NAT reflection verhindert andere Verbindungen

[kain]

Hallo,

ich versuche OPNSense für meine Bedürfnisse richtig zu konfigurieren, stoße hier aber auf ein Problem, welches ich mir nicht erklären kann.

Ich nutze auf meinem Server Proxmox als Virtualisierungslösung und setzte OPNSense als Firewall auf einer dieser VMs ein. Dabei dient OPNSense als Firewall von meiner WAN-IP (1.2.3.4) zu meinem VM Netz (192.168.1.1/24).

Um gezielt Dienste auf den VMs verfügbar zu machen, nutze ich NAT-Portweiterleitungen. Einige VMs müssen sich auch untereinander und selbst über die WAN-IP (bzw. die Domain) erreichen können. Dazu habe ich unter Firewall->Settings->Advanced die folgenden drei Checkboxen gesetzt (s. Anhang):

• Reflection for port forwards
•   Reflection for 1:1   
•   Automatic outbound NAT for Reflection

Das führt dazu, dass zwar die NAT-Reflection funktiuniert, einige andere Verbindungen aber nicht mehr. So zum Beispiel ein einfaches "apt update" auf den Linux VMs. Ich kann auch mit wget auf die meisten Paketquellen nicht mehr zugreifen:

wget  http://archive.ubuntu.com/ubuntu/dists/jammy-backports/InRelease
--2023-03-26 12:04:00--  http://archive.ubuntu.com/ubuntu/dists/jammy-backports/InRelease
Resolving archive.ubuntu.com (archive.ubuntu.com)... 91.189.91.38, 185.125.190.39, 185.125.190.36, ...
Connecting to archive.ubuntu.com (archive.ubuntu.com)|91.189.91.38|:80... connected.
HTTP request sent, awaiting response... 301 Moved Permanently
Location: https://archive.ubuntu.com/ubuntu/dists/jammy-backports/InRelease [following]
--2023-03-26 12:04:00--  https://archive.ubuntu.com/ubuntu/dists/jammy-backports/InRelease
Connecting to archive.ubuntu.com (archive.ubuntu.com)|91.189.91.38|:443... failed: Connection refused.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|185.125.190.39|:443... failed: Connection refused.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|185.125.190.36|:443... failed: Connection refused.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|91.189.91.39|:443... failed: Connection refused.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|2620:2d:4000:1::16|:443... failed: Network is unreachable.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|2620:2d:4000:1::19|:443... failed: Network is unreachable.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|2001:67c:1562::15|:443... failed: Network is unreachable.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|2001:67c:1562::18|:443... failed: Network is unreachable.
Resolving archive.ubuntu.com (archive.ubuntu.com)... 91.189.91.39, 185.125.190.36, 185.125.190.39, ...
Connecting to archive.ubuntu.com (archive.ubuntu.com)|91.189.91.39|:443... failed: Connection refused.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|185.125.190.36|:443... failed: Connection refused.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|185.125.190.39|:443... failed: Connection refused.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|91.189.91.38|:443... failed: Connection refused.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|2001:67c:1562::18|:443... failed: Network is unreachable.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|2001:67c:1562::15|:443... failed: Network is unreachable.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|2620:2d:4000:1::19|:443... failed: Network is unreachable.
Connecting to archive.ubuntu.com (archive.ubuntu.com)|2620:2d:4000:1::16|:443... failed: Network is unreachable.

Mit deaktivierter NAT-Reflection (den drei Checkboxes) funktioniert es problemlos. Angehangen noch ein Screenshot meiner Port-Forwards.

Kann mir jemand das Problem erklären und bestenfalls helfen?

Vielen Dank!