Filtrovani provozu

Z KHnetWiki

Nemáte oprávnění „upravit tuto stránku“. Důvod:

Můžete si prohlédnout a zkopírovat zdrojový kód této stránky:

'''rozepsáno''' =Preambule= Spolek KHnet.info není poskytovatelem [http://cs.wikipedia.org/wiki/Internet Internetu]. Je to jenom spolek lidí, jdoucí si za svým cílem - viz. [[Dokumenty|Stanovy]]. Základní cíl je výstavba počítačové sítě mezi jednotlivými členy spolku a teprve tuto síť jako celek je cílem připojit k Internetu. A hlavním důvodem tohoto cíle je vzájemná úspora nákladů, hromadný nákup konektivity a jiných technologických služeb a jejich používání všemi členy za náklady. Obdobou sítě spolku jsou rozlehlejší sítě ve firmách. Pospojované počítače a přes jeden (či několik) centrální prvek vše připojeno k Internetu. Je to sice zjednodušený popis, ale sedí. Proto se nemůže připojení do sítě KHnet považovat za připojení do Internetu. =NAT= Aby bylo možno považovat počítač připojený k internetu, musel by mít přímo v sobě nastavenou tzv. veřejnou [http://cs.wikipedia.org/wiki/IP_adresa IP adresu] a být tak i přímo a bez různých obezliček dostupný z celého světa, z každého koutu Internetu. Jednu takovou adresu může mít jen jeden jediný počítač na světě, musí být unikátní. To ovšem u nás není. Síť jako taková funguje na tzv. privátních IP adresách, které nejsou z internetu dostupné. Právě proto, že jsou privátní, soukromé. Může je použít kdokoliv kdekoliv a nebylo by ani teoreticky možné rozhodnout, kam data z webových stránek poslat. Tedy naše síť funguje jako jeden celý mrňavounký internet sám pro sebe. Aby bylo možno komunikovat i s okolním světem, musí na bráně do Internetu probíhat [http://cs.wikipedia.org/wiki/Network_address_translation překlad adres]. V každém kousku dat se vymění privátní adresa za veřejnou. Zkratka je [http://cs.wikipedia.org/wiki/Network_address_translation NAT] (resp. PAT). Až potud by to nemuselo ničemu vadit, lze to udělat tak, aby každá privátní adresa měla svůj vlastní protějšek ve veřejné. Jenže se naráží na technické limity - zjednodušeně řečeno, veřejných adres máme málo a ani není možno získat další. Na světě (resp. v Evropě, např. v Africe ještě lze) již žádné volné neexistují. Takže to funguje tak, že všechny počítače jednoho člena spolku sdílí jen jednu veřejnou IP. A klidně může být sdílená s více členy naráz. Proto se nedá považovat připojení do sítě KHnet za připojení k Internetu. Není technicky možné udělat to, aby byl každý počítač dostupný přímo z Internetu, to lze vždy jen pro jeden. Překlady adres způsobují i jiné problémy (typicky s torrenty, FTP, obecně se všemi službami, co považují počítač za server a ne jenom za klienta). A může to být problém i v případě, kdy je na bráně vytvořen i opačný překlad adresy a počítač je v podstatě z internetu dostupný. ''Poznámka: veškeré možné problémy si většinou způsobují uživatelé i sami. Skoro každý má doma nějaký wi-fi router. A ten s adresami provádí naprosto to samé, co brána do Internetu v KHnetu.'' Překlad adres se netýká provozu z a do sítí podporujících projekt [http://www.czfree.net/ CZFree.Net]. Zaručené je to sice jen do takových sítí zároveň spolek do [http://www.nfx.cz NFX] a s podmínkou, že provoz jde po adresách začínajících na 10., ale je to tak. Je to jeden z důvodů, proč má u nás větší smysl než jinde používání DNS místo čistých IP pro definování přístupu ke službám. Jelikož jmeno.khnet.info je přeloženo vždy správně na IP adresu - jsem-li uvnitř sítě KHnet.info, je to 10.106.x.y, a pokud jsem jinde, tak na správnou veřejnou IP. A provoz na takový počítač jde tou optimálnější trasou. Aneb proč z Uhlířských Janovic komunikovat s Onomyšlí přes Kutnou Horu, když to jde i napřímo. =Firewall= Další důvod, proč nepovažovat síť KHnet za Internet. Ne úplně každý typ provozu naší sítí "projde". Z bezpečnostních důvodů jsou některé služby zakázány. Ať už na bráně, nebo na zařízení člena spolku. Není toho moc, nelíbí se nám to, ale museli jsme to zavést. *[http://cs.wikipedia.org/wiki/NetBIOS NetBios],[http://technet.microsoft.com/en-us/library/cc738291(v=ws.10).aspx RPC] - porty 135-139 oběma směry. Ale je povolen (možná ne všude, ale to již není naschvál) port 445, takže sdílení souborů windows funguje. *DoS služby, aneb ty co mohou způsobit problémy někomu jinému. Porty 1900 ([http://cs.wikipedia.org/wiki/Simple_Service_Discovery_Protocol SSDP]), 19 ([http://www.svetsiti.cz/slovnik.asp?hid=CharGen CharGen]), 17 (Quote of the day), 179 (BGP). *[http://cs.wikipedia.org/wiki/Secure_Shell SSH] - z historických důvodů je zakázán přístup z Internetu. Lze na žádost odblokovat, ale lepší je si službu překonfigurovat na jiný port. *[[DNS]] - je nutno povolit, chce-li někdo u sebe provozovat legitimní DNS server (což ovšem stejně nedoporučujeme) *[[NTP]] - platí to, co o DNS. *[http://cs.wikipedia.org/wiki/Simple_Mail_Transfer_Protocol SMTP] - odesílání e-mailu. To sice zablokované není, ale je prováděno počítání pokusů o odeslání emailů a teprve při vyšších počtech je takový počítač zablokován. *[https://cs.wikipedia.org/wiki/Server_Message_Block SMB/CIFS] (port 445) je zablokován od 15.5.2017, doufejme dočasně. Jde o částečné řešení problému s [https://www.lupa.cz/clanky/patecni-masivni-utok-ransomware-wcry/ ransomware WannaCry]. <del>Směrem ven do internetu lze povolit.</del> **7.6.2019 směrem ven povoleno, zůstává jen zákaz směrem dovnitř (z internetu). * Winbox (port TCP/8291) směrem z internetu od 1.4.2018. Snad jen dočasně, než odezní největší vlna "virů" na systémech Mikrotik ([https://forum.mikrotik.com/viewtopic.php?f=21&t=132499]) ** také viz [[Verze_Mikrotik]] =Cenzura= Bohužel současné právní prostředí již neumožňuje neomezený a necenzurovaný přístup k internetu. A to ani ve svobodomyslných spolcích, sdruženích nebo dokonce školách. Viz [https://www.prichazicenzor.cz/ prichazicenzor.cz]. Popsáno na stránce [[DNS]]. [[Kategorie:FAQ]][[Kategorie:Networking]]

Návrat na stránku „Filtrovani provozu“.