Duda funcionamiento Askey 3505VW version n30 de firmware

[flasanchez]

Tras comprobar el funcionamiento de NAT Loopback en la nueva version de firmaware n30, compruebo que desde la red interna algunos puertos funciona bien y otros no. ¿Sabe alguien si algunos puertos estan reservados para gestion y demas?

Saludos

[JulioC-Movistar]

¿Qué puertos no te funcionan desde la red interna por natloopback?

[flasanchez]

El 22 y el 443, sin embargo el 80 funciona bien.

Gracias

[flasanchez]

Desde Internet, todos funcionan correctamente.

Gracias, de nuevo.

[JulioC-Movistar]

El 443 es el puerto de https y el 22 el de Secure shell por lo que por seguridad es probable que no se haga el nat loopback, lo comprobaré mañana por la mañana.

[JulioC-Movistar]

He comprobado que sí que funcionan los dos puertos, si previamente abres esos puertos en el router.

[FlavianoSanchez]

Pues yo los tengo abiertos, de hecho desde fuera de la red local funciona, pero desde dentro no.

Saludos

[JulioC-Movistar]

Ayer lo probamos y hacía NAT LOOPBACK tanto en el  22 como en el 443, para probarlo usamos el VIP, lo pusimos como servidor de esos puertos y llegabamos a el atacanto por la IP pública  Cómo comprobar si un puerto está o no bien abierto - Comunidad Movistar, si usas el firefox no te va a navegar al puerto 22, por su propia programación.

[JulioC-Movistar]

No hemos tenido más noticias tuyas, espero que tu duda haya quedado resuelta, si para pasado mañana no hemos recibido noticia en contra lo daremos por solucionado y cerraremos el hilo, si te encuentras el hilo cerrado y sigues con problemas no dudes en ponerte en contacto de nuevo con nosotros en Soporte Técnico Banda Ancha

Si consideras que alguna de las respuestas es la solución a tu duda o problema, te agradecería que la marques clicando en el botón "Aceptar como solución" con esa acción ayudarás a otros usuarios que puedan tener el mismo problema.

[flasanchez]

No he podido realizar la prueba con la aplicacion que me dijiste, espero tener tiempo este fin de  semana. El lunes sin falta pongo los resultados, pero me da que el "problema" viene debido a que si usas los puertos 22, 80 o 443 en internet y hacer NATP a los mismos puertos, desde internet funciona, pero desde la red interna NO funciona. Si los mapeas desde puertos distintos, por ejemplo 5000   --> 443, entonces si funciona bien. Como te digo este fin de semana lo pruebo con la aplicacion que enviaste y te cuento los resultados.

Saludos

[flasanchez]

Efectivamente la implementacion del NATloopback no funciona en la version n30.

Los puertos desde internet funcionan perfectamente, pero si con la misma configuracion intentas acceder desde la red interna, el router no aplica las reglas de NATP correctamente. Tras realizar un TCPDUMP en el ordenador de destino, se aprecia que no le llega ningun paquete desde la estacion de origen ni desde el router, es decir que el router no sabe despachar ese paquete, o bien se lo queda él.

Saludos

[flasanchez]

Tras repetir pruebas, usando TCPDUMP y Wireshark, compruebo que efectivamente el NATLOOPBACK no funciona cuando se usan protocolos encriptados. Ni con ssh ni con https.

Gracias.

[JulioC-Movistar]

Yo lo que comprobé es que tanto los puertos 22 como 443, poniendo un servidor en un pc de la red con esos puertos, eran accesibles desde otro pc de la red interna mandando paquetes a esos puertos, comprobé que el router si redirigía los paquetes destinados a esos puertos, pero como te dije desde un principio son puertos sensibles, son puertos de protocolos "seguros", es problable que en las comunicaciones normales dirigidas a esos puertos en los protocolos ssh y https no se encaminen correctamente, eso no lo he comprobado pero seguro que tiene una explicación basada en la seguridad.

[flasanchez]

Pues para que sirva de orientación para solventar el bug: al servidor de destino le llegan las peticiones de sync y ack, pero cuando la estación de origen empieza a negociar el cifrado, el servidor le responde, pero a la estación de origen no le llega, es decir que el router no sabe que hacer con la petición, y se la queda para él, o bien la descarga. Este apartado no le he podido comprobar por falta de acceso. No sé si accediendo por ssh se podría ver este extremo.
Saludos y espero que lo puedas remitir al fábricante para arreglarlo en próximas revisiones.

[JulioC-Movistar · Accepted solution]

Se lo remitimos al fabricante.

[JulioC-Movistar]

El fabricante ya está avisado, de solucionarse se hará en un próximo firmware, como esto puede llevar varios meses si te parece bien cerramos el hilo, estate atento a la próxima actualización del firmware, lo puedes comprobar en Firmware más actual de cada router