Messages

Hi,
hast du denn auch die Firewall regeln angelegt?
was sagt die status seite?

mir gehts nur um die beiden "wan/dmz"

das sind dienste die ich anderen privaten netzen da zur verfügung stellen will/muss

ok,
akzeptiert
aber wie bekomm ich das hin das zumindest ein interface damit funktioniert?

damit haben wir schonmal ein problem wohl gefunden

es liegt meiner Ansicht nach aber nur auf den DMZ/WAN 3+4 und damit nicht öffentlichen IPs die von mir gewollte Ansprech IP

WAN 1 und WAN 2 sind bezogen auf das Natten hier vollkommen egal - sind nur der vollständigkeithalber hier

WAN 4 / DMZ 2 ist kein öffentliches netz!

Hi,
anbei ein Bildchen

in der Diskussion ist jetzt ein wenig aufgekommen das man Services ggf. über das HA Proxy als Reverse Proxy lösen könnte...

wenn die sense dann mal auf das ihr nicht bekannte 10.96.100.0/24 Netz richtig reagieren würde...

Hi,
dann ist evt. das das problem das ich zweimal ein nat von 10.96.100.2 machen will -aber auch auf einer schnittstelle lief es ja leider nicht.

die 10.96.100.x/24 ist das von mir definierte Netz nach aussen. es ist nicht existent - also virtuell und soll für alle xterne "dienstleister" und anwender gleich sein - und ja auf ver. Schnitstellen bzw. transfers
dieses 10.96.100.2/24 wird genattet z.b auf 192.168.100.2
oder die 10.96.100.200 auf die 192.168.254.200 etc.

hoffe dsa bringt etwas licht ins dunkle

WAN ist für mich alles außerhalb meines Lan
Dmz setze ich aktuell nicht ein

Also sind die hier benötigten nat Lösungen von meinem LAN auf ein fremdes LAN gedacht

in wie fern konfig?

WAN 1 10.100.42.96 / 24 WAN GW: 10.100.42.1
WAN 2 10.100.43.96 / 24 WAN GW: 10.100.43.1



Screen kann ich dir nicht machen. dann ist die kiste quasi unbedienbar bzw extrem lahm

was fehlt noch?

Es gibt auf der WAN Seite ein anders geroutetes netz
also bsp

WAN 1 193.26.38.0/22 <OPNSENSE> LAN 3 192.168.100.0/24

Angesprochen werden sollte über 10.96.100.5 die 192.168.100.5

Ich versteh das jetzt so in Summe das ich die VIP 10.96.100.5 anlegen müsste - was ich getan hatte ohne das es funktionierte

wegen den rules war auch so beachtet worden das die interne IP als 192.168.100.5 freigegeben war.

wenn dsa jetzt so richtig gewesen wäre ist es noch fragwürdiger warum es nicht lief?!

die Firewall hat dieses
(deciso gerät OPNsense A10 Quad Core Rack SSD )

sonst passt es ja

der server hat zwei Netzwerkkarten im LAN

WAN 1: Dienstleistung an andere dorthin soll ein Netz geroutet werden nicht alle
WAN 2: Externer Dienstleister der Voll-Zugriff auf einen Server braucht im LAN

dann gibts noch
WAN 3: Stand Internetleitung
WAN 4: PPOE Internetleitung

VLAN 1-5 ver. Betriebstechnische Anlagen (DDC/SPS), VIDEO, Zähler sowas
VLAN 6 Server

Reicht oder was vergessen?

Hallo
Kann ich in dem Fall leider nicht

Im übrigen ergab ein Port forward das auf der wan Seite die private LAN iP auftauchte

Zur config ich nutze Hybrid nat aber ohne manuelle Regel auf diesem wan Interface

WAN 1 IP Adresse 10.96.100.2 < (1:1)> Netzwerk 1 192.168.100.100
WAN 2 IP Adresse 10.96.100.2 < (1:1)> Netzwerk 1 192.168.100.100

Sowohl für WAN 1 und WAN 2 waren Virtual IP

Resultat - alle Anfragen gehen an die OPnsense nicht an die Ziel IP

Port Forwarding wurde versucht in Form von
WAN 1 IP Adresse 10.96.100.2 Port 21< 1:1NAT > Netwerk 1 192.168.100.100 Port 21
WAN 2 IP Adresse 10.96.100.2 Port 21< 1:1NAT > Netwerk 1 192.168.100.100 Port 21

Resultat das kam an, FTP kam aber nicht zu stande es kam die Fehlermeldung 425 vom Zielserver (Netzwerk 1)

Firewall: bei WAN 1 und WAN 2 als auch Netzwerk 1 waren erlaubt "Any!"

Es kam so fragend daher weil ich eigentlich keine Probleme mit Natten hatte bis zu dem Zeitpunkt.
Das 1:1 NAT lief vorher auf einer WAN schnitstelle (WAN 3) als ich es dann umgezogen habe also nur
WAN 1 IP Adresse 10.96.100.2 < (1:1)> Netzwerk 1 192.168.100.100
ging es schon nicht mehr.

Wenn man alles probiert und mit Wireshark dann ganz andere ergebenisse bekommt als man erwartet wird man irgendwann nervös bzw. unsicher.

https://forum.opnsense.org/index.php?topic=5110.0

weiss nicht was ich noch zur Verfügung geben kann zum debuggern

und du machst sicher viel mit :D


versteh mich nicht falsch... aber mal ehrlich NAT nur mit Workaround ans laufen zu bekommen die nicht offiziell sind ist schon weniger als suboptimal oder