Re: acesso remoto a cameras de segurança(resolvido)

[Emmers]

Olá,
 Postei esse topico para vc experientes em acesso remoto a cameras de segurança usando o no-ip.
 Trabalho com uma rede que possui:
 
   um modem (d-link 500b geração 2) usando velox;
   um servidor (ubuntu) com duas placas de rede (um ligado ao modem e a outra para o switch de 24 portas);    
   13 computadores usando windows 7 ultimate ligados a rede pelo switch e,
   um dvr vd da intelbras com ip fixo 192.168.1.15;


O problema é que estou a dias tentando acesso remoto ao DVR e nao consigo. Configurei no DVR duas portas(37777 - porta de serviço tcp) e (9191 porta http), configurei, ainda no DVR, o ip do servidor do no-ip dando um comando ping dynupdate.no-ip.com, redirecionei as portas 37777 e 9191 no modem para o ip do DVR, criei tambem o no-ip venanciomajestosa.no-ip.info.
Consigo acessar pela rede interna por 192.168.1.15:9191, mas quando vou acessar remotamente nao dar certo.
O q deve esta acontecendo?Hein? será se tenho que redirecionar as portas no servidor tambem??? ou ta faltando alguma outra coisa?Hein???  

[zekkerj]

Olá Emmers,

Esse modem está roteado ou em modo bridge?

[Emmers]

Olá Emmers,

Esse modem está roteado ou em modo bridge?

está roteado!!

[zekkerj]

Então essa liberação tem que ser feita no modem roteado.
Com um detalhe: no modem, vc tem que liberar pro servidor Ubuntu, e no servidor Ubuntu é que vc libera pra câmera.

Quer simplificar isso? Volte o modem pro modo bridge, e conecte-se no servidor Ubuntu usando o pppoeconf. Assim vc não precisa fazer a liberação no modem.

[Emmers]

Então essa liberação tem que ser feita no modem roteado.
Com um detalhe: no modem, vc tem que liberar pro servidor Ubuntu, e no servidor Ubuntu é que vc libera pra câmera.

Quer simplificar isso? Volte o modem pro modo bridge, e conecte-se no servidor Ubuntu usando o pppoeconf. Assim vc não precisa fazer a liberação no modem.

mais na verdade, qual dessas formas é a mais recomendada??

[zekkerj]

Se vc já tem um roteador na rede interna, não precisa do modem roteado. E a maioria dos modems funciona melhor em modo bridge, é uma função a menos, força menos o processador, esquenta menos.

[Emmers]

Se vc já tem um roteador na rede interna, não precisa do modem roteado. E a maioria dos modems funciona melhor em modo bridge, é uma função a menos, força menos o processador, esquenta menos.

>
tenho um modem roteado ligado a um servidor dhcp e samba com duas placas de rede
nesse caso se mudasse para bridge nao alteraria o funcionamento do dhcp e do samba?

[zekkerj]

Depende. A parte que liga à rede externa mudaria,  a parte ligada à rede interna não.

[Emmers]

queria tentar primeiramente em modo route, eu acho q seria mais arriscado mudar o q ja tem aqui.
peço a sua compreensao e caso nao der certo agente pode tentar em modo bridge.
agora vamo pro q interessa. queria que vc me dissesse como fazer
1º liberar as portas no modem e redirecionar para o servidor;
2º abrir as portas no servidor para o dvr;
3º etc;

[zekkerj]

1º liberar as portas no modem e redirecionar para o servidor;

Essa parte vc vai ter que ver no manual do modem.

2º abrir as portas no servidor para o dvr;

Pra cada porta a ser direcionada, adicione estas duas regras ao firewall:

iptables -t nat -A PREROUTING -p tcp --dport <porta> -i eth0 -j DNAT --to <ip do dvr>
iptables -A FORWARD -p tcp --dport <porta> -i eth0 -j ACCEPT

Mas estou supondo que o firewall do servidor já está configurado.

3º etc;

[zekkerj]

eth0 é a interface de rede local estou certo???
se estiver errado me corriga!!!!!

Não sei, em nenhum momento vc disse qual interface está ligada a qual serviço. Mas se não for essa a interface ligada ao modem, é só trocar pela outra.

[Emmers]

eth0 é a interface de rede local estou certo???
se estiver errado me corriga!!!!!

Não sei, em nenhum momento vc disse qual interface está ligada a qual serviço. Mas se não for essa a interface ligada ao modem, é só trocar pela outra.

é pq me expressei errado. minha pergunta foi para saber justamente qual interface eu irei usar na iptables, a local ou a ligada ao modem certo.
mas agora eu entendi.

[zekkerj]

A que é ligada ao modem, pois é pra direcionar o pacote quando ele entra no servidor, vindo da internet. Nessa hora, ele vai passar pela interface que te liga ao modem.

OBS: Se vc passar o modem pra bridge, a interface de entrada também muda; em vez de eth0/eth1, passa a ser a interface ppp0.

[Emmers]

zekkerj,
  Fiz tudo, entrei no navegador, de um computador da rede local, e aparece a mensagem "o internet explorer nao pode exibir a pagina da web". coloco em diagnosticar e o relatorio informa que

"O computador parece estar configurado corretamente, mas o dispositivo ou o recurso (venanciomajestosa.no-ip.info) não está respondendo"

"Contate o administrador da rede ou o provedor de serviços de Internet"

"O Windows não pode se comunicar com o dispositivo ou o recurso (venanciomajestosa.no-ip.info). O computador ou o serviço que você está tentando alcançar pode estar temporariamente indisponível".

aproveitei e postei o meu firewall do servidor(o firewall fica em um arquivo chamado etc/rc.local

#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.

# COMPARTILHA A CONEXÃO

modprobe iptable_nat
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

# BLOQUEIA PINGS E PROTEGE CONTRA IP SPOOLING E PACOTES INVALIDOS

iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
echo 1 > /proc/sys/net/ipv4/conf/default/rp_filter
iptables -A INPUT -m state --state INVALID -j DROP

#ABRE PARA A INTERFACE DE LOOPBACK E PARA A INTERFACE DE REDE LOCAL

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT

#ABRE PARA AS PORTAS ESPECIFICADAS

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

#BLOQUEIA AS DEMAIAS CONEXOES, DEIXANDO PASSAR APENAS PACOTES DE RESPOSTA

iptables -A INPUT -p tcp --syn -j DROP

#ACESSO REMOTO A CAMERAS DE SEGURANÇA

iptables -t nat -A PREROUTING -p tcp --dport 9191 -i eth1 -j DNAT --to 192.168.1.15
iptables -A FORWARD -p tcp --dport 9191 -i eth1 -j ACCEPT

iptables -t nat -A PREROUTING -p tcp --dport 37777 -i eth1 -j DNAT --to 192.168.1.15
iptables -A FORWARD -p tcp --dport 37777 -i eth1 -j ACCEPT

#LIBERA AS PORTAS DO SAMBA NA REDE

iptables -A INPUT -p tcp -s 192.168.1.0/30 --dport 139 -j ACCEPT

iptables -A INPUT -p udp -s 192.168.1.0/30 --dport 139 -j ACCEPT

iptables -A INPUT -p udp -s 192.168.1.0/30 --dport 138 -j ACCEPT

iptables -A INPUT -p udp -s 192.168.1.0/30 --dport 139 -j ACCEPT

iptables -A INPUT -p tcp -s 0/0 --dport 139 -j DROP

iptables -A INPUT -p udp -s 0/0 --dport 139 -j DROP

iptables -A INPUT -p udp -s 0/0 --dport 138 -j DROP

iptables -A INPUT -p udp -s 0/0 --dport 137 -j DROP

iptables -A OUTPUT -p tcp -s 192.168.1.0/30 --dport 139 -j ACCEPT

iptables -A OUTPUT -p udp -s 192.168.1.0/30 --dport 139 -j ACCEPT

iptables -A OUTPUT -p udp -s 192.168.1.0/30 --dport 138 -j ACCEPT

iptables -A OUTPUT -p udp -s 192.168.1.0/30 --dport 139 -j ACCEPT

exit 0

[zekkerj]

O firewall tá bacana, mas tá errado.

O que são essas regras de ACCEPT no final, se vc não tem nenhuma regra DROP ou REJECT depois delas, nem política DROP?
Os pacotes que essas regras liberam já iam ser liberados de qualquer jeito...