Verständnisfrage zu Portforwarding für eine zweite WAN IP

[awado]

Hi. Mein Hosting-Setup ist bisher recht klassisch: OPNsense mit einer WAN- und einer LAN-Schnittstelle, dahinter diverse VMs mit Portweiterleitungen dorthin. Läuft perfekt. Auf die WAN-Schnittstelle kommt nun eine zweite IPv4 (um vorübergehend einen zweiten Webserver darüber erreichbar zu machen).

Die Doku ist nicht sehr hilfreich. Sie spricht da nur von Load Balancing etc. Das brauche ich nicht. Ich habe aus den anderen Posts hier rausgelesen, dass man die neue IP als virtuelle IP der vorhandenen WAN-Schnittstelle zuweist. Danach muss eine Outbound-Regel (Source = LAN IP des Webservers, Translation Target = neue WAN IP) und entsprechend eine Portweiterleitung anlegen. Aber es mag nicht klappen.

Wo sage ich der OPNsense, dass Port 80 von der neuen WAN IP (und nicht von der Bisherigen!) auf den Webserver geht? Müssen die alten Portweiterleitungen angepasst werden, um weiterhin korrekt die alte WAN IP wie bisher zu bedienen?

Danke schon mal.

[Patrick M. Hausen]

Wie sehen die alten Portweiterleitungen denn aus? Wenn du als Ziel "any" oder "WAN IP" hast, dann musst du die anpassen, ja. Denn "WAN IP" matcht auf alle IP-Adressen am WAN-Anschluss, nicht nur die primäre. Du musst also einen manuellen Alias für deine alte WAN-Adresse anlegen und einen für deine neue. Und dann in den NAT > Port forwarding Regeln eben diese Aliase als Ziel verwenden.

[awado]

Danke für die Erklärung. Es sieht jetzt so aus, wie in den Screenshots, aber klappt noch nicht in Bezug auf die 2. WAN IP. Ich hätte gedacht, dass diese als "Source" eingetragen werden muss, da sie ja Quelle der Anfrage ist. Oder liege ich da falsch? Wird das Alias als Host oder als Network angelegt?

[viragomann]

Ich habe aus den anderen Posts hier rausgelesen, dass man die neue IP als virtuelle IP der vorhandenen WAN-Schnittstelle zuweist. Danach muss eine Outbound-Regel (Source = LAN IP des Webservers, Translation Target = neue WAN IP) und entsprechend eine Portweiterleitung anlegen.

Erster Teil ist korrekt und nötig, sofern die zweite IP nicht vom ISP auf die erste geroutet wird. Das macht man hier: Interfaces: Virtual IPs: Settings
Typ: IP Alias

Der zweite Teil ist aber nur für ausgehende Verbindungen nötig, falls du in diesen die andere WAN IP als Quelle sehen möchtest.

Es sieht jetzt so aus, wie in den Screenshots, aber klappt noch nicht in Bezug auf die 2. WAN IP.

Die Weiterleitung sollte so eigentlich funktionieren. Fehlt doch die virtuell IP?

BTW: Aliases für einzelne IP Adressen sind Geschmacksache. Du kannst ebenso gut direkt die IP-Adresse in die Regel schreiben.

Denn "WAN IP" matcht auf alle IP-Adressen am WAN-Anschluss, nicht nur die primäre.

Das ist mir auch neu. Auf pfSense war es jedenfalls nicht so.