Vlákno názorů k článku Už i v Africe docházejí IPv4 adresy od Vláďa Macek - Soudruzi, není na čase už zavelet, zastavit svět,...
-
Petr M (neregistrovaný)
A čemu to pomůže, když je adres míň, než domácností, připojených na net? A s tím, jak začíná IoT a NAT se blbě tuneluje, se situace jenom zhoršuje...
IPv4 bylo fajn, zvládlo toho hodně, ale už je v bodě, kdy je čas ho poslat do šrotu. Vrakouš byl taky fajn auto, dobře sloužil, ale dvacetiletý stroj už nějak nemělo cenu udržovat při životě (a teď mám jako bonus ABS BSP, klimu,...). Když jsou náklady vyšší, než jejich přínos, je čas změnit řešení, i když kdysi bylo to nejlepší, co se dalo použít.
-
holomek (neregistrovaný)
V podstatě ti,kteří to mají změnit pořád brečí že to mají změnit ;-) Nebo to mám měnit já, jako nějaký tuctový zákazník nějakého tuctového ISP? Ale hádat se o síťovou neutralitu, aby si mohli mastit kapsy $?/GB to jde raz dva. Jaký má smysl pořád brečet že ipv4 dochází, stále ho nabízet a stále nic neměnit/netlačit? Kdyby to bylo takové to kolečko před rozdělením dotací, ok, ale žádné dotace na to nebudou, ne?
-
Filip JirsákStříbrný podporovatelJá se jenom děsím toho, že nějaký ISP dá routeru za 750,- mého dědy ipv6 a přímý přístup z netu . . .
U IPv4 vám to nevadí? Proč? -
Filip JirsákStříbrný podporovatel
To, že domácí router nemá veřejnou IPv4 adresu, neznamená, že by nebyl dostupný z internetu. Už to tu bylo vysvětlováno mnohokrát a myslím, že jste u toho nechyběl. Tím, že před tím budete zavírat oči, to nezměníte.
Jinak u pevného připojení jsem se s předělenou IPv4 adresou z privátního rozsahu setkal jen u jednoho spolku, všichni ISP, od kterých jsem měl v domácnosti internet, přidělovali veřejné IPv4 adresy. Např. momentálně píšu ze sítě UPC a modem/router má přidělenou veřejnou IPv4 adresu.
-
NULL (neregistrovaný)
Kecy. Můžeš mi tedy ukázat, jakou ipv4 adresu si mám na svém ipv4 routeru zjistit, abych se k němu mohl připojit z přímo z netu odkudkoliv tak, jako mi to umožní ipv6 pokud nebude za NATem, terý bude sypat jenom lokální adresy? Jinak se vlastně ani nemusíš obtěžovat odepisovat.
"A to jako proč? Já se jenom děsím toho, že nějaký ISP dá routeru za 750,- mého dědy ipv6 a přímý přístup z netu . . ."
-
Filip JirsákStříbrný podporovatel
Rozlišovat „přímo“ a „nepřímo“ má smysl pouze z pohledu oprávněného uživatele, pro kterého „nepřímo“ představuje zbytečnou komplikaci. Když řešíte útočníka, je vám úplně jedno, zda vás napadne přímo nebo nepřímo, protože důsledky to bude mít úplně stejné.
Jakou IPv4 adresu máte použít, to záleží na tom, jak vypadá konfigurace sítě. Pokud váš router máte za NAtem, IP adresu, přes kterou je dostupný, nezjistíte na vašem routeru. Může to být IP adresa vašeho ISP, může to být IP adresa někoho, kdo je za stejným NATem, jako vy.
Už vám tu bylo mnohokrát vysvětlováno, že NAT přístupu nezabrání. K zabránění přístupu je potřeba firewall, ať už ve vašem routeru, nebo na straně ISP. Vy pořád akorát spoléháte na to, že vás chrání váš ISP. Úplně stejně tedy můžete předpokládat, že vás bude chránit i s IPv6.
-
NULL (neregistrovaný)
Zase jenom kupa keců.
Veřejná ipv4 adresa je normální pojem, kterému až na tento tvůj výstup samozřejmě dobře rozumíš, a umožňuje přímý přístup z internetu (přesně z WWW).
V ČR je několik mil. domácností. Máš pocit že má každá věřejnou ipv4 adresu aby jsi k jejich routeru (klasická domácí síť) mohl lézt přímo z WWW ? -
Filip JirsákStříbrný podporovatel
Veřejná IPv4 adresa je normální pojem, rozumím mu dobře, akorát vy jste psal o „přímém“ přístupu, což je něco jiného, než „veřejná IPv4 adresa“. Přímý přístup je váš vynález, nikdy jste nespecifikoval, co přesně tím myslíte. Ale pokud chápu dobře, co tím myslíte, pak to s veřejnou IP adresou moc nesouvisí – i když máte na vnějším rozhraní vašeho routeru privátní IPv4 adresu, může se někdo dostat přímo do vašeho routeru nebo do vaší sítě. A naopak, i když tam budete mít veřejnou IPv4 adresu, neznamená to, že do toho routeru existuje přímý přístup.
Máš pocit že má každá věřejnou ipv4 adresu
A to ale přece vůbec nejde. Podstatné je to, že i když máte od ISP přidělenou privátní IPv4 adresu a nepoužijete firewall, vůbec nezáleží na vás, zda do toho routeru existuje či neexistuje přímý přístup. Záleží to na ISP a taky možná na ostatních jeho zákaznících. Když váš ISP na tu vaši privátní adresu nastaví (třeba omylem) NAT 1:1 z nějaké veřejné IP adresy, nebo když to udělá některý z jeho zákazníků, je váš router dostupný přímo z internetu. A můžete dupat nožičkama jak chcete, že přece máte privátní IP adresu, a bude vám tou houby platné.umožňuje přímý přístup z internetu (přesně z WWW)
mohl lézt přímo z WWW
To určitě. Právě jste se odkopal, že o sítích nevíte vůbec nic. Zjistěte si nejdřív, co znamenají pojmy IP, TCP/IP, HTTP a WWW. Zatím to prostě berte jako fakt, že NAT vás před ničím nechrání. Říkají vám to lidi, kteří – na rozdíl od vás – o sítích alespoň něco málo vědí. Dokud si nenastudujete alespoň úplné základy, nemáte šanci jim oponovat, a je dokonce pravděpodobné, že mnoha argumentům ani nebudete rozumět. -
NULL (neregistrovaný)
Zajímavé. Tady jsi tomu ještě rozuměl taky:
"
Filip Jirsák 100 Bronzový podporovatel Dnes 13:17Já se jenom děsím toho, že nějaký ISP dá routeru za 750,- mého dědy ipv6 a přímý přístup z netu . . .
U IPv4 vám to nevadí? Proč?
"... pro předcházející komunikaci si laskavě přečti vlákno do kterého lezeš.
Pak proběhlo nějaké tvoje ťápání ale odpověď na to, kolik domácností má na routeru ipv4 veřejnou adresu jsme se stále nedozvěděli.
-
Filip JirsákStříbrný podporovatel
odpověď na to, kolik domácností má na routeru ipv4 veřejnou adresu jsme se stále nedozvěděli.
Až si nestudujete ty základy sítí, zjistíte, že na tom vůbec nezáleží. Klidně předpokládejte, že veřejnou IPv4 adresu nemá na domácím routeru nikdo. -
NULL (neregistrovaný)
To víš že záleží, ale jenom pokud ISP (pokud máš připojení přes ISP jako většina domácností) umožní, aby byla ta veřejná adresu z venku "viditelná". A bavili jsme se tu ve vláknu o tom, že by to s ipv6 umožnil a dělalo by se to standartně a ty jsi začal ťápat o tom, že to jde už s ipv4. Jde, ale nedělalo se to standartně, nedělá se to standartně a ani nebude. Takže u ipv4 to samozřejmě nevadí. S ipv6 se tu samozčejmě ta možnost naskytla skrz laciné rozsahy s ipv6.
Kdyby jsi napsal zrovna že sis ani nepřečetl vlákno do kterého píšeš a vůbec nevíš o čem jsme se bavili, mohli jsme si toto ušetřit. Nazdar. -
Filip JirsákStříbrný podporovatel
Výše už se vysvětlilo, proč vaše domněnky o IPv4 adresách a IPv6 neodpovídají realitě – protože neznáte základy toho, jak IP (internet protokol) funguje. Vlákno jsem si přečetl a vím, o čem jste se bavili – problém není na mé straně, problém je v tom, že vy nemáte dostatek znalostí na to, abyste pochopil, o čem je řeč. To, že tušíte, že existují nějaké veřejné IPv4 adresy, bohužel nestačí k pochopení podstaty toho, o čem se tu diskutuje.
Je to na vás. Můžete se poučit od lidí, kteří věcí o co jde, když vám vysvětlují, že privátní IPv4 adresa vás před ničím nechrání. A nebo si klidně dál myslete, že neznalost je vaše síla a že jste objevil něco, co přehlížejí ti, kteří fungování IP rozumí. Akorát vás musím upozornit, že pokud na vaše nápady bude někdo odpovídat, pravděpodobně se chce pobavit s obecním bláznem. Protože kdokoli, kdo je alespoň minimálně v obraze a přečte si váš komentář, kde si s vážnou tváří pletete internet a world wide web, spadne smíchy pod stůl – a pak už záleží jenom na tom, zda bude obecního blázínka ignorovat, nebo zda si z něj bude chtít vystřelit. Pokud vám to připadá netaktní, je mi líto, ale prostor pro to zalézt tiše do kouta jste měl – vy jste se místo toho pokusil zakrýt, že vůbec netušíte, která bije, a pokusil jste se to hodit na mne, že nevím, o čem je vlákno a že se na něco vymlouvám.
-
Samozrejme ze nechrani. Chrani vas firewall, ktery mate v tom routeru zapnuty a ktery oddeluje vnitrni adresy od vnejsich. To ze nedovedete (stejne jako ja jsem jeste nedavno nedovedl) rozlisit mezi NATem a firewallem, neznamena ze to je jedno a totez.
V defaultu totiz router nezajima co je vnejsi a co je vnitrni adresa, kdyz na nej z venku dorazi packet s dst IP do vnitrni site, tak ho dal preposle. Pak uz zalezi na vasem ISP, zda k vam takovy packet dorazi. A zase, jsou zde technologie (napr. source based routing), jak se daji i tato omezeni obejit. -
BobTheBuilderStříbrný podporovatelZase další, co nechápe rozdíl mezi potřebami uživatele (dostat se bez potíží na své služby odkudkoliv) a útočníka (dostat se někam kamkoliv jakkoliv, i nepřímo, a něco tam podstrčit).
-
. . (neregistrovaný)
NULL: Filip má blíže k pravdě než ty. Pokud jsi na internetu, je tvoje IP adresa z venku viditelná, tak funguje internet. Jen pokud jí nemáš veřejnou, sdílí jí s tebou více lidí a jste schovaný za nějakým NATem.
Pokud může webový server tobě poslat odpověď na tvůj požadavek o načtení nějaké stránky, může ti také nějaká data poslat útočník. Jak je tady zmíněno tisíckrát, NAT není silná bezpečnostní překážka.
Jediné co tě zajímá je firewall a ideálně zavření veškeré vnější komunikace.
-
. . (neregistrovaný)
argument typu, když to neumíš ty, neumí to nikdo je dost nebezpečný. Nejsem útočník a nemám důvod to dělat. Za NATem nejsi přímo adresovatelný, ping tedy logicky fungovat nebude. NAT tě ale nechrání před cizím přístupem.
Obecně stačí, abych tě donutil navštívit určitý server nebo udělat někam spojení, poté mám pootevřené dveře, abych ti mohl poslat data a tvůj router je bez problémů příjmul a předal dál, klidně na lokální rozsah.
Řada routerů byla napadnuta právě takhle, což mluví za vše. Dnes se prodávají hotová řešení, útočník nemusí znát složitosti za zneužitím slabiny, prostě je použije.
-
NULL (neregistrovaný)
@Tomáš2
Nechrání tě plně, ale taky tě přímo nevystavuje do WWW. To je ti snad jasné. Donutit něco navštívit můžeš, ale na co domácnosti a jejich 0,- routery a 0 znalosti oproti ISP vystavovat do přímo do WWW aby do nich neustále někdo bušil jako do serverů? Být "schovaný" za NATem je pořád aspoň trochu výhoda. Vzpomeň si třeba na rom0. Ano, přisli napadení i z lokálu, ano mohli být prolomeno i NATování, ale být tu domácí routery za 25,- veřejně ve WWW tak padly všechny do 2 dnů . . . .
-
NULL (neregistrovaný)
@Tomáš2
Jako mě by se třeba líbilo mít ipv6 i několik zdarma doma z veřejného rozsahu a využil bych to, ale by default bych to rozhodně nedával. Už tak se kolem routerů mých známých občas naběhám. A s tím napadením: Jenom si vem, kolik nákaz a jak nebezpečné jsou domácí wi-fi a ty by jsi to otevřel plně ještě i po drátě. . . .
-
. . (neregistrovaný)
od toho tady je ale firewall a řada ISP ho nasazuje, je poté si u nich požádat o povolení portů. NAT není od toho, aby něco chránil, i ty nejlevnější routery mají firewall a není jediný důvod ho nezapnout, bohužel bývá ve výchozím stavu vypnutý, což nechápu, já ho mám zapnutý i na mobilu.
Odstranit 99,9 % "bušení" není řešení bezpečnosti, ale jen nebezpečný pocit, že je vše v pořádku. Řada implementací NATu je dost nevhodná a routuje i to co nemá.
-
NULL (neregistrovaný)
@Tomáš2
"Odstranit 99,9 % "bušení" není řešení bezpečnosti,"
Jasně že není, ale dost toho odstíní, a je rozhodně lepší, když to odstíní ISP, než když to nějaký .... hodí přímo na uživatele . . .
O tom pocitu tady mluví akorát <Jirsák> a ty. Jediné co jsem napsal je v podstatě to, že nechci přidávat další díru do cedníku. Už jsi mi spoustu dalších děr popsal, ale pořád nevím, proč přidávat další možnou světu přístupnou díru. . .
-
Filip JirsákStříbrný podporovatel
Nechrání tě plně, ale taky tě přímo nevystavuje do WWW.
Už jsem vám to jednou psal. Když netušíte, jaký je rozdíl mezi internetem a world wide webem, nemáte dostatek znalostí na to, abyste pochopil, jak funguje NAT a že to není žádná ochrana. To není žádná urážka, to je prostě fakt. Když vám lidi, kteří o sítích něco vědí, tvrdí, že NAT vás před ničím nechrání, nezbývá vám, než ti přijmout jako fakt. -
NULL (neregistrovaný)
@Jirsák
Nech si ty svoje kecy. Speciálně kvůli takovým nechápačům když se jim to hodí aby mohli otravovat - jako ty, už dokonce píšu o WWW, protože si uvědomuji, že napsat jenom internet nebo net je jenom další záminka, pro takové ..... jako ty, přispěchat a začat dělat jak najednou nechápeš a jak je to všechno jinak
Ať se ti to líbí nebo ne, za NAT prostě není tak dobře vidět, adresy mohou být přidělovány náhodně a navíc se jejich rozsahy mohou krýt pro další subnety.
Nikdy jsem netvrdil že tě NAT před něčím chrání, s tím tady pořád dokola prudíš ty a omláš to jenom ty. Já jenom říkám, že za NATem nejsi přímo vystavený do netu (pro nechápavce kontextu a vlákna když se mu to hodí: do WWW).
Je jasné že ze síťě vedle na mě vidět asi půjde a půjde mě adresovat, ale už vidím, jak někde z Afriky pingneš moji 192.168.45.489. Ha Ha Ha - když se teda za NAT neschohvám. A pak si zkus pingnout 8.8.8.8 abys viděl, jaký je v tom rozdíl.+ Když je to jinak, tak tě vyzívám, aby jsi pingnul můj router od sebe z WWW, když je na mě teda za NATem vidět z WWW a vystavuje mě do netu stejně jako ipv4 přidělená z veřejného rozsahu (pro účelově nechápavého: pokud ISP umožní ji za NATem vidět). Ale klidně mě můžeš teda pingnout i z jiné sítě protože síŤ přece není jenom ta WWW. (ISP gateway máš za Nickem a moje ip je 192.168.20.103)
Přeju veselý ping (-pong) Jirsáku. -
j (neregistrovaný)
2Null to ze je jirsak pitomec neznamena,z e v tomhle pripade tu nejses za 10x vetsiho vola prave ty, protoze ma naprostou pravdu a NAT te nechrani ani trochu, Naopak, NAT razantne zhorsuje bezpecnostni situaci, protoze nastavit firewall tak, aby spravne fungovat s natem je nekolikabnasobne slozitejsi a BFUcka jako TY to naprosto nemuzou zvladnout.
Vubec nevis o cem zvanis, nevim proc bych neco nekde pingal, kdyz se ktomu muzu rovnou pripojit.
-
NULL (neregistrovaný)
Už jsem to asi rozluštil.
Zde
"A proč by neměla mít? Proč ty televize a ledničku nenechat přímo přístupné z netu? Tady jsi za natem ISPčka a to je nuda, ne?"
jsem měl napsat místo "jsi za natem ISPčka" tohle "jsi za natem (a samozřejmě firewallem) ISPčka"
a zde
"A to jako proč? Já se jenom děsím toho, že nějaký ISP dá routeru za 750,- mého dědy ipv6 a přímý (adresa) přístup z netu . . ."
-
Petr M (neregistrovaný)
Celou dobu tady žvatleš, že jsi a NATem dobře schovaný před útočníkem, protože nejsi vidět pomocí standardních nástrojů jako PING z jinýho kontinentu
Je to mimochodem stejná pitomost, jako tvrdit, že nemůžeš zemřít na otravu, protože u nás kobry nežijí...
V bezpečnosti neplatí, že pokud prokážeš neprůstřelnost pro jeden vektor útoku, tak útočník nepoužije jiný a jsi v suchu. Zkus chvíli pro změnu myslet jako zločinec, který chce třeba výkupný za zašifrovaný data, jedno od koho. Vážně je pro tebe NAT problém?
-
NULL (neregistrovaný)
@Petr M
"V bezpečnosti neplatí, že pokud prokážeš neprůstřelnost pro jeden vektor útoku, tak útočník nepoužije jiný a jsi v suchu."
Super, tak na co se starat. Existuje více vektorů útoku, tak ser.m na všechny. Práda . . . Kdybych se vrátil k tomu tvému "příkladu" s kobrou tak bych mohl říct: Když tě kousne kobra tak se otrávíš, tak už je to jedno, můžu si dělat co chci a sahat na kdejakého hada.
-
Filip JirsákStříbrný podporovatel
Existuje více vektorů útoku, tak ser.m na všechny. Práda . . .
Jediný, kdo tady propaguje tohle řešení, jste vy.Když si na routeru nakonfigurujete firewall, bude fungovat ať máte veřejnou nebo privátní IP adresu. Když budete „schovaný“ za NATem, musíte se spolehnout na to, že útočník není za stejným NATem, že neovládá nějaké zařízení za stejným NATem, že na vás nezaútočí váš ISP, že vám ISP nenamapuje nějaké porty z veřejné IP adresy na váš router, že to samé neudělá někdo, kdo má za stejným NATem namapované nějaké porty z veřejné IP adresy, že útočníkovi nepomůžete otevřít tunel v NATu sám (což se může stát snadno, když sítím nerozumíte – dokonce i kdybyste jim rozuměl, nemusíte si uvědomit, že daná činnost může otevřít průchod v NATu). A to si nejsem jist, jestli jsem na něco nezapomněl.
Vy si vůbec neuvědomujete vzájemné relace v tom, co je jak nebezpečné. První stupeň zabezpečení je, že musíte mít aktuální, bezpečný a správně nakonfigurovaný software. K tomu se jako druhý stupeň ochrany dá nakonfigurovat firewall – to už ale musíte vědět, co děláte. Když vás tedy chce útočník napadnout, musí nejprve znát nějakou zranitelnost v software, který používáte – a když už zvládne tohle, tak obejít NAT je proti tomu brnkačka. Už jenom proto, že nejsnazší bude zneužít nějakou zranitelnost skrze webový prohlížeč, no a s tím jste ten NAT už obešel sám, protože prohlížeč sám navazuje spojení do internetu.
-
Filip JirsákStříbrný podporovatel
už dokonce píšu o WWW, protože si uvědomuji, že napsat jenom internet nebo net je jenom další záminka
Není to žádná záminka. Napsat „internet“ nebo „net“ by bylo správně. Napsat WWW je totálně špatně. Možná si něco uvědomujete, ale pro tuto diskusi vám chybí základní znalosti. WWW je zkratka pro world wide web, nebo-li webové stránky. Je to označení pro informační médium, které pouze shodou okolností používá jako přenosový prostředek internet. „Dostupnost z www“ má asi tak stejný smysl, jako kdybyste řešil, zda je váš router dostupný z televize nebo z knihy.Ať se ti to líbí nebo ne
Nejde o to, zda se mi to líbí nebo nelíbí. Jde o to, že vy netušíte, o čem se diskutuje.za NAT prostě není tak dobře vidět
Problém je v tom, že to „není tak dobře“ útočníka nezajímá. Útočník nepotřebuje, aby za NAT viděl dobře, je mu stačí, když tam vidí aspoň nějak. Navíc zapomínáte na to, že útočník může být za stejným NATem, jako vy, takže na vás vidí výborně.Nikdy jsem netvrdil že tě NAT před něčím chrání
K čemu je tedy podle vás dobrý?Já jenom říkám, že za NATem nejsi přímo vystavený do netu
Ano, to tvrdíte, a to taky nikdo nerozporuje. Problém je to, že „není přímo vystavený do netu“ je nezajímavá vlastnost, není to žádné pozitivum, je to k ničemu.už vidím, jak někde z Afriky pingneš moji 192.168.45.489. Ha Ha Ha - když se teda za NAT neschohvám
To, že není možné pingnout neexistující IP adresu, neznamená, že jste schovaný.A pak si zkus pingnout 8.8.8.8 abys viděl, jaký je v tom rozdíl.
Vy si zkuste pingnout www.vlada.cz. To teprve uvidíte ten rozdíl. A pak zkuste pingnout 78.108.96.2. Víte, jaká IP adresa vám na ten ping odpovídá? 10.93.9.40. Pokud to nevíte, to je také IP adresa z privátních rozsahů, stejně jako 192.168.20.103. Gratuluju, právě jste prostřelil neprůstřelný NAT, a to přitom o sítích nevíte vůbec nic.Když je to jinak, tak tě vyzívám, aby jsi pingnul můj router od sebe z WWW,
To ovšem nejdřív budete muset vymyslet, co znamená „pingnout od sebe z WWW“.když je na mě teda za NATem vidět z WWW
Stále nechápete, že to, jak dobře budete za tím NATem vidět, vůbec nezávisí na vás, závisí to na vašem ISP.vystavuje mě do netu stejně jako ipv4 přidělená z veřejného rozsahu
Nevystavuje vás stejně, vystavuje vás jinak. -
NULL (neregistrovaný)
@Jirsák
"už vidím, jak někde z Afriky pingneš moji 192.168.45.489. Ha Ha Ha - když se teda za NAT neschohvám
To, že není možné pingnout neexistující IP adresu, neznamená, že jste schovaný."No, pravda, upsal jsem se a nevšiml jsem si toho 4 -> 1. Ale ty moc dobře víš co jsem tím myslel.
"10.93.9.40"
Co odpovídá je jedno - tak zkus pingnout 10.93.9.40 a uvíme jak ten NAT prostřelíš.
"To ovšem nejdřív budete muset vymyslet, co znamená „pingnout od sebe z WWW“."
Abys mě pingnul od sebe z kompu přes " „internet“ nebo „net“ " nebo odkud chceš, třeba tvůj server
MImochodem
" Např. momentálně píšu ze sítě UPC a modem/router má přidělenou veřejnou IPv4 adresu" - na co když je to přece jedno?
-
Filip JirsákStříbrný podporovatel
Co odpovídá je jedno - tak zkus pingnout 10.93.9.40 a uvíme jak ten NAT prostřelíš.
Ach jo, vy opravdu nechápete vůbec nic. Za tím NATem je je nějaký počítač, který má IP adresu 10.93.9.40. Kdybyste u něj seděl vy, chlubil byste se, jak jste schovaný za NATem a nikdo se k vám nedostane. Přitom ale na tu IP adresu je 1:1 mapovaná veřejná IP adresa.
Vy ignorujete, že útočník může být za tím NATem s vámi, nebo může mít pod kontrolou počítač, který je za tím NATem s vámi. Ignorujete, že existují techniky, jak se přes NAT dostat. A ještě navíc si myslíte, že když nevíte o žádném mapování z veřejné IP adresy na vaši privátní, že takové mapování neexistuje.Abys mě pingnul od sebe z kompu přes " „internet“ nebo „net“ " nebo odkud chceš, třeba tvůj server
A kde se tam vzalo to WWW? Už víte, co to znamená?na co když je to přece jedno?
On tu někdo tvrdil, že je to jedno? Já celou dobu tvrdím, že NAT je pro oprávněného uživatele zbytečná komplikace, ale pro útočníka to není žádná překážka. -
NULL (neregistrovaný)
"Za tím NATem je je nějaký počítač, který má IP adresu 10.93.9.40. . . . Přitom ale na tu IP adresu je 1:1 mapovaná veřejná IP adresa . . . "
A to tak má každý a každý ISP nebo jenom tento který jsi vybral, co? ;-)
"Ignorujete, že existují techniky, jak se přes NAT dostat"
A na co jsou, když je to jedno a není potřeba se přes NAT někam dostávat protože je všechno veřejné, viditelné a jasné?
"jak jste schovaný za NATem >>>a nikdo se k vám nedostane<<<<"
"nevíte o žádném mapování z veřejné IP adresy na vaši privátní, že takové mapování neexistuje."To tvrdím kde?
"útočníka to není žádná překážka"
Na co máš teda tu veřejnou ip? Však je to mapované, není to vůbec žádná překážka . . .
-
Filip JirsákStříbrný podporovatel
A to tak má každý a každý ISP nebo jenom tento který jsi vybral, co? ;-)
Podstatné je to, že to tak můžete mít i vy, a nijak to neovlivníte ani o tom nemusíte vědět.není potřeba se přes NAT někam dostávat protože je všechno veřejné, viditelné a jasné?
Tvrdí kdo?To tvrdím kde?
Předpokládal jsem to, aby ty vaše výroky dávaly aspoň nějaký smysl. Uznávám, že je neopodstatněné hledat smysl ve výrocích o sítích u člověka, který neví, jaký je rozdíl mezi internetem a www.Na co máš teda tu veřejnou ip? Však je to mapované, není to vůbec žádná překážka . . .
Asi vás to překvapí, ale servery provozujeme primárně pro uživatele, ne pro útočníky. Vy možná doma nemáte dveře, protože okno zlodějům stačí… -
NULL (neregistrovaný)
"Podstatné je to, že to tak můžete mít i vy, a nijak to neovlivníte ani o tom nemusíte vědět."
A nebo nemusí. Tak má to tak každý ISP pro všechny? Koho by to napadlo, že webový server bude mapovaný na ip z veřejného rozsahu když má odpovídat na dotazy. Už ses na 10.93.9.40 dostal?
"není potřeba se přes NAT někam dostávat protože je všechno veřejné, viditelné a jasné?
Tvrdí kdo?"Ty. Tak tvrdíš mi tu že NAT není žádná překážka, dokonce se dostáváš na 10.93.9.40 za NATem, nebo zde
" Já celou dobu tvrdím, že NAT je pro oprávněného uživatele zbytečná komplikace, ale pro útočníka to není žádná překážka" - žádná překážka přece, ne?"Uznávám, že je neopodstatněné hledat smysl ve výrocích o sítích u člověka..."
Ano, možná by jsi se měl víc soustředit na to co chce člověk říct a ne na to, za co se dá popotahovat. No, už jsme se od "veřejná ipv6, kterou ISP zpřístupní, je to samé jako ipv4 z priv. rozsahu v nějaké podsíti" k "musí to být mapované", tak uvidíme co dál . . . .
"Asi vás to překvapí, ale servery provozujeme primárně pro uživatele, ne pro útočníky"
To mě nepřekvapuje. Ale nevím, na co bych neměl zavírat okno, když už zamykám ty dveře a bytný (ISP) zamyká vchodové.
-
Filip JirsákStříbrný podporovatel
A nebo nemusí.
V tom případě nechápu, co řešíte. Normálně si pořídíte veřejnou IPv4 adresu, prohlásíte „nechť útočník neexistuje“ a máte vyřešeno. To samé s IPv6. Když bezdůvodně spoléháte na to, že vás ISP chrání na IPv4, proč se úplně stejně nespolehnete na téhož ISP i s IPv6?Už ses na 10.93.9.40 dostal?
Samozřejmě. Jak bych asi jinak znal tu privátní IP adresu?Tak tvrdíš mi tu že NAT není žádná překážka
Netvrdím. Tvrdil jsem, že pro útočníka není NAT žádná překážka. Ve srovnání s tím, co musí překonat jiného.dokonce se dostáváš na 10.93.9.40 za NATem
Ano, dostávám. Akorát je to trochu nepohodlné.Ano, možná by jsi se měl víc soustředit na to co chce člověk říct a ne na to, za co se dá popotahovat.
Já se nesoustřeďuji na to, za co by vás bylo možné popotahovat. Jenom jaksi z některých vašich výroků je zřejmé, že neznáte základy. Problém není v tom, že bych nerozuměl tomu, co chcete říci – problém je v tom, že s tím minimem vašich znalostí v oblasti sítí nerozumíte tomu, proč jsou vaše tvrzení nesmyslná.Ale nevím, na co bych neměl zavírat okno, když už zamykám ty dveře a bytný (ISP) zamyká vchodové.
Ne, vy necháváte dveře do bytu dokořán a vchodové dveře jsou zavřené, zamčené či otevřené dokořán podle toho, kdo zrovna šel poslední a jestli nepotřeboval nechat otevřeno. A vy úzkostlivě zavíráte okénko na záchodě v 8. patře a libujete si, jak jste něco udělal proti zlodějům – protože co kdyby se náhodou nějaký zloděj vůbec nepodíval na dveře a rovnou se rozhodl, že vás vyloupí tím záchodovým okénkem. Proti takovému zloději jste dokonale chráněný. Teda pokud ho nenapadne to okénko rozbít. -
NULL (neregistrovaný)
"Už ses na 10.93.9.40 dostal?
Samozřejmě. Jak bych asi jinak znal tu privátní IP adresu?"Haha . . . Ne že ti opovídá, ale jestli na "10.93.9.40" dokážeš něco poslat? Asi ne že. A dokázal bys něco poslat na "10.93.9.40" kdyby to měla veřejnou ipv6?
A kolik % těch domácností v ČR má teda mapované veřejné ipv4 stejně tak jako ten tvůj příklad "10.93.9.40"?
Ale v pohodě, host s veřejnou ipv6 nebo privátní ipv4, co na tom . . .
-
Filip JirsákStříbrný podporovatel
Haha . . .
Vaše komentáře nejsou k smíchu, spíš k pláči.Ne že ti opovídá, ale jestli na "10.93.9.40" dokážeš něco poslat?
Mohl byste alespoň rámcově nastínit, jak by mi něco mohlo odpovídat, kdybych tam nedokázal nic poslat? Asi mám malou fantazii, ale podle mne samotné slovo „odpověď“ je definováno jako „reakce na příchozí zprávu“.Ne že ti opovídá, ale jestli na "10.93.9.40" dokážeš něco poslat? Asi ne že.
Jak „asi ne“? Čemu nerozumíte na tvrzení, že se tam dostanu? Odpovídá na ping, přihlásím se tam přes běží tam SSH server na portu 22, webové servery na portu 80 odpovídá webový serverApache/2.2.22 (Ubuntu), na portu 8080 odpovídá webový serverJetty(9.4.1.v20170120), na portu 25 odpovídá SMTP server220 kazbunda ESMTP Postfix (Ubuntu).A dokázal bys něco poslat na "10.93.9.40" kdyby to měla veřejnou ipv6?
Ono to má i veřejnou IPv6 adresu. Ale není v tom rozdíl, ty porty jsou úplně stejně dostupné přes IPv4 i IPv6.A kolik % těch domácností v ČR má teda mapované veřejné ipv4 stejně tak jako ten tvůj příklad "10.93.9.40"?
To zařízení nemá žádnou mapovanou veřejnou IPv4 adresu. Je „schované“ za NATem přesně tak, jak to požadujete. -
Pánové, v diskusi je samá mlha. Přitom stačí odpovědět na jednoduchou otázku - jaký počítač je snáze dohledatelný (napadnutelný)? Ten, který má za domácím ADSL přidělenou adresu 10.0.0.X (IPv4), nebo s globální veřejnou adresou IPv6? U routerů se samozřejmě předpokládá neupravené tovární nastavení. Zatím diskuse spíš připomíná parlament, ovšem odborné znalosti autorů na Lupě plně uznávám.
-
Filip JirsákStříbrný podporovatel
Přitom stačí odpovědět na jednoduchou otázku - jaký počítač je snáze dohledatelný (napadnutelný)? Ten, který má za domácím ADSL přidělenou adresu 10.0.0.X (IPv4), nebo s globální veřejnou adresou IPv6?
Na tu otázku už tu bylo mnohokrát zodpovězeno – ten rozdíl je někde pod hranicí statistické chyby, takže nemá smysl se jím zabývat. -
NULL (neregistrovaný)
@Dytis
No jasně že je snáze napadnutelný ten s veřejnou adresou. Pokud vím, tak platí pravidlo, že služby které nepotřebuješ, máš mít vypnuté - zde veřejná ip pro většinu lidí. Přímá adresovatelnost na veřejnou ip je prostě jeden z možných vektorů útoku - ano, cílený - ale je, a naopak to nahrává každému kdo chce cílit a nechce nebo neumí hledat. Malý nebo málo pravděpodobný vektor? Ano, ale proč ho nezaříznout, když veřejnou ip nepotřebuju (nebo ten můj děda, já bych ji i využil . . . .)
-
NULL (neregistrovaný)
@jirsák
Ne že ti opovídá, ale jestli na "10.93.9.40" dokážeš něco poslat? Asi ne že.
Jak „asi ne“?" A pak zkuste pingnout 78.108.96.2. Víte, jaká IP adresa vám na ten ping odpovídá? 10.93.9.40"
Ale pingáš 78.108.96.2 ne 10.93.9.40" protože "... Přitom ale na tu IP adresu je 1:1 mapovaná veřejná IP adresa...." jak jsi tvrdil.
Tak co, kolik domácností má mapovanou veřejnou ipv4?
-
Filip JirsákStříbrný podporovatel
Ale pingáš 78.108.96.2 ne 10.93.9.40
Ne, pingám 10.93.9.40.Dál nemá smysl v téhle debatě pokračovat. Vy si klidně dál myslete, že jste neomylný; poučujte o sítích, když nevíte, co je www; a když vám napíšu, že pingám 10.93.9.40, vysvětlujte my, že mám halucinace a ve skutečnosti je to 78.108.96.2; klidně dál vkládejte diskutujícím do úst, co nikdy nenapsali. A doma se klidně vykašlete na nějaké dveře nebo snad dokonce zámky. Když porovnáte futra bez dveří a futra bez dveří, ale s cedulkou „prosím zde nekrást“, je samozřejmě hůře zabezpečený ten první vstup bez cedulky. A že zloděj, který se bude řídit tou cedulkou, je málo pravděpodobný? Ano, ale proč takového zloděje tou cedulkou neodradit.
Pokud vím, tak platí pravidlo, že služby které nepotřebuješ, máš mít vypnuté
Pro přispívání do diskusí by ale přeci jen bylo lepší službu „mozek“ zapnout. -
NULL; (neregistrovaný)
@Jirsák
" a když vám napíšu, že pingám 10.93.9.40, vysvětlujte my, že mám halucinace a ve skutečnosti je to 78.108.96.2"
Filip Jirsák 100 Bronzový podporovatel 4. 4. 2017 9:38
"
Vy si zkuste pingnout www.vlada.cz. To teprve uvidíte ten rozdíl.A pak zkuste pingnout 78.108.96.2. Víte, jaká IP adresa vám na ten ping odpovídá? 10.93.9.40. Pokud to nevíte, to je také IP adresa z privátních rozsahů, stejně jako 192.168.20.103. Gratuluju, právě jste prostřelil neprůstřelný NAT, a to přitom o sítích nevíte vůbec nic.
"To nebude o halucinacích ale o tom, že jsi konečně zjistil, jak se (nedá)dá adresovat veřejná/privátní ip pokud na tu síť z venku nevidíš. Ale každý si to může zkusit sám
$ ping 10.93.9.40
Nevím, proč když když zamykám branku (ISP), vchodové dveře (PC + firewall), tak bych měl nechávat otevřené okno. Je to jenom komplikace (otvírat, větrat, zavírat) a zloděj bytař se tam stejně dostane i přes dveře
A kolik těch ISP má teda pro každou domácnost mapovanou veřejnou ip jako ten server v tom tvém příkladě?
-
M. (neregistrovaný)
ISPíků jedoucí metodou, že každý zákazník má svoji veřejnou IP, ale ta je na hlavní bráně překládána pomocí NAT 1:1 je relativně dost (ale množina je menší, než těch, kde jsou za CGNAT typu 1:N). Tohle používají ti, co mají dost svých IPv4 adres a nechtějí e srát s data retention.
Pk jsou tací, kteří tko dávaí veřjku jen za příplatek, ale tam bych mohl vědět, zda platím něco navíc nebo ne... -
Petr M (neregistrovaný)
Být bez NATu je jako přijít do kancelářské budovy a někým na návštěvu a nikde se nahlásit.
Být s NATem je jako přijít do kanecelářské budovy, dojít na vrátnici a říct, že jdu za tím a tím. Když se někdo na vrátnici neohlásí a rovnou jde dál, tak to nikdo neřeší. Recepční není od toho, aby honila lidi po chodbě.
Až teprve turniket v podobě firewallu tě donutí jít na vrátnici sdělit, kam jdeš. A potom je jedno, jestli ti vrátný prostě otevře (bez NATu), nebo zavolá dotyčnýho, ať si tě odvede (s NATem). Provozovatel budovy má přehled, kdo je uvnitř a co tam asi dělá a ví, že se tam necourá nikdo, kdo pro to nemá důvod.
-
Petr M (neregistrovaný)
Ale to se nepopírá. Záleží na úhlu pohledu.
Dav na náměstí je na pytel, pokud máš najít konkrétní osobu.
Dav na náměstí je super, pokud tam chceš odpálit bombu.NAT je na pytel, pokud chceš s někým komunikovat napřímo bez prostředníka.
NAT je super, pokud se chceš nabořit do sítě a nezajímá tě konkrétní cíl. Probourat NAT je jednodušší, než firewall a když ho prorazíš, bereš vše... -
Filip JirsákStříbrný podporovatel
ve zjednodušené podobě je celá diskuze poněkud legrační, protože jedni a titíž lidé tvrdí, že nat je zlo, protože se za něj nedá jednoduše dostat a všichni s tim maj problém a zároveň je jako zabezpečení k ničemu, protože kdo chce se přes něj bez problémů dostane :-)
Nevím, co je na tom legračního. Představte si, že byste doma neměl dveře, jenom malé nezamykatelné okénko, kterým byste lezl dovnitř a ven. Pro vás by to bylo pěkně otravné, plazit se okénkem, místo abyste šel normálně dveřma. Pro zloděje by to naopak bylo báječné, protože plazit se takovým okénkem je pro něj normální, ale tady by naopak nemusel řešit žádné zámky nebo mříže. Ve výsledku by to tedy vám zkomplikovalo život a zloději v ničem nezabránilo – přesně jako NAT. -
M. (neregistrovaný)
Bylo by naprosto krásné, pokud by většina koncových zákazníků byla ochotna si vzít domácí router za 750 Kč. Řada jich není ochotno ani šmejd za 300 Kč, takže u řady lidí ani není a domácí router je nahrazen nastavením sítě ISP (pomíjím případ, že jsou ISP, kteří nechějí, aby lidi home router měli, že jim ho dodávají jako službu na své infrastruktuře).
Představa o tom, že pokud je děda za CGNNAT ISPíka, tak jeho router je v pohodě, to už vyvraceli jiní. Popravdě je taková situace často horší, než kdyby doopravdu tu veřejku přímo na routeru měl. On totiž v dané iluzi žije i ten ISP a u řady z nich to vypadá tak, že na tom domácím routeru natvrdo zapnul ovládání přes WAN, nechá default heslo, aby se to nepletlo a mohl router kdykoliv poladit na dálku...
Jink souhlasím, že na počet ISP v ČR (cca 2500) jich většina veřejky nedává (protože je často vůbec nemají).
Co se týče té IPv6 (a i IPv4 v podstatě), tak doporučení pro domácí router říká, že by v základu měl být aktivní stavový firewall, který dovnitř pouští jen odpovědí na spojení vzniklá z vnitřku plus ping, IPsec, MIP. Jak jsou na tom takové levné krabičky s IPv6 a firewallem v reálu, tak to jsem nezkoumal.
