У меня есть несколько адресов IP на одном сервере, и я хотел бы перенаправить весь исходящий трафик на порт 80 на другой IP на том же сервере, просто не использовать всегда основной IP. В настоящее…

Я хотел бы обнаружить тип NAT (FullCone, ограниченный конус, порт ограниченный конус, симметричный), за которым стоит данный сетевой интерфейс. Я тестировал разные инструменты (…

В принципе, у меня есть доступ к серверу Apache, и я хочу сделать приложение обхода NAT. Я думал о том, чтобы случайно попробовать порты с обеих сторон, но быстро отбросил эту идею. У меня нет…

Есть ли способ выбрать исходящий порт, который я использую при подключении, например, к веб-сервису? Я буду работать на устройстве Android, так что в идеале было бы проще всего что-то основанное на…

Я подключился к удаленному серверу с помощью ssh: ssh -i <keypair> <user@server> Как определить исходящий порт, который мой клиент ssh использует для подключения к удаленному серверу ? Я…

Я хочу перенаправить весь исходящий трафик с порта 8080 на локальный порт 8080 например, я создаю сервер с помощью этой команды nc -l -p 8080 и хочу при использовании этой команды nc 1.2.3.4 8080 ,…

Я создал VMSS с балансировщиком нагрузки (LB). Теперь есть только один VM с приложением nodeJs , запущенным и прослушивающим порт 80. Я разрешил доступ к порту на брандмауэре виртуальной машины…

У меня есть решение BizTalk, которое развертывается с помощью UDeploy. После deployment в одной оркестровке один конкретный исходящий логический порт не привязывается к своему порту отправки. Порт…

Я очень новичок в AWS и нетворкинге. Я играл с сетью ACL. Я понял, что если я не разрешу исходящий порт 443 (HTTPS) в сети ACL, я не смогу использовать браузер для перехода к https://www.google.com…

Предыстория : если я правильно понимаю, InboundNATPools используются для сопоставления диапазона внешних портов, каждый из которых соответствует определенному VM на VMSS позади LB. например…

Настройка роутера Mikrotik для работы с 3CX Phone System

Posted on January 3rd, 2015 by Игорь Снежко, Customer Support Regional Manager — Russia & Ukraine

Компания Mikrotik давно выпускает весьма гибкие и недорогие устройства маршрутизации под общим названием Mikrotik Routerboard. Несмотря на обширную линейку этих устройств, их объединяет единая операционная система – Mikrotik RouterOS. Настройка роутеров Mikrotik для работы с 3CX Phone System совсем не так сложна, как может показаться на первый взгляд. Рассмотрим настройку на примере Wi-Fi роутера RB2011UiAS-2HnD-IN. Данный роутер отлично подойдет для организации доступа в сеть Интернет для небольшой и средней компании.

Внимание! Различные модели Mikrotik могут иметь разные предустановки. В частности, модели для SMB сегмента предустановлены таким образом, чтобы с минимальными настройками обеспечить выход в Интернет через первый порт роутера Eth2. Мы воспользуемся этим преимуществом.

Базовая настройка роутера для выхода в Интернет

Если у вас новый роутер, загрузите утилиту Winbox и подключитесь к устройству по адресу 192.168.88.1 с именем пользователя admin. После подключения нажмите в левом верхнем углу кнопку меню Quick Set.

Здесь:

1. Обновление прошивки роутера. С этого следует начать и продолжить после перезагрузки устройства.
2. Настройки Wi-Fi модуля роутера (если ваша модель его имеет).
3. Настройки доступа в Интернет. В данном случае используется PPPoE доступ через порт Ethernet1.
4. Настройки локальной сети и DHCP сервера. Внимание! Настройка DHCP сервера требует дополнительных действий, описанных далее.
5. Пароль доступа к интерфейсу управления роутера.

Настройки достаточно очевидны. После установки параметров нажмите кнопку Apply или OK..

Настройка DHCP сервера

Перейдите в раздел меню IP > DHCP Server > Options.

Здесь нужно создать новую DHCP опцию 66 и ее значением указать HTTP ссылку для автонастройки ваших IP телефонов. Эту ссылку нужно скопировать из раздела Настройки > Автонастройка телефона консоли управления 3CX. При этом строку нужно взять в одинарные кавычки, например, ‘http://192.168.0.2/provisioning/hwz44ph6o9’.

Для завершения настройки зайдите в раздел IP > DHCP Server > Networks и донастройте DHCP сервер. В данном примере установлены DNS сервер, имя домена, сервер времени и созданная ранее DHCP опция 66.

Отключение SIP ALG

Для того, чтобы у вас не возникало проблем в работе удаленных подключений в 3CX Phone System, следует отключить встроенный в роутер SIP Application Layer Gateway. Для этого перейдите в раздел IP > Firewall Service Ports и отключите сервис SIP ALG, нажав кнопку с красным крестиком сверху.

Создание правил сетевого экрана и NAT

Для того, чтобы реализовать в роутере Mikrotik Full Cone NAT, или, другими словами, опубликовать на внешней интерфейсе необходимые порты сервера 3CX Phone System, следует создать набор правил брандмауэра. Все правила создаются единообразно.

Перейдите в раздел IP > Firewall > NAT и нажмите кнопку с изображением плюса для добавления нового правила. В данном примере созданы правила для двух SIP провайдеров с IP адресами 62.64.127.43 и 69.167.178.6. Также созданы правила для внешних подключений HTTPS (порт 443 – статусы доб. номера, индикация присутствия клиентов 3CXPhone и удаленное администрирование сервера) и правила для 3CX Tunnel (порт 5090 UDP и TCP).

Правило для SIP сервера

Параметры устанавливаются во вкладках General и Action.

Здесь:

1. Направление действия правила
2. Внешний адрес, для которого это правило эффективно. В данном случае, это IP адрес SIP провайдера. Внимание! Рекомендуется разрешать внешний входящий SIP и RTP трафик только для необходимых IP адресов, а не для всего Интернета!
3. Тип протокола
4. Порт сервиса, который публикуется
5. Интерфейс, для которого это правило эффективно. В данном случае, это PPPoE интерфейс подключения роутера к Интернет провайдеру
6. Действие, которое выполняет правило
7. Локальный адрес сервера 3CX Phone System
8. Локальный порт публикуемого сервиса

Правила для 3CX Tunnel и HTTPS

Правила настраиваются аналогично, но адрес источника не указывается. То есть, правило действует для любого хоста в Интернет.

Опционально: настройка сервера времени NTP

Если вы хотите, чтобы роутер Mikrotik также являлся сервером времени для IP телефонов в вашей сети, необходимо загрузить и установить пакет, запускающий сервер NTP в роутере. Архив пакетов для текущей версии RouterOS можно загрузить здесь (актуально только для RouterOS 6.24!). После загрузки распакуйте архив и перетащите файл ntp-6.24-mipsbe.npk в окно File List, вызываемое боковым меню Files.

Внимание! Загружайте файл пакета в корень файловой системы. После этого перегрузите роутер в меню System > Reboot.

После перезагрузки включите NTP сервер в меню System > NTP Server.

В меню System > NTP Client задайте IP адрес предпочитаемого сервера NTP в Интернет для установки точного времени на роутере.

Также рекомендуется установить текущее время в меню System > Clock.

На этом настройка роутера Mikrotik для работы с 3CX Phone System завершена.

Конечно, роутеры Mikrotik имеют множество других важных настроек, которые могут использоваться в вашей сети, однако их рассмотрение выходит за рамки этой статьи.

Общие сведения о различных типах NAT и пробивании отверстий

Применимо к…

• DxConnect 19,5
• DxConnect 20.0
• DxOdyssey 19,5
• DxOdyssey 20.0
• DxEnterprise 19,5
• DxEnterprise 20,0
• DxEnterprise 21.0

Сводка

Краткое объяснение типов трансляции сетевых адресов (NAT), как они работают с перфорацией и могут влиять на возможность присоединения к группам шлюзов и создания туннелей.

Информация

Все определения NAT, приведенные ниже, взяты из документа Internet Society RFC 3489.

Нормальный (полный конус) NAT

Полный конусный NAT — это такой NAT, при котором все запросы с одного и того же внутреннего IP-адреса и порта отображаются на один и тот же внешний IP-адрес и порт. Кроме того, любой внешний хост может отправить пакет внутреннему хосту, отправив пакет на отображенный внешний адрес.

Ограниченный конус NAT

Ограниченный конусный NAT — это такой конус, в котором все запросы с одного и того же внутреннего IP-адреса и порта отображаются на один и тот же внешний IP-адрес и порт.В отличие от NAT с полным конусом, внешний хост (с IP-адресом X) может отправить пакет на внутренний хост только в том случае, если внутренний хост ранее отправил пакет на IP-адрес X.

Конус с ограничением портов NAT

Конусный NAT с ограничением портов похож на ограниченный конусный NAT, но ограничение включает номера портов. В частности, внешний хост может отправить пакет с исходным IP-адресом X и исходным портом P на внутренний хост только в том случае, если внутренний хост ранее отправил пакет на IP-адрес X и порт P.

Симметричный NAT

Симметричный NAT — это такой NAT, при котором все запросы с одного и того же внутреннего IP-адреса и порта на определенный IP-адрес и порт назначения отображаются на один и тот же внешний IP-адрес и порт. Если один и тот же хост отправляет пакет с тем же адресом источника и портом, но в другое место назначения, используется другое сопоставление. Более того, только внешний хост, который получает пакет, может отправить UDP-пакет обратно на внутренний хост.

Пробивка отверстий

Использование ранее установленной ассоциации, позволяющей произвольному внешнему адресу / порту отправлять данные на внутренний адрес / порт, называется перфорацией.Пробивка отверстий возможна с помощью обычных (полноконусных), ограниченных и ограниченных по портам NAT, которые последовательно сопоставляют один и тот же внутренний адрес / порт с внешним адресом / портом.

ПРИМЕЧАНИЕ. Пробивка отверстий невозможна с чисто симметричными NAT из-за их несовместимого поведения при сопоставлении портов, зависящих от места назначения.

Пробивка отверстий может использоваться как для TCP, так и для UDP-трафика. Чтобы перфорация работала, ассоциация должна быть создана путем инициирования исходящего соединения из внутренней системы и последующего повторного использования порта внутренней системы в качестве слушателя.Внешние системы, отличные от цели исходного соединения, смогут подключаться к внутренней системе через ассоциацию.

Пробивка отверстий может использоваться, когда обе стороны желаемого пути связи находятся за NAT, при условии, что хотя бы одна сторона может определить динамическую ассоциацию, назначенную другой стороне NAT, и отправить данные через ассоциацию.

Тест NAT

Щелкните ссылку ниже, чтобы запустить Dh3i NAT Test, чтобы определить, находится ли ваш сайт за устройством с симметричным NAT.
Dh3i NAT Тест

ПРИМЕЧАНИЕ. Тест Dh3i NAT не делает различий между конусным NAT с полным конусом, ограниченным конусом и конусным ограничением портов. Все эти три типа дадут результат «Нормальный NAT». Следовательно, если один сайт находится за «симметричным NAT», а другой — за «нормальным NAT», соединение может быть или не быть возможным с программным обеспечением Dh3i в зависимости от того, какой тип «нормального NAT» задействован. Симметричный NAT в сочетании с NAT с ограничением портов — это немаршрутизируемая комбинация.

Матрица поддержки типов NAT

Список литературы

Что делают Full Cone и Symmetric NAT для NAT Traversal

Когда мы говорим о протоколе Stun, используемом для обхода NAT в среде voip, общий термин, используемый при разговоре о типе NAT, совместимом с Stun, — это «Full Cone NAT», а затем, когда мы объясняем, почему протокол Turn разработан для замены Stun Протокол, наиболее частая причина — «Симметричный NAT несовместим с Stun».Эти термины «Полный конусный NAT» и «Симметричный» вызывают много недоразумений.

Для некоторых людей, которые традиционно работают с разными поставщиками, такими как Cisco, F5, Fortinet, используются разные термины NAT, наиболее распространенными типами NAT, используемыми многими поставщиками, являются: PAT, статический NAT, SNAT, динамический NAT.

Вопрос: есть ли различия между Full Cone NAT и Symmetric NAT, используемыми в качестве ссылок для объяснения протоколов Stun и Turn?

Ответ находится в RFC 3489 для протокола Stun.

Раздел 5.Варианты NAT

Полный конус: NAT с полным конусом — это такой, при котором все запросы от одного и того же внутреннего IP-адреса
и порта отображаются на один и тот же внешний IP-адрес и порт
. Кроме того, любой внешний хост может отправить пакет
на внутренний хост, отправив пакет на сопоставленный внешний адрес
.

Симметричный: Симметричный NAT — это такой, при котором все запросы от одного и того же внутреннего IP-адреса и порта
к определенному IP-адресу назначения и порту
отображаются на один и тот же внешний IP-адрес и порт
.Если один и тот же хост отправляет пакет с тем же адресом и портом источника
, но в другое место назначения, используется другое сопоставление
. Более того, только внешний хост, который
принимает пакет, может отправить UDP-пакет обратно внутреннему хосту.

Если мы посмотрим на RFC 3489 в разделе: 5. Варианты, полный конусный NAT означает, что частный IP-адрес и порт внутреннего хоста всегда отображаются или транслируются на один и тот же общедоступный IP-адрес и порт при выходе в Интернет, это означает что с этой точки зрения этот внутренний хост доступен из Интернета, используя свой собственный общедоступный IP-адрес и порт.На языке производителя такой тип NAT называется статическим NAT.

От, скажем, поставщика Cisco, статический NAT позволяет отображать общедоступные IP-адреса на хосты внутри внутренней сети. Проще говоря, это означает, что у вас может быть компьютер или сервер в вашей частной сети, которая существует в Интернете с собственным реальным IP-адресом. Это взаимно однозначное сопоставление частного IP-адреса с общедоступным IP-адресом или частного IP / порта с общедоступным IP / портом.

Итак, мы можем сделать вывод, что Full Cone NAT определенно является статическим NAT, традиционно используемым многими производителями.

Для симметричного NAT RFC 3489 объясняет этот вид NAT следующим образом: IP / порт внутреннего хоста преобразуются в разные общедоступные / порты при переходе в другое место назначения в Интернете. И это добавляет интересное предложение: только внешний хост, который получает пакет, может отправить пакет обратно на внутренний хост, это означает, что этот внутренний хост недоступен напрямую из Интернета, как Full Cone NAT, но после инициирования трафика ответ будет отправлено обратно этому хосту.

С точки зрения таких поставщиков, как Cisco, Dynamic NAT и PAT аналогичны Symmetric, как это объясняется в RFC 3489.
Динамический NAT можно определить как динамическое сопоставление частного IP-адреса с общедоступным IP-адресом из группы общедоступных IP-адресов, называемых пулом NAT, поэтому частный IP-адрес может быть преобразован в другой общедоступный IP-адрес, поскольку это сопоставление является динамическим.

Преобразование адресов порта (PAT) — это еще один тип динамического NAT, который может отображать несколько частных IP-адресов на один общедоступный IP-адрес с помощью технологии, известной как преобразование адресов портов. Здесь, когда клиент из внутренней сети связывается с хостом в Интернете, маршрутизатор меняет номер исходного порта (TCP или UDP) на другой номер порта.

Проблемы динамического NAT и PAT заключаются в том, что внутренний хост не может быть доступен напрямую внешнему хосту.

Итак, наконец, Full Cone NAT — это наш статический NAT, который мы обычно настраиваем на наших маршрутизаторах и брандмауэрах, а симметричный NAT — это, наконец, динамический NAT или PAT, который мы обычно используем в нашей инфраструктуре.

Типы NAT и обход NAT — документация Kurento 6.16.0

Транспортный адрес

Транспортный адрес — это комбинация IP-адреса хоста и порта.Говоря о передаче пакетов между хостами, мы будем называть их транспортными адресами как источника, так и получателя.

Пакетная передача

Чтобы говорить о потоках трафика в этом документе, мы будем называть передачу пакетов фактом отправки пакетов данных от источника к хосту назначения. Передача представлена ​​транспортными адресами каждого хоста плюс направление:

 (SRC_ADDR, SRC_PORT) -> (DST_ADDR, DST_PORT)
 

Примечание

• -> обозначает направление передачи.

• (ADDR, PORT) обозначает транспортный адрес.

• (SRC_ADDR, SRC_PORT) — транспортный адрес хоста, который отправляет пакеты.

• (DST_ADDR, DST_PORT) — транспортный адрес хоста, который принимает пакеты.

Входящая передача через NAT

NAT поддерживает входящих правил , которые используются для преобразования транспортных адресов между внешними и внутренними сторонами NAT.Обычно внешняя сторона NAT обращена к общедоступному Интернету ( WAN ), а внутренняя сторона NAT обращена к частной локальной сети ( LAN ).

Входящие правила имеют форму хэш-таблицы (или карты ), в которой хранится прямая связь между парой внешних транспортных адресов (квадруплет ) и однозначно соответствующим внутренним транспортным адресом. Другими словами:

• Учитывая четверку, образованную внешним транспортным адресом NAT и транспортным адресом удаленного хоста…

• … существует правило для входящего трафика для внутреннего транспортного адреса.

Как правило, эти правила NAT создаются автоматически во время исходящей передачи, исходящей из локальной сети на некоторый удаленный хост: именно в тот момент, когда NAT создает новую запись в своей таблице (это шаг 1 в следующем визуализации). Позже эта запись в таблице NAT используется, чтобы решить, какой локальный хост должен получить ответ, который может отправить удаленный хост (это , шаг 2, в визуализациях). Созданные таким образом правила называются « динамических правил »; с другой стороны, «статические правила » могут быть явно созданы администратором для настройки фиксированной таблицы NAT.

Визуализация:

 {внутренняя сторона NAT} | {Внешняя сторона NAT} | {Удаленный узел}
                         | |
1. (INT_ADDR, INT_PORT) => [(EXT_ADDR, EXT_PORT) -> (REM_ADDR, REM_PORT)]
2. (INT_ADDR, INT_PORT) <= [(EXT_ADDR, EXT_PORT) <- (REM_ADDR, REM_PORT)]
 

Значение: какой-то хост инициировал передачу исходящего пакета с IP-адреса INT_ADDR и порта INT_PORT на удаленный хост в REM_ADDR и порту REM_PORT.Когда первый пакет пересек NAT, он автоматически создавал динамическое правило, переводя внутренний транспортный адрес (INT_ADDR, INT_PORT) во внешний транспортный адрес (EXT_ADDR, EXT_PORT). EXT_ADDR - это внешний IP-адрес NAT, в то время как EXT_PORT может быть таким же, как INT_PORT, или может быть другим (это решать NAT).

Примечание

• -> и <- обозначают направление передачи на каждом шаге.

• => обозначает создание нового правила в таблице NAT.

• [(ADDR, PORT), (ADDR, PORT)] в квадратных скобках обозначает четверку транспортных адресов, используемую для доступа к таблице преобразования NAT.

• <= ​​ обозначает разрешение преобразования NAT.

• (INT_ADDR, INT_PORT) - это исходный транспортный адрес на внутренней стороне NAT для локального хоста, выполняющего передачу во время шага 1, и это транспортный адрес назначения для того же хоста, принимающего передача во время шага 2.

• (EXT_ADDR, EXT_PORT) - это исходный транспортный адрес на внешней стороне NAT, откуда отправляется передача во время шага 1, и это транспортный адрес назначения для передачи, полученной во время шаг 2.

• (REM_ADDR, REM_PORT) - это транспортный адрес назначения некоторого удаленного хоста, принимающего передачу на шаге 1, и это транспортный адрес источника удаленного хоста, который выполняет передачу на шаге 2.

Существует две категории поведения NAT, а именно Cone и Symmetric NAT. Основное различие между ними состоит в том, что первые будут использовать одни и те же номера портов для внутренних и внешних транспортных адресов, а вторые всегда будут использовать разные номера для каждой стороны NAT. Это будет объяснено позже более подробно.

Кроме того, существует 3 типа Cone NAT с различной степенью ограничений в отношении разрешенных источников входящих передач.Чтобы подключиться к локальному хосту, который находится за Cone NAT, сначала требуется, чтобы локальный хост выполнял исходящую передачу на удаленный. Таким образом, для транспортного адреса назначения будет создано динамическое правило, позволяющее удаленному хосту подключиться обратно. Единственным исключением является Full Cone NAT, где статическое правило может быть создано администратором заранее, благодаря тому факту, что этот вид NAT игнорирует исходный транспортный адрес удаленного узла, к которому подключается.

Полный конус NAT

Этот тип NAT разрешает входящую передачу от с любого IP-адреса источника и на любой порт источника , если кортеж назначения существует в ранее созданном правиле.

Обычно эти правила статически создаются заранее администратором. Это правила, которые используются для настройки переадресации портов (также известной как «, открывающая порты ») в большинстве маршрутизаторов потребительского уровня. Конечно, как и для всех типов NAT, также можно создать динамические правила, предварительно выполнив исходящую передачу.

Визуализация:

 {внутренняя сторона NAT} | {Внешняя сторона NAT} | {Удаленный узел}
                         | |
1. (INT_ADDR, INT_PORT) => [(EXT_ADDR, INT_PORT) -> (REM_ADDR, REM_PORT)]
2. (INT_ADDR, INT_PORT) <= [(EXT_ADDR, INT_PORT) <- (*, *)]
 

Примечание

• * означает, что можно использовать любое значение: удаленный хост может подключаться с к любому IP-адресу и порту .

• Исходный IP-адрес ( REM_ADDR ) на шаге 2 может отличаться от IP-адреса назначения , который использовался на шаге 1.

• Исходный IP-порт ( REM_PORT ) на шаге 2 может отличаться от IP-порта назначения , который использовался на шаге 1.

• Один и тот же порт ( INT_PORT ) используется на внутренней и внешней сторонах NAT. Это наиболее распространенный случай для всех конических NAT, он отличается только для симметричных NAT.

(Адрес) Конус ограниченного доступа NAT

Этот тип NAT разрешает входящие передачи с определенного IP-адреса источника , но позволяет использовать любой порт источника .Обычно правило для входящего трафика этого типа ранее создавалось динамически, когда локальный хост инициировал исходящую передачу на удаленный.

Визуализация:

 {внутренняя сторона NAT} | {Внешняя сторона NAT} | {Удаленный узел}
                         | |
1. (INT_ADDR, INT_PORT) => [(EXT_ADDR, INT_PORT) -> (REM_ADDR, REM_PORT)]
2. (INT_ADDR, INT_PORT) <= [(EXT_ADDR, INT_PORT) <- (REM_ADDR, *)]
 

Примечание

• Исходный IP-адрес ( REM_ADDR ) на шаге 2 должен совпадать с IP-адресом назначения , который использовался на шаге 1.

• Исходный IP-порт ( REM_PORT ) на шаге 2 может отличаться от IP-порта назначения , который использовался на шаге 1.

• Один и тот же порт ( INT_PORT ) используется на внутренней и внешней сторонах NAT.

Конус с ограничением портов NAT

Это наиболее ограничительный тип Cone NAT: он разрешает входящие передачи только с определенного IP-адреса источника и определенного порта источника .Опять же, правило для входящего трафика этого типа ранее создавалось динамически, когда локальный хост инициировал исходящую передачу на удаленный.

Визуализация:

 {внутренняя сторона NAT} | {Внешняя сторона NAT} | {Удаленный узел}
                         | |
1. (INT_ADDR, INT_PORT) => [(EXT_ADDR, INT_PORT) -> (REM_ADDR, REM_PORT)]
2. (INT_ADDR, INT_PORT) <= [(EXT_ADDR, INT_PORT) <- (REM_ADDR, REM_PORT)]
 

Примечание

• Исходный IP-адрес ( REM_ADDR ) на шаге 2 должен совпадать с IP-адресом назначения , который использовался на шаге 1.

• Исходный IP-порт ( REM_PORT ) на шаге 2 должен совпадать с IP-портом назначения , который использовался на шаге 1.

• Один и тот же порт ( INT_PORT ) используется на внутренней и внешней сторонах NAT.

Симметричный NAT

Этот тип NAT ведет себя так же, как конусный NAT с ограничением портов, с одним важным отличием: для каждой исходящей передачи на другой удаленный транспортный адрес (т.е. к другому удаленному хосту) NAT назначает новый случайный исходный порт на внешней стороне. Это означает, что две последовательные передачи с одного и того же локального порта на два разных удаленных хоста будут иметь два разных внешних порта источника, даже если внутренний транспортный адрес источника одинаков для них обоих.

Это также единственный случай, когда протокол подключения ICE найдет кандидатов Peer Reflexive, которые отличаются от кандидатов Server Reflexive из-за различных портов между передачей на сервер STUN и прямой передачей между одноранговыми узлами.

Визуализация:

 {внутренняя сторона NAT} | {Внешняя сторона NAT} | {Удаленный узел}
                         | |
1. (INT_ADDR, INT_PORT) => [(EXT_ADDR, EXT_PORT1) -> (REM_ADDR, REM_PORT1)]
2. (INT_ADDR, INT_PORT) <= [(EXT_ADDR, EXT_PORT1) <- (REM_ADDR, REM_PORT1)]
...
3. (INT_ADDR, INT_PORT) => [(EXT_ADDR, EXT_PORT2) -> (REM_ADDR, REM_PORT2)]
4. (INT_ADDR, INT_PORT) <= [(EXT_ADDR, EXT_PORT2) <- (REM_ADDR, REM_PORT2)]
 

Примечание

• Когда исходящая передача выполняется на шаге 1, EXT_PORT1 определяется как новый случайный номер порта, назначенный для нового удаленного транспортного адреса (REM_ADDR, REM_PORT1) .

• Позже на шаге 3 выполняется другая исходящая передача с того же локального адреса и порта на тот же удаленный хост, но на другом порту. EXT_PORT2 - это новый случайный номер порта, назначенный для нового удаленного транспортного адреса (REM_ADDR, REM_PORT2) .

Механизм NAT реализован в подавляющем большинстве домашних и корпоративных маршрутизаторов и полностью предотвращает возможность запуска любого серверного программного обеспечения на локальном хосте, который находится за такими устройствами.NAT Traversal, также известный как Hole Punching , представляет собой процедуру открытия входящего порта в таблицах NAT этих маршрутизаторов.

Чтобы подключиться к локальному хосту, который находится за любым типом NAT, сначала требуется, чтобы локальный хост выполнял исходящую передачу на удаленный. Таким образом, для транспортного адреса назначения будет создано динамическое правило, позволяющее удаленному хосту подключиться обратно.

Чтобы сообщить одному хосту, когда он должен выполнить исходящую передачу другому, и указать транспортный адрес назначения, который он должен использовать, типичным решением является использование вспомогательной службы, такой как STUN.Обычно это управляется третьим хостом, сервером, находящимся на общедоступном интернет-адресе. Он извлекает внешний IP-адрес и порт каждого однорангового узла и передает эту информацию другим одноранговым узлам, которые хотят общаться.

STUN / TURN требования:

• Симметричный на симметричный: ОБОРОТ .

• Симметричный конус с ограниченным портом: TURN .

• Симметричный конус с ограничением адреса: STUN (но, вероятно, ненадежный).

• Симметричный к полному конусу: STUN .

• Все остальное: STUN .

Пробивка отверстий своими руками

Проверить возможности NAT в локальной сети очень просто. Для этого нужен доступ к двум хостам:

1. Один сидит за NAT. Назовем его хостом A .

2. Один напрямую подключен к Интернету, без брандмауэра. Это хост B .

Задайте несколько вспомогательных переменных: общедоступный IP-адрес каждого хоста и их порты прослушивания:

 A_IP = "198.51.100.1" # Общедоступный IP-адрес NAT, который скрывает хост A
A_PORT = "1111" # Порт прослушивания на хосте A
B_IP = "203.0.113.2" # Публичный IP-адрес хоста B
B_PORT = "2222" # Порт прослушивания хоста B
 

1. начинает прослушивание данных. Оставьте это в A:

2. B пытается отправить данные, но NAT перед A отбрасывает пакеты.Обкатка B:

    эхо "ТЕСТ" | nc -4nu -q 1 -p "$ B_PORT" "$ A_IP" "$ A_PORT"
    

3. выполняет перфорацию, заставляя свой NAT создать новое правило для входящих подключений. B ожидает пакета UDP для проверки.

   Обкатка B:

    sudo tcpdump -n -i eth0 "src host $ A_IP и udp dst port $ B_PORT"
    

   Обкатка A:

    sudo hping3 --count 1 --udp --baseport "$ A_PORT" --keep --destport "$ B_PORT" "$ B_IP"
    

4. B пытается отправить данные еще раз.Обкатка B:

    эхо "ТЕСТ" | nc -4nu -q 1 -p "$ B_PORT" "$ A_IP" "$ A_PORT"
    

Примечание

• Разницу между коническим NAT и симметричным NAT можно обнаружить на шаге 3. Если команда tcpdump на B показывает порт источника, равный $ A_PORT , то NAT учитывает выбранный порт источника. приложением, что означает, что это один из типов конусного NAT. Однако, если tcpdump показывает, что исходный порт отличается от $ A_PORT , тогда NAT изменяет исходный порт во время исходящего сопоставления, что означает, что это симметричный NAT.

• В случае Cone NAT данные, отправленные из B , должны правильно поступать на A после шага 4.

• В случае симметричного NAT данные, отправленные из B , не поступят на A после шага 4, потому что $ A_PORT - неправильный порт назначения. Если вы напишете правильный порт (как было обнаружено на шаге 3) вместо $ A_PORT , то данные должны прибыть на A .

PySTUN

PySTUN - это инструмент, который использует серверы STUN, чтобы попытаться определить тип NAT при запуске с хоста, находящегося за ним.

В настоящее время он был лучше всего обновлен в одной из своих форков, поэтому мы предлагаем использовать его вместо версии от оригинального создателя. Для установки и запуска:

 git clone https://github.com/konradkonrad/pystun.git pystun-konrad
cd pystun-konrad /
исследование git checkout
mv README.md README.rst
sudo python setup.py установить
пыстун
 

3CX требует статического сопоставления портов (Full Cone NAT)

Опубликовано 3 мая 2009 г. Ник Галеа , технический директор и основатель, 3CX

Если вы используете поставщика VoIP, вам потребуется брандмауэр, который поддерживает статическое сопоставление портов и настроен на него.Для правильной работы RTP, протокола, передающего звук, требуется статическое сопоставление портов.

  iptables -t nat -A POSTROUTING -o eth0 -j FULLCONENAT # то же, что и MASQUERADE
iptables -t nat -A PREROUTING -i eth0 -j FULLCONENAT # автоматически восстанавливать NAT для входящих пакетов
  

  $ марка
# insmod xt_FULLCONENAT.ko
  

  iptables -t nat -A POSTROUTING -o eth0 -j FULLCONENAT
iptables -t nat -A PREROUTING -i eth0 -j FULLCONENAT
  

  iptables -t nat -A POSTROUTING -o eth0! -p udp -j МАСКЕРАД
iptables -t nat -A POSTROUTING -o eth0 -p udp -j FULLCONENAT --to-ports 40000-60000 --random-full

iptables -t nat -A PREROUTING -i eth0 -p udp -m multiport --dports 40000: 60000 -j FULLCONENAT
  

  iptables -t nat -A POSTROUTING -o eth0 -j FULLCONENAT
iptables -t nat -A ПОСТРОУТИРОВАНИЕ -o eth2 -s 192.168.100.0/24 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth0 -j FULLCONENAT
iptables -t nat -A PREROUTING -i eth2 -j FULLCONENAT
  

  obj - $ (CONFIG_NETFILTER_XT_TARGET_FULLCONENAT) + = xt_FULLCONENAT.о
  

  конфигурация IP_NF_TARGET_FULLCONENAT
  tristate "Целевая поддержка FULLCONENAT"
  зависит от NETFILTER_ADVANCED
  выберите NETFILTER_XT_TARGET_FULLCONENAT
  ---помощь---
  Это вариант обратной совместимости для удобства пользователя.
  (например, при запуске oldconfig). Он выбирает
  CONFIG_NETFILTER_XT_TARGET_FULLCONENAT. 

  конфигурация NETFILTER_XT_TARGET_FULLCONENAT
  tristate 'Целевая поддержка "FULLCONENAT"'
  зависит от NF_NAT
  ---помощь---
  Полный конусный NAT

  Чтобы скомпилировать его как модуль, выберите M здесь. Если не уверены, скажите Н.

  

  конфигурация межсетевого экрана ippool
      Описание: настройка пулов IP-адресов IPv4.
      редактировать <имя>
          установить тип [перегрузка | один к одному | ...]
          установить стартовую подсказку {ipv4-address-any}
          установить endip {ipv4-address-any}
          установить исходный-стартовый {ipv4-адрес-любой}
          установить исходный-конец {ipv4-адрес-любой}
          установить размер блока {целое число}
          установить число блоков на пользователя {целое число}
          установить pba-timeout {целое число}
          установить разрешение-любой-хост [отключить | включить]
          установить arp-reply [отключить | включить]
          установить arp-intf {строка}
          установить связанный-интерфейс {строка}
          установить комментарии {var-string}
      следующий
  конец