On 09/10/2020 11:43, Mateusz Viste wrote:
> Otóż nie, niczego takiego nie robi. Zapewne niektóre implementacje
> dodają do worka "NAT" jakiś firewallopodobny twór, ale nie jest to NAT.
> Rozważ poniższy schemat.
> 10.0.0.2 ---- 10.0.0.1/8 [NATBOX] 1.2.3.4/24 ----------- 1.2.3.3
> 1.2.3.3 wysyła do 1.2.3.4 ramkę zawierającą pakiet IP z src=1.2.3.3 i
> dst=10.0.0.2. W takiej sytuacji router NATBOX bez zająknięcia przekaże
> pakiet (w nowej ramce) do 10.0.0.2.

Mój nie przekazuje, kiedyś to testowałem, chwilowo nie mam setupu do
tego, ale przy najbliższej okazji sprawdzę jak wygląda domysla
konfiguracja openWRT.

do góry

On 09.10.2020 11:43, Mateusz Viste wrote:
> Otóż nie, niczego takiego nie robi. Zapewne niektóre implementacje
> dodają do worka "NAT" jakiś firewallopodobny twór, ale nie jest to NAT.
> Rozważ poniższy schemat.
>
> 10.0.0.2 ---- 10.0.0.1/8 [NATBOX] 1.2.3.4/24 ----------- 1.2.3.3
>
> 1.2.3.3 wysyła do 1.2.3.4 ramkę zawierającą pakiet IP z src=1.2.3.3 i
> dst=10.0.0.2. W takiej sytuacji router NATBOX bez zająknięcia przekaże
> pakiet (w nowej ramce) do 10.0.0.2. No chyba, że NATBOX ma również
> jakieś ACLe, ale w takim razie nie mówimy już o NAT tylko o
> filtrowaniu.

Zakładając, że takie coś jest możliwe (NATBOX przekaże) to jest możliwe
tylko dla urządzenia podłączonego bezpośrednio do NATBOXa. To dość mocno
ogranicza możliwość ataku.

--
SW3

do góry

2020-10-09 o 18:08 +0200, SW3 napisał:
> On 09.10.2020 11:43, Mateusz Viste wrote:
> > Otóż nie, niczego takiego nie robi. Zapewne niektóre implementacje
> > dodają do worka "NAT" jakiś firewallopodobny twór, ale nie jest to
> > NAT. Rozważ poniższy schemat.
> >
> > 10.0.0.2 ---- 10.0.0.1/8 [NATBOX] 1.2.3.4/24 ----------- 1.2.3.3
> >
> > 1.2.3.3 wysyła do 1.2.3.4 ramkę zawierającą pakiet IP z src=1.2.3.3
> > i dst=10.0.0.2. W takiej sytuacji router NATBOX bez zająknięcia
> > przekaże pakiet (w nowej ramce) do 10.0.0.2. No chyba, że NATBOX ma
> > również jakieś ACLe, ale w takim razie nie mówimy już o NAT tylko o
> > filtrowaniu.
>
> Zakładając, że takie coś jest możliwe (NATBOX przekaże) to jest
> możliwe tylko dla urządzenia podłączonego bezpośrednio do NATBOXa.

Niekoniecznie bezpośrednio podłączony (w sensie fizycznym), ale w tym
samym segmencie ethernetowym, tak.

> dość mocno ogranicza możliwość ataku.

Oczywiście - wątek dotyczył sąsiadów, którym najwyraźniej ISP
przypisał taką samą sieć WAN. To praktyka pozwalająca oszczędnie
gospodarować adresami. Też tak miałem (i też widziałem pakiety sąsiada,
i mogłem pingować jego "prywatne" hosty za NATem).

Mateusz

do góry

On 08.10.2020 23:57, heby wrote:

> Zasadniczo nigdy nie radziłem używania zewnętrznego MQTT,

A ja jak najbardziej używam. Swojego i szyfrowanego.
A jeśli chcesz mieć jakąś pierdółkę wyniesioną, np. czujnik temperatury
w nowo budowanym domu?

--
Mirek.

do góry