Дано:
ноутбук с WinXP Sp3, 3G-модем с услугой статического имени типа [номер_телефона].dyndns.mts.by.

Необходимо:
подключиться к этому ноутбуку удалённо через Radmin.

Действия:
подключаемся к Инету, проверяем пинг на [номер_телефона].dyndns.mts.by - идёт без проблем, через nslookup вычисляем текущий IP этого имени.

Через Radmin пытаемся зайти на этот IP - подключение не удаётся, пробуем подключиться через ввод [номер_телефона].dyndns.mts.by - та же лажа.

МТС утверждает, что никакие порты со стороны провайдера не блокируются, в том числе и порт 4899, используемый Radmin-ом.

Пробуем всё тоже в той же конфигурации, но не через 3G, а просто по локалке через Ethernet - Radmin подключается на ура, значит никакие файерволы и антивири ничего не блочат в обеих точках.

Пробовался также Ammyy Admin: через ID (с помощью инет сервера Ammyy) подключение проходит, через IP или [номер_телефона].dyndns.mts.by снова тишина. Но что удивило, Ammyy в поле текущего IP показывает не вычисленный нами адрес по [номер_телефона].dyndns.mts.by, а 192.168.1.100.

TeamViewer или Ammyy, работающие через свои ID, юзать не хотелось бы. В идеале настроить бы Radmin на прямое подключение через [номер_телефона].dyndns.mts.by.

Есть у кого-либо соображения по этому поводу ?

порты не режет, а протоколы - запросто...
Погугли, какой протокол нужен радмину... Потом задай вопрос ТП.

Сотовые операторы очень любят использовать NAT. Посмотри - у твоего ноута адрес случайно не серый?

(2)
а как это проверить ?

На ноуте командой ipconfig посмотрите, какой адрес получило ваше модемное соединение

(4)
ок, но это только уже завтра смогу проверить, отпишу тут

(5)А чего там проверять?
Ни один сотовый оператор не дает белый адрес по умолчанию.
Только серые.
Чтобы получить белый надо написать заявление, подключить услугу, которая понятно далеко не бесплатна.
Так что у вас гарантированно серый адрес, ежели вы специально не подключали белый.
А к серому адресу подключится извне нельзя.

(6) В (0) что-то про таинственную услугу "статического имени" говорилось. Интересно, что под ним понимается?

(7)Ну я так понял что таинственная услуга это доменое имя  третьего уровня выданное сервисом dyndns или подобным ему.
Оно понятное дело вполне себе статическое, и белое по определению.

(8) Непонятно, в чем смысл сей услуги при сером адресе)

(9)Много людей путают такие вещи как реальный адрес и статический адрес.
Т.е ежели статический значит все хорошо.

(10) По элементарной логике, раз ему выдали имя, то даже если у него серый адрес на устройстве, NAT должен все пакеты, привходящие на [номер_телефона].dyndns.mts.by, на этот серый адрес перекидывать. Иначе какой смысл в имени?

(0) антивирусного ПО / фаера на винде нет? Подключения снаружи не могут быть заблокированы?

+ (12) локалка это другое, как правило входящие подключения по локалке не блокируются, особенно если подключающийся в той же подсети. А вот из другой сети - надо проверять.

(10)Как ты представляешь реализацию этого?
[номер_телефона].dyndns.mts.by это всего лишь доменное имя которое резолвиться в ip. Поскольку у абонента серый адрес, то резолвиться оно в ip шлюза провайдера.
В результате Radmin стучится на шлюз провайдера а шлюз его конечно же посылает подальше.

а что, на ноуте ipconfig не сказать и не посмотреть, что там за адрес?
Тора не одобряет?

(14) Немедленно прекрати разговаривать сам с собой!

(11) По логике он должен быть белый, ибо на серый хрен че перекинешь

(17) Да без проблем. Если на провайдере прописать....

(14) Представляю очень просто. Входящее подключение стучится по имени. NAT провайдера кидает пакеты на комп с радмином, подменяя адрес шлюза с NATом на адрес отправителя. Радмин принимает подключение и в рамках этой сессии отправляет ответ по адресу отправителя. Далеее все работает обыкновенным образом.

+ (19) более того, такая схема существует у многих проводных провайдеров, в частности у Сумтела я имел адрес 10.X.Y.Z на своем роутере, но при этом имелся вполне приличный белый адрес, пакеты с которого на мой роутер исправно приходили.

(19)Бред. Прочитай как работает нат.
NAT перекинет входящий пакет во внутреннюю сеть только в одном случае - если это ответ на запрос.
Т.е отправляем запрос, и прокидываем ответ во внутренню сеть.
А без предварительного запроса из внутренней сети он ничего прокидывать не будет.

(18) (20) При такой схеме, я так понимаю, проги типа no-ip и dyndns нифига не работают?

(21) Теоретически возможно, таким образом и работает зона DMZ

(23) Хотя нифига, откуда провайдер узнает, на какой внутренний IP долбятся из вне..

(21) ой... У меня на рутере тоже нат... Но как-то внутренние адреса спокойно отвечают на запросы извне...
Может, лучше жевать?

(20) То есть это трансляция один в один реального адреса в серый? А в чем смысл такого гемора? Упрощение маршрутизации у провайдера за счет усложнения обработки пакетов? Абсурд какой-то.. Что мешает в этом случае просто дать клиенту реальный адрес?

(25) Каким образом извне разделяют на какой внутренний IP надо ломиться?

(26) vpn юзай но на одном компе должен быть белый ip можно динамический главное что из инета доступен был по ping'у

Какие схемы, всегда есть внешний ip стат либо динам, он идет либо на модем-роутер, либо на комп пишется сразу. Во втором случае сразу все робит, в первом случае надо делать проброс портов с внешнего ip на внутренний-локальный.

(26)Да тут дело не в смысле, это просто невозможно.
Вообще порт это числовой идентификатор в пакете который определяет конкретное приложение на хосте.
Если стоит нат то он использует порты для идентификации хостов за натом.

(27) правило на роутере - не?

(31) значит надо перекидывать порты, а это не всегда возможно и удобно. Если у тебя в сетке 3 компа и мне надо по 80му порту зайти на каждый из них?

(26) В моем случае да, мост, потому что я себе включил услугу за 100 руб/мес. А у остальных вот этот белый адрес постоянно меняется, может меняться чуть ли ни при каждом новом подключении. Как я понимаю, смысл в том что один белый адрес может использоваться несколькими клиентами, сидящими на серых адресах.

(29)Чего то ты понапутал.
Внешний ip есть не всегда. Часто есть только внутренний ip который не маршрутизируется во внешнюю сеть.
У сотовых операторов по умолчанию всегда выделяется серый адрес вида 192,,, или 10... и тому подобное.

(32) 3 порта

(30) Ну почему невозможно.. На роутере (который имеет реальный адрес) можно настроить полный проброс всех портов на серый адрес клиента. Соответственно и наоборот, при отправке от клиента подменять адрес на адрес роутера.

(33)В твоем случае тебе выделили белый адрес и прокинули его на твой серый. Т.е у тебя есть белый адрес.
А вот остальные сидят на серых адресах и ходят всей толпой с ОДНОГО белого адреса.

(37) так чему это противоречит? У (0), полагаю, та же ситуация. Он за имя заплатил, и входящие пакеты так же пробрасываются на его серый адрес.

(36)Я имею ввиду невозможно если клиенту не выделен персональный белый адрес.
Если выделен то можно либо маршрутизировать, либо пробрасывать один в один. Но адрес нужен.
А по умолчанию все клиенты сидящие на серых адресах ходят в интернет с общего белого адреса, т.е белый адрес есть но он один на всех, это адрес шлюза.

(35) порт один-80й

(37) Ну возможен вариант "дали отдельный белый адрес для выхода", но про вход никто ничего не говорил.. то есть, при подключении к интернету например веб-сервера будут всегда получать запросы от одного адреса, привязанного к клиенту. Но это не значит, что входящие пакеты на этот белый адрес будут перенаправляться клиенту на серый.. Такой вот "полустатический полубелый адрес")

(41) а кому и зачем это может быть надо? Вроде везде принято идентифицировать клиента по сертификату, имени, паролю, но что-то я не припомню чтобы по IP-адресу идентифицировали кого-то

разве что на форумах банить :)

(38)А, понятно. погуглил насчет dyndns.mts.by
Это оказывается сервис сотового оператора, действительно выделяет белый адрес. И стоит эта услуга аж семь косарей.
Так что похоже белый адрес есть у топикстартера.

(44) про что я и говорю. Пусть фаер свой проверяет и/или антивиря

(35) (40) вы оба спутали друг друга:) если из вне надо конектится на 80 внешний - то никак, эт если в клиенте нельзя менять порт, т.е. По рдп сразу к трем локальным не получиться, а если просто к 80 внутреннему - то да, три правила 81-80 82-80 83-80

Т.е тут даже не белый адрес а хитрая схема с прокидыванием.
Т.е в интернет он будет ходить все равно с общего для всех белого адреса.
Но провайдер все пакеты приходящие на это имя будет транслировать на нужный серый адрес.
Этакая помесь из прокси и ната.

(47) сейчас это довольно распространенная схема. В регионах я ее уже не раз встречал у разных провайдеров.

"Но что удивило, Ammyy в поле текущего IP показывает не вычисленный нами адрес по [номер_телефона].dyndns.mts.by, а 192.168.1.100"
А тут мегаодмины спорят, уж не серый ли IP  у автора...

(47) А имя то здесь при чем? Оно к маршрутизации отношения не имеет..

Ну и может у него модем-роутер, вот белый и сидит на модеме, надо прописать 4899 внешний на 4899 локальный ip компа

(46) я это понимаю прекрасно

(50) с именем больше гибкости в плане того, что можно перенастраивать DNS и менять IP.

(45)Нет.
Не фаервол и не антивирь.
Ты прочитай внимательно (0) посмотри что он делает
Цитирую "подключаемся к Инету, проверяем пинг на [номер_телефона].dyndns.mts.by - идёт без проблем, через nslookup вычисляем текущий IP этого имени. "

Т.е топикстартер отправляет узнает айпишник в который резолвиться имя и шлет туда запрос.
Запрос естественно идет лесом.
Ибо провайдер пробрасывает только пакеты пришедшие на конкретное имя, а не на адрес.
Так же как допустим десять сайтов на одном айпи висят.
По айпи туда смысла нет ломиться.

(50)Не имеет.
Но в данном случае похоже сделан гибрид из прокси и ната.
Т.е запросы приходящие на конкретное имя нат пробрасывает на серый адрес.

Мне ещё раз повторить про ipconfig на ноуте?

(56) да, и еще раз внематочней прочти (5)

(54) Что значит на конкретное имя, а не адрес? Ты бухой?

(55) ну или не совсем чистый эксперимент, например IP, полученный от nslookup, стал неактуален пока автор выполнял манипуляции. Мне все-таки кажется что dyndns имя рулетит кучку белых адресов, с которых обеспечивается проброс на внутренний IP

"внутренний" = серый на 3G модеме

(58) Открой для себя, например, виртуальные сервера апача. Там в зависимости от имени, на которое приходит запрос, идет редирект на разные адреса

(56)Ты что не видишь различия между именем и адресом.

(62) Согласен, тупанул, наверное я бухой! Простите ребенка))

Думаю тут вся фишка в реализации этого зоопарка у провайдера.
Т.е белый айпи на устройство не выделяется.
Проброс идет по имени.
Значит будут работать сервисы работающие по http  и только.
Все остальные сервисы, которые нифига не знают про http идут лесом.

(64) да ну, это криво до предела. А если он VPN решит по этому имени прокинуть? За семь штук не имеет права, что ли? А FTP сервер поднять?

(65) 7000 БЕЛОРУССКИХ деревянных, я не знаю сколько это, но наверное не много))

Ладно, ребят, спорьте дальше, я спать. Пока что я больше чем уверен, что у него на компе проблема. Скорее всего фаер входящие соединения с внешней сетки не пускает на нужный порт.

(66)
70 центов )))

(67)
по поводу брандмауэров - отключены как службы на обеих концах, по поводу антивирей - на обеих концах Kaspersky Endpoint Security 10.2. На компе, к которому стучусь, пробовал отключать каспера вручную, но это ничего не дало. На компе, с которого стучусь, отключить каспера возможности нет, он работает через NetAgent и заблокирован им.

Мораль сей басни такова Radmin хорош для локалки.
А для доступа через интернет надо пользоваться идеологически правильными сервисами типа Тимвьювера.
А ежели за данные сцыкотно, то поднимать  свой впн сервер гед нибудь на виртуальном сервере.

(68)А кстати какой у тебя 3g модем? Что он из себя представляет? Как выглядит? Как подключается?
Я к тому что может это совсем не модем, а роутер? Такого не может быть?

Если выделяется имя в DNS-е, то должен выделяться и белый адрес. Так как для подключения по доменному имени сначала отправляется запрос к DNS-серверу, чтобы узнать, какой IP-адрес соответствует указанному имени (также не забываем, что некоторое время ответ будет кеширован локальным DNS-сервером и будет возвращаться повторно).
Если мы используем http-протокол, то имя также передаются и в запросе файла (имя сервера), но никто не обещает, что эти имена вообще должны совпадать.
В случае общего TCP-протокола, мы подключаемся на Ip-адрес и в какой-то порт. Кто подключается - неизвестно, так как он доменное имя в своём подключении не передаёт.
Теоретически, провайдер может выдать ответ о соответствии DNS-имени какому-то (любому) адресу, а потом, в течении времени кеширования и хранения ответа на цепочке DNS-серверов переадресовывать все приходящие пакеты на этот адрес.
Другого способа быть не может, так как запрос о DNS-имени придёт гарантированно с другого IP-адреса (DNS-сервера в цепочке), а у того, кто подключается, чаще всего своего DNS-сервера нет.

+
Конечно, было бы логичнее выдавать отдельный реальный Ip-адрес каждому клиенту, но тогда нужно столько адресов, сколько клиентов подключили услугу.
С другой стороны, если все будут часто использовать реальные адреса, то пул адресов может быть просто израсходован, если клиентов оказалось больше чем адресов.

Кстати, вы мне лучше на другой вопрос ответьте - если есть два модема, скажем этих "яйцеголовых", то можно ли установить связь между двумя серыми Ip-адресами ?

(0) Была такая же ситуация. Модем Мегафона+ белый ИП. Необходимо было организовать Видеонаблюдение по ИП. Оператор  выдал ИП одни, но когда проверяли симки то ИП были совершено другие.=( После разговора с ТП оператора все отрегулировали и все заработало

(0) 4899

А вы смелый, обычно этот порт меняют :)

Лучше для таких дел использовать

http://www.ammyy.com/ru/
или
Скайп - там есть опция, показать рабочий стол
или
http://www.teamviewer.com/ru/products/remotecontrol.aspx
У этого вивера, по сети гуляет версия № 4, там можно коннектиться на халяву, без ограничений :)

(75)А зачем менять порт?
(76)Сказки не рассказывай про тимвьювер, что можно коннектится на халяву и без ограничений.

(77) Ну типа из соображений безопасности, чтоб не забрутфорсили

(68) KES стоит у меня. У него есть свой собственный фаер, и он по умолчанию как раз-таки блокирует входящие соединения. В том числе из локальных подсетей, которые не относятся к текущей. Но временное закрытие антивируса должно в такой ситуации помочь...

(78)А чем поможет смена порта? Злоумышленник типа не догадается что он на другом порту?

(80) есть куча придурков, которые ломятся на известные порты (SSH, Radmin). У меня фаер иногда их пачками откидывает с разных адресов.

(70)
USB модем Huawei E3131s-1

сделай обещанный ipconfig
http://2ip.ru
попингуй свой внешний ip

(4)
после подключения по 3G ipconfig выдал:
IP - 192.168.1.100
маска - 255.255.255.0
шлюз - 192.168.1.1

вот такие пироги :))

(84)а точно смотришь 3G шное подключение? а то может подключение по локальной сети?
модем вроде без функции роутера

ipconfig /all
вот так давай лучше по всем адаптерам

(85)
локалка там не подключена сейчас

(86)
ipconfig /all

wifi и проводной Ethernet отключены
есть только

Описание - Windows Mobile Based Internet Sharing Device
DHCP включен
Автонастройка включена
IP 192.168.1.100
маска 255.255.255.0
основной шлюз 192.168.1.1
DHCP сервер 192.168.1.1
DNS сервер 192.168.1.1

Вообще-то прямой ip - это платная услуга. У МТС она, например, называется Real IP и стоит 100 руб./мес.

http://www.mts.ru/mobil_inet_and_tv/internet_comp/archive/real_ip/

Услуга «Статическое имя» позволяет закрепить за номером абонента статическое доменное имя вида 375xxххххххх.dyndns.mts.by.

Вне зависимости от присвоенного IPv4 адреса абонент будет доступен из любой точки сети Интернет по указанию своего выделенного доменного имени.

(88) Единственное, фиксированный они не дают, только какой получится при подключении из диапазона:

Важно: В настоящий момент фиксированный реальный IP-адрес не предоставляется: при каждом выходе в Интернет предоставляется реальный IP-адрес из определенного диапазона.

http://2ip.ru
попингуй свой внешний ip - пинг идет?
если идет, зайди тогда в модем в браузере через 192.168.1.1
поищи там раздел по пробросу портов
сделай правило внешний 4899 - 192.168.1.100:4899
хотя странно кто выступает сервером DHCP - функции роутера вроде бы нет у твоего модема

можем по 192.168.1.1 в браузере и не в модем попадаешь ?

(91)
на внешний IP пинг проходит

192.168.1.1 - явно вебморда модема, из настроек там совсем скудно: смена PIN, выбор профиля из 1 пункта MTS, автопоиск сети и автоподключение. Всё, никаких пробросов, как в ADSL модемах, нет и в помине.

(92) У модемов веб-морд не бывает. Может, у вас роутер все-таки, а не модем? Как называется устройство и какая модель?
Если у вас роутер и к тому же без настроек - надо рассматривать вариант приобретения именно модема (USB-свистка) и втыкания его в нормальный роутер, который все умеет. Или в комп.

это троллинг от mts.
"абонент будет доступен из любой точки сети" - модем доступен? доступен. а destination nat никто не обещал :)

для интереса сделать tracert куда-нибудь на 8.8.8.8
и посмотреть в каком месте встречается адрес, который резолвится по xxххххххх.dyndns.mts.by.

(93)
USB модем Huawei E3131s-1

(96) твой с веб-мордой и dhcp у него есть :)
можно перевести режим модема
попробуй у тебя заходит в доп. настройки - по прямым ссылкам вот таким:
http://192.168.1.1/html/nat.html
http://192.168.1.1/html/virtualserver.html

вот полный список доп фич, там же в теме есть и про перевод в режим модема.
1) если заходит в доп опции - там настрой проброс:
внешний 4899 - 192.168.1.100:4899
2) если не выход пункт1, переведи в режим модема

http://4pda.ru/forum/index.php?showtopic=444393&st=320#entry30180363

(95)
http://i64.fastpic.ru/big/2014/0829/c6/7bcbd8b2ef4939469850e05d84b9cbc6.jpg

(97)
по http://192.168.1.1/html/nat.html даёт вариант из выбора конического или симметричного NAT

по http://192.168.1.1/html/virtualserver.html даёт меню "виртуального сервера" вида
название-WAN порт-IP адрес LAN-порт LAN-протокол-статус-опции
и кнопка Добавить

http://192.168.1.1/html/virtualserver.html
ну вот оно и есть, прописывай там проброс
4899 4899 192.168.1.100

либо скрин выложи

смысл то понятен думаю, перенаправлять внешние запросы на локальный комп (ip)  на требуемый порт локального компа.

Такс, прописал проброс в http://192.168.1.1/html/virtualserver.html

Пробую зайти по IP, вычисленному через nslookup, возвращает адрес 194.158.***.*** и по нему Radmin никуда не заходит.

Пробую вычислить IP через http://2ip.ru/lookup/, возвращает уже не 194.158.***.***, а 178.168.***.*** и Radmin по нему наконец-то зашёл на ноут. УРА ! :))

Вообщем работает, только слегка непонятна свистопляска с IP.

А по [номер_телефона].dyndns.mts.by вовсе пропал пинг о_О

Ну вообщем разобрались наконец-то:
локально по nslookup [номер_телефона].dyndns.mts.by возвращает 194.158.***.***, это как оказалось принудительно прописанный у нас DNS ADSL-провайдера с фильтрацией трафика, а не реальный IP адрес по имени [номер_телефона].dyndns.mts.by.

Через http://2ip.ru/lookup/ возвращается уже реальный на текущий момент адрес 178.168.***.***, к которому после прописывания проброса в http://192.168.1.1/html/virtualserver.html, уже имеет доступ и Radmin.

Вот такое заключение.

Бегинеру огромнейшее спасибо и низкий поклон за помощь ;)
Спасибо всем участвовавшим в обсуждении.

(93) "У модемов веб-морд не бывает. "
Слишком сильное утверждение и оно неверно)

(107) да, это я погорячился. До сегодняшнего дня я понятия не имел про USB модемы, которые притворяются сетевыми интерфейсами и внутри себя натят трафик с инета на этот интерфейс...