em análise Acesso Remoto usando windows server 2012 R2

[Roberto275803]

Colegas,

 

A situação é a seguinte:

 

Um amigo tem uma oficina e instalou o SHOficina - 2020 para gerenciar a entrada e saídas de aparelhos. O negocio  queria um esta versão é para maquina local e ele qu eria um  acesso remoto a esta maquina de modo a consultar e cadastrar outros recebimentos de outra filial.

 

1 - foi feita uma configuração na maquina rodando windows 7 que permite acesso simultâneo de varias maquinas sem problema algum na rede interna.

2 - Tentou colocar o windows server 2012 R2 mas é muito complicado e ainda a licença muito cara. 

3 - Foi feita toda configuração de acesso remoto no windows 7 mesmo e ficou muito bom na rede interna, mas externamente sem acesso algum.

4-Configurado roteador, redirecionamento de portas como a 3389, DDNS pelo no-ip e nada de acesso. Usamos o IP interno e o externo para configurar o sistema e nada de acesso.

5-Testada pela net, pelo teste de porta aberta e o resultado sempre porta inacessível. A internet a está cheia de videos ilustrativos, mas aqui nada de acesso.

6-Aí foi feito teste radical, fechada todas as portas e bloqueio de firewell e instalado o Team Viewer e tudo OK.

 

Como este programa consegue passar por cima de tudo isto sem bloqueio algum, quando você tem um sistema operacional de servidor difícil de configurar e que não passa porta alguma.

 

Tanto trabalho de configurar roteador e o Team Viewer não precisa nada disto.

[Jack O'Neo]

@Roberto275803 É preciso saber qual o provedor de internet, e se o provedor usa apenas um ip real para vários usuários da mesma região, se este for o caso tem que averiguar com o provedor pra ver se podem disponibilizar um ip real para este cliente.

Depois disso estar verificado e ok, além de liberar a porta 3389 no modem é preciso criar uma regra no firewall do windows, ou outro que esteja ativado no lugar dele, permitindo conexões de entrada na porta 3389 sem vincular a um programa especifico, permita apenas o trafego de dados de entrada nesta porta, e tomar cuidado pra deixar a regra disponível em redes privadas, e conferir em: "Painel de Controle\Todos os Itens do Painel de Controle\Central de Rede e Compartilhamento" se a rede na qual o computador está conectado está marcada como privada.

Muitas vezes é ainda necessário desabilitar o IPV6 nas propriedades da "Conexão Local xx" para forçar o reconhecimento de um IPV4 na máquina.

 

O porém é que recentemente um cliente meu foi infectado por um ramsonware justamente em função do acesso remoto estar habilitado, por hora deixamos o acesso remoto externo desabilitado para evitar novos ataques, se insistir nessa ideia recomendo que quando tudo estiver funcionando perfeitamente mude a porta de acesso padrão 3389 para uma outra qualquer pra pelo menos dificultar a localização do pc na internet.

 

[ti.dromero]

Não compreendi muito bem, mas basicamente o que vc deve fazer é o seguinte:

 

1 - Acesse o ROTEADOR que fornece o IP a esse servidor, abra a porta 3389 e direcione ao IP do servidor (Acredito eu que essa etapa vc ja fez;

2 - Va na aba status do ROTEADOR e vera qual IP ele esta pegando pela porta WAN que esta vindo do MODEM;

3 - Acesse o MODEM, localize DMZ e insira o IP que o ROTEADOR esta pegando;

 

Fazendo dessa maneira, vc esta dizendo basicamente ao MODEM que qualquer porta que o ROTEADOR pedir pra liberar, vai passar direto.

 

Boa sorte e avise se não der certo.

[FDONATO]

@Roberto275803 Amigo, como o colega disse acima, provavelmente você está em um IP compartilhado.

um simples teste a fazer, para verificar isso, é: Vai no google e pesquisa seu seu ip, o resultado que der no google, compara com  ip que seu model/roteador, pegou do provedor na WAN, se forem  diferentes, você vai precisar pedir seu provedor, para de fornecer um IP Válido.

O restante já foi bem explanado pelo @Jack O'Neo .

Eu sou um defensor implacável de que serviços de terminal server devem ser feito implantado sempre em Windows server, pois a ferramenta já é nativa do sistema, não que não funcione em outro SO, mas os recursos são bem mais amplos.

 

Se mudar de ideia, e quiser colocar o Windows server, ponte contar comigo, só me marcar. 

[Roberto275803]

@Jack O'Neo @FDONATO A internet dele é um sistema de Radio. Eles colocam uma antena na cobertura do Edifício com varios aparelhos e depois distribui para as unidades um cabo com RJ45  e é conectado na porta wan  do roteador NETGEAR.

 

Então a conexão com a net e distribuída entre as maquinas. 

 

Em resumo temos um IP interno do Roteador e um IP externo dado pelo provedor de internet.

 

Já entramos em contato com o Provedor e eles informaram que não tem filtro, nem bloqueio algum de porta alguma.

 

Por isto não entendo pingo o IP externo de qualquer internet e ele responde, mas mesmo direcionando para a porta que foi aberta nada de acesso.

 

De Dentro da rede em pingo tudo normal, externo e todas as maquinas, mas de fora somente o externo.

 

Agora como o Team Viewer consegue fazer isto? O problema que ele não permite mais de um usuário usando a maquina.

 

[FDONATO]

@Roberto275803 Você sabe me dizer que tipo de conexão esse roteador da NETGEAR está fazendo na wan? ip fixo, dhcp, pppoe?

 

Pelo seu relato, o que parece pra mim é que: lá em cima deve haver um router principal, que faz o roteamento para outros roteadores, inclusive para esse roteador da NETGEAR, se for isso, vai precisar entrar nesse roteador principal que recebe a internet, e redirecionar a porta em questão para o roteador do netgear, ex:

digamos que o principal lá cima, (um TP-LINK) ip 192.168.0.1 esteja recebendo a internet e conectando via pppoe, e  dele sai um cabo que vai até a porta wan do seu router NETGEAR (a porta wan se conecta com o IP da Lan do TP-link Ex: (192.168.0.100) e o netgear gerencia sua rede interna e tem o ip 192.168.1.1.

 

Vai precisar logar no roteador TP-link, e nele redirecionar as portas em questão para o IP  192.168.0.100 ( WAN do router netgear) e nesse por sua vez, redirecionar a porta para o ip do servidor em questão (Ex: 192.168.1.200)

 

resumindo, se você tiver um ou mais roteadores, entre seu servidor e o router principal que se conecta ao provedor para acessar a internet, vai precisar ir redirecionando as portas de um para o outro até chegar a sua rede interna para redirecionar para o seu servidor.

 

Editado: 14 de Março de 2020 por FDONATO

[Jack O'Neo]

@Roberto275803

O mstsc da microsoft cria uma conexão direta entre a máquina externa que é o cliente e a máquina que se quer acessar, que atua como um servidor.

 

Já o teamviewer não usa uma arquitetura de cliente servidor, ele cria uma conexão de ambas as pontas a serem conectadas com um servidor no meio do caminho, é um protocolo não documentado e proprietário portanto há muito pouca informação sobre ele... No entanto com isso dito você já saca, que ambos os computadores que serão conectados entre si agem como clientes conectando a um servidor desta forma contornando a necessidade de abertura de portas e outras complicações em um dos lados para que uma das máquinas envolvidas haja como um servidor.

Imagino eu que quando a conexão é estabelecida forma-se um tunel entre as máquinas envolvidas, que até onde sei não precisam ser apenas duas.

[Jack O'Neo]

@FDONATO Hoje em dia nat sobre nat funciona é?
Na época em que eu mexia frequentemente neste tipo de aparelho (parei a uns 10 anos acho) a regra número 1 era Nat sobre Nat não funciona.

[Roberto275803]

  Em 14/03/2020 às 01:18, FDONATO disse:

@Roberto275803 Você sabe me dizer que tipo de conexão esse roteador da NETGEAR está fazendo na wan? ip fixo, dhcp, pppoe?

Expandir  

 

Eu não sei bem como funciona isto colega, mas a certeza que tenho é que se pegar este cabo RJ45 e colocar direto em qualquer notebook ele já fica conectado na internet. Não precisa de senha, login nem nada. Logo deve ser igual no roteador.

 

  Citar

 

Pelo seu relato, o que parece pra mim é que: lá em cima deve haver um router principal, que faz o roteamento para outros roteadores, inclusive para esse roteador da NETGEAR, se for isso, vai precisar entrar nesse roteador principal que recebe a internet, e redirecionar a porta em questão para o roteador do netgear, ex:

digamos que o principal lá cima, (um TP-LINK) ip 192.168.0.1 esteja recebendo a internet e conectando via pppoe, e  dele sai um cabo que vai até a porta wan do seu router NETGEAR, que gerencia sua rede interna e tem o ip 192.168.1.1.

Expandir  

 

Tem o IP externo que somente vejo no site meu ip com br - mas ele nem aparece no roteador Netgear. Em lugar algum

 

  Citar

 

Vai precisar logar no roteador TP-link, e nele redirecionar as portas em questão para o IP 192.168.1.1 (router netgear) e nesse por sua vez, redirecionar a porta para o ip do servidor em questão (Ex: 192.168.1.200)

 

resumindo, se você tiver um ou mais roteadores, entre seu servidor e o router principal que se conecta ao provedor para acessar a internet, vai precisar ir redirecionando as portas de um para o outro até chegar a sua rede internet para redirecionar para o seu servidor.

 

Expandir  

Eu Já tentei logar, mas o provedor não dar acesso de login e senha.

 

Por favor veja só o ip externo chega até aqui. Sabe explicar o que é isto?

 

Você não tem permissão para ver links. Faça login ou cadastre-se.

Editado: 14 de Março de 2020 por Roberto275803

[FDONATO]

@Jack O'Neo Amigo tens razão, no exemplo que dei acima, contém um pequeno erro, (vou editar) o roteador netgear, ip 192.168.1.1, na realidade  teria que está conectado ao principal com IP fixo, ou dhcp na WAN e ela conectaria com o IP da LAN do TP Link  ex: 192.168.0.100

ai do TP link ele redirecionaria a porta para o IP 192.168.0.100.

 

Funciona assim: O TP Link recebe um solicitação na porta 3389, que será redirecionado para o IP 192.168.0.100 adquirido pelo netgear em sua porta WAN, esse por sua vez, redirecionaria o solicitação para o endereço ip do servidor (192.168.1.200).

 

Sempre faço isso aqui, especialmente quando pego aqueles clientes que espalham roteadores para todo o lado, e empilham impressoras, storages, e etc, coisas que daria trabalho e leva tempo para reconfigurar.

[FDONATO]

@Roberto275803 Você está no local agora? se sim, faça duas coisas pra mim,

No roteador NETGEAR, na aba status veja qual ip está registrado na conexão WAN e informa aqui

Vai no google e digita meu IP e o endereço que aparecer me informa aqui.

 

o link que você me passou, abre a seguinte página:

[FDONATO]

@Roberto275803 Isso me parece ser um painel de gerenciamento do servidor de algum provedor de internet.

[FDONATO]

Caro @Roberto275803  o seu NETGEAR adquire na WAN via DHCP o ip 10.0.0.24, provavelmente seu roteador principal, tem o ip 10.0.0.1 na LAN, você precisa entrar na configuração dele e redirecionar a porta 3389 para o ip 10.0.0.24, (Isso talvez seja um problema, visto que sua operadora não lhe fornece o usuário e senha, talvez tenha que pedir eles para fazerem essa configuração pra tu.)

para que essa configuração seja permanente, tem que configurar a WAN do netgear com o IP FIXO 10.0.0.24...

 

Espero que tenha ficado claro!

[FDONATO]

Caso consiga acesso ao roteador 10.0.0.1, informe também a configuração da WAN, como fez com o roteador da netgear.

[Roberto275803]

  Em 14/03/2020 às 02:46, FDONATO disse:

Caro @Roberto275803  o seu NETGEAR adquire na WAN via DHCP o ip 10.0.0.24, provavelmente seu roteador principal, tem o ip 10.0.0.1 na LAN, você precisa entrar na configuração dele e redirecionar a porta 3389 para o ip 10.0.0.24, (Isso talvez seja um problema, visto que sua operadora não lhe fornece o usuário e senha, talvez tenha que pedir eles para fazerem essa configuração pra tu.)

para que essa configuração seja permanente, tem que configurar a WAN do netgear com o IP FIXO 10.0.0.24...

 

Espero que tenha ficado claro!

Expandir  

 

 

Por isto que o NetGear tanto responde 10.0.0.24 quanto 176.16.0.1

 

E este ip 187.44.170.210 serve para que mesmo?

[FDONATO]

  Em 14/03/2020 às 02:58, Roberto275803 disse:

E este ip 187.44.170.210 serve para que mesmo?

Expandir  

esse é o seu ip Externo "publico" é através dele que ocorre toda comunicação com a internet...

Para se conectar a um serviço na sua rede interna, exemplo a área de trabalha remota, o cliente externo (em outra internet) se conecta por meio dele.

[Jack O'Neo]

@FDONATO Nem sei no que eu tenho razão uheauheauhaeuh só perguntei porque realmente nunca vi nat sobre nat funcionar, e não faz muito tempo lembro de ter lido em algum lugar que atualmente pelo menos em alguns aparelhos funciona, aí resolvi perguntar pra alguém que tem experiência atualmente com os aparelhos...  

Eu fiquei com a impressão que havia nat sobre nat quando li o teu texto, mas nem sei se é o caso também.

[FDONATO]

@Jack O'Neo hahaha, você tinha razão porque do jeito que eu havia explicado, não iria funcionar NUNCA, kkk e graças a sua pergunta pude perceber o erro que havia cometido.

[Roberto275803]

  Em 14/03/2020 às 03:07, FDONATO disse:

esse é o seu ip Externo "publico" é através dele que ocorre toda comunicação com a internet...

Para se conectar a um serviço na sua rede interna, exemplo a área de trabalha remota, o cliente externo (em outra internet) se conecta por meio dele.

Expandir  

Realmente o problema é este. Eles tem um roteador  e um IP  publico que compartilha internet pelas unidades e faz o roteador de cada cliente assumir um IP dado pelo provedor de internet, por isto os IP´s são diferentes e fica tudo bloqueado, só funciona o TeamView.

 

Outra  coisa que notei que o sistema de câmeras de monitoramento, nesta  mesma rede, passa para um servidor na Intelbras bastando abrir determinadas portas e todos tem acesso as  imagens.

[Bruno_Borba]

Só uma dica de segurança: nunca deixe a porta padrão 3389. Ransomware vai te pegar rapidinho.