη δική του κίνηση από το LAN προς το διαδίκτυο (που είναι το δικό του WAN). Επίσης όταν του έρθει η κίνηση από την WAN του Xiaomi, την αναγνωρίζει αφού προέρχεται από το δικό του LAN, άρα ξέρει ήδη σε ποια ΙΡ θα επιστρέψει την όποια απάντηση.

3. Ωστόσο το πρόβλημα είναι όταν η κίνηση ξεκινά από το LAN του Speedport με κατεύθυνση αυτή την φορά, όχι προς το διαδίκτυο αλλά προς το LAN του Xiaomi. Εδώ δεν υπάρχει κανόνας δρομολόγησης και το Speedport (αλλά και οποιοσδήποτε Router) δεν γνωρίζει ούτε αν υπάρχει ούτε ποιο LAN υπάρχει. Όταν μία συσκευή του ζητήσει να συνδεθεί με έναν server στον LAN του Xiaomi, που έχει ΙΡ π.χ. 192.168.21.100, θα κοιτάξει τον πίνακα δρομολόγησης για την κατάλληλη εγγραφή και από την στιγμή που δεν βρει τίποτα, δεν γνωρίζει προς τα που θα στείλει τα δεδομένα.

4. Ερχόμαστε λοιπόν και του λέμε (με κανόνα static route) ότι τα πακέτα που προορίζονται για το LAN 192.168.31.0/24 θα τα προωθείς προς το Gateway αυτού του δικτύου που έχει LAN IP (στο δίκτυο του Speedport) 192.168.1.52 και ουσιαστικά είναι η WAN του Xiaomi. Ο κανόνας αυτός μπαίνει στον πίνακα δρομολόγησης του Speedport κι έτσι αυτό όταν χρειαστεί να γίνει τέτοια επικοινωνία, ρίχνει μια ματιά στο σχετικό πίνακα, βρίσκει την σχετική εγγραφή και δρομολογεί κατάλληλα τα πακέτα.

5. Το Xiaomi με την σειρά του κοιτά το header στα πακέτα, τα μαρκάρει (λόγω ΝΑΤ) και τα δρομολογεί κατάλληλα προς την συγκεκριμένη LAN IP που έχει ο server. Η απάντηση του server ακολουθεί την αντίστοιχη διαδρομή και το Speedport γνωρίζοντας ποιος του έστειλε τα αρχικά πακέτα, του τα επιστρέφει κανονικά.

Αυτά σε γενικές γραμμές, είναι ο τρόπος που επικοινωνούν μεταξύ τους 2 ανεξάρτητα δίκτυα, όσον αφορά την δρομολόγηση των πακέτων. Επιπλέον έρχεται το firewall του κάθε router, όπου επεμβαίνει σε θέματα ασφάλειας.

Καταρχήν δεν επιτρέπεται εισερχόμενη επικοινωνία στο LAN, όταν αυτή ξεκινά από το WAN και όχι όταν πρόκειται για επικοινωνία που ξεκίνησε  από μια συσκευή του δικού του δικτύου, όπως αναφέραμε παραπάνω.. Όσον αφορά το Speedport, WAN είναι το διαδίκτυο και αντίστοιχα για το Xiaomi, είναι το LAN του Speedport.

Για να επιτραπεί στην περίπτωση αυτή η εισερχόμενη κίνηση, πρέπει δημιουργηθεί κατάλληλος κανόνας στο firewall. Όταν αναφερόμαστε σε υπηρεσίες που τρέχουν σε έναν εσωτερικό server (π.χ. NAS), τότε δημιουργούμε έναν κανόνα Port Forwarding μέσω του οποίου επιτρέπουμε την δρομολόγηση προς την συγκεκριμένη LAN IP, με χρήση συγκεκριμένης πόρτας, στην οποία ακούει ο server.

Ο φίλος αναφέρει ότι παρόλο που έχει κανόνα static route, εν τούτοις δεν υπάρχει απάντηση σε δοκιμή ping που έκανε. Συνήθως τα απλά router του εμπορίου επιτρέπουν τα icmp πακέτα και θα μου φαινόταν παράξενο να μην το επιτρέπει το Xiaomi, οπότε όπως αναφέρει και ο zx1234r, ας γίνει έλεγχος στο firewall του Xiaomi.

Στην προκειμένη περίπτωση, υπάρχει όμως και κάτι άλλο που πρέπει να ληφθεί υπόψη. Και αυτό είναι τα 2 ΑΡ που παρεμβάλλονται μεταξύ των 2 δικτύων. Πως έχουν ρυθμισθεί και σε ποια κατάσταση λειτουργίας δουλεύει το καθένα., διότι ενδεχομένως σε ένα από αυτά μπορεί να είναι το πρόβλημα.

Τέλος, το VPN πρέπει προς το παρόν να βγει εκτός λειτουργίας για να μην υπάρχει πιθανότητα να είναι μέρος του προβλήματος. Αφού βρεθεί η λύση και υπάρχει κατευθείαν επικοινωνία μεταξύ των δικτύων, τότε και μόνο τότε μπαίνει πάλι σε λειτουργία. Σε καμία άλλη περίπτωση.

Σεντόνι βγήκε τελικά.

[zx1234r]

1 ώρα πριν, jkoukos είπε

Σεντόνι βγήκε τελικά.

Μεγάλη υπόθεση τα δίκτυα.

Επεξ/σία 26 Ιουνίου 2020 από zx1234r

[Questioner]

1 ώρα πριν, jkoukos είπε

Ας τα πάρουμε με την σειρά, αναφέροντας χοντρικά πως έχουν τα πράγματα.

1. Το Xiaomi, όπως κάθε Router, δημιουργεί αυτόματα την δρομολόγηση της κίνησης από το εσωτερικό προς το όποιο εξωτερικό δίκτυο. Και φυσικά γνωρίζει ποια συσκευή από το δικό του LAN ξεκίνησε την επικοινωνία, άρα δρομολογεί σωστά και την απάντηση που θα έρθει από το WAN προς αυτήν. Για τον λόγο αυτό ο φίλος αναφέρει ότι δεν έχει πρόβλημα όταν η επικοινωνία ξεκινά από το LAN του Xiaomi.

2. Το ίδιο κάνει και το Speedport για την εξερχόμενη δική του κίνηση από το LAN προς το διαδίκτυο (που είναι το δικό του WAN). Επίσης όταν του έρθει η κίνηση από την WAN του Xiaomi, την αναγνωρίζει αφού προέρχεται από το δικό του LAN, άρα ξέρει ήδη σε ποια ΙΡ θα επιστρέψει την όποια απάντηση.

3. Ωστόσο το πρόβλημα είναι όταν η κίνηση ξεκινά από το LAN του Speedport με κατεύθυνση αυτή την φορά, όχι προς το διαδίκτυο αλλά προς το LAN του Xiaomi. Εδώ δεν υπάρχει κανόνας δρομολόγησης και το Speedport (αλλά και οποιοσδήποτε Router) δεν γνωρίζει ούτε αν υπάρχει ούτε ποιο LAN υπάρχει. Όταν μία συσκευή του ζητήσει να συνδεθεί με έναν server στον LAN του Xiaomi, που έχει ΙΡ π.χ. 192.168.21.100, θα κοιτάξει τον πίνακα δρομολόγησης για την κατάλληλη εγγραφή και από την στιγμή που δεν βρει τίποτα, δεν γνωρίζει προς τα που θα στείλει τα δεδομένα.

4. Ερχόμαστε λοιπόν και του λέμε (με κανόνα static route) ότι τα πακέτα που προορίζονται για το LAN 192.168.31.0/24 θα τα προωθείς προς το Gateway αυτού του δικτύου που έχει LAN IP (στο δίκτυο του Speedport) 192.168.1.52 και ουσιαστικά είναι η WAN του Xiaomi. Ο κανόνας αυτός μπαίνει στον πίνακα δρομολόγησης του Speedport κι έτσι αυτό όταν χρειαστεί να γίνει τέτοια επικοινωνία, ρίχνει μια ματιά στο σχετικό πίνακα, βρίσκει την σχετική εγγραφή και δρομολογεί κατάλληλα τα πακέτα.

5. Το Xiaomi με την σειρά του κοιτά το header στα πακέτα, τα μαρκάρει (λόγω ΝΑΤ) και τα δρομολογεί κατάλληλα προς την συγκεκριμένη LAN IP που έχει ο server. Η απάντηση του server ακολουθεί την αντίστοιχη διαδρομή και το Speedport γνωρίζοντας ποιος του έστειλε τα αρχικά πακέτα, του τα επιστρέφει κανονικά.

Αυτά σε γενικές γραμμές, είναι ο τρόπος που επικοινωνούν μεταξύ τους 2 ανεξάρτητα δίκτυα, όσον αφορά την δρομολόγηση των πακέτων. Επιπλέον έρχεται το firewall του κάθε router, όπου επεμβαίνει σε θέματα ασφάλειας.

Καταρχήν δεν επιτρέπεται εισερχόμενη επικοινωνία στο LAN, όταν αυτή ξεκινά από το WAN και όχι όταν πρόκειται για επικοινωνία που ξεκίνησε  από μια συσκευή του δικού του δικτύου, όπως αναφέραμε παραπάνω.. Όσον αφορά το Speedport, WAN είναι το διαδίκτυο και αντίστοιχα για το Xiaomi, είναι το LAN του Speedport.

Για να επιτραπεί στην περίπτωση αυτή η εισερχόμενη κίνηση, πρέπει δημιουργηθεί κατάλληλος κανόνας στο firewall. Όταν αναφερόμαστε σε υπηρεσίες που τρέχουν σε έναν εσωτερικό server (π.χ. NAS), τότε δημιουργούμε έναν κανόνα Port Forwarding μέσω του οποίου επιτρέπουμε την δρομολόγηση προς την συγκεκριμένη LAN IP, με χρήση συγκεκριμένης πόρτας, στην οποία ακούει ο server.

Ο φίλος αναφέρει ότι παρόλο που έχει κανόνα static route, εν τούτοις δεν υπάρχει απάντηση σε δοκιμή ping που έκανε. Συνήθως τα απλά router του εμπορίου επιτρέπουν τα icmp πακέτα και θα μου φαινόταν παράξενο να μην το επιτρέπει το Xiaomi, οπότε όπως αναφέρει και ο zx1234r, ας γίνει έλεγχος στο firewall του Xiaomi.

Στην προκειμένη περίπτωση, υπάρχει όμως και κάτι άλλο που πρέπει να ληφθεί υπόψη. Και αυτό είναι τα 2 ΑΡ που παρεμβάλλονται μεταξύ των 2 δικτύων. Πως έχουν ρυθμισθεί και σε ποια κατάσταση λειτουργίας δουλεύει το καθένα., διότι ενδεχομένως σε ένα από αυτά μπορεί να είναι το πρόβλημα.

Τέλος, το VPN πρέπει προς το παρόν να βγει εκτός λειτουργίας για να μην υπάρχει πιθανότητα να είναι μέρος του προβλήματος. Αφού βρεθεί η λύση και υπάρχει κατευθείαν επικοινωνία μεταξύ των δικτύων, τότε και μόνο τότε μπαίνει πάλι σε λειτουργία. Σε καμία άλλη περίπτωση.

Σεντόνι βγήκε τελικά.

Σε ευχαριστώ πολύ για την ανάλυση. Τέτοια σεντόνια θέλουμε.  Τώρα που είναι ΣΚ θα κάτσω να το μελετήσω βάσει αυτών που είπες. Θεωρώ πολύ μικρή την πιθανότητα να δημιουργούν θέμα τα AP μιας και δεν έχουν ρυθμιστεί να κάνουν κάποια σύνθετη δρομολόγηση. Αυτό που παρατήρησα τώρα μέσω του VPN είναι ότι δεν έχω πρόσβαση στο UI του xiaomi χτυπώντας το 192.168.1.52. Παρ' όλα αυτά απαντάει κανονικά στα pings. Και η πλάκα είναι επειδή σαν φυσική τοποθεσία βρίσκομαι πάντα μετά το xiaomi, πάντα το έβλεπα το UI. Μάλλον το θέμα βρίσκεται εκεί. Μόλις βρεθώ στο τοπικό δίκτυο θα του βγάλω τα μάτια μήπως και τα καταφέρω.

Ευχαριστώ και πάλι.

[logvphys]

Για να δεις το xiaomi μεσω vpn μιας και ειναι ξεχωριστα υποδικτυα πρεπει να κανεις nat στο vpn μεσω του speedport, αν υποθεσουμε οτι τα αλλα 2 ΝΑΤ των ρουτερς ειναι σωστα. 

Δε γνωριζω αν γινονται αυτα με τα μηχανακια που εχεις........

 

Η αλλη λυση ειναι να βαλεις διπλες ips στη καρτα δικτυου του υπολογιστη και αν ειναι συνδεδεμενα μεσω wan να θες και LAN-LAN καλωδιο μεταξυ τους.

Επεξ/σία 26 Ιουνίου 2020 από logvphys