NAT Portweiterleitung und reverser Proxy - Probleme aus dem interne Netz

[shb256]

Hallo Forum,

seit heute habe ich mit OPNSense meine Fritzbox abgelöst.
Ich nutze den Vigor 130 als DSL Modem und habe bei OPNSense PPPoE eingerichtet.
Ich habe ein Portweiterleitung auf einen reversen Proxy eingerichtet. Diese funktioniert auch (von außen).
Wenn ich von Intern auf die Webseite über die URL zugreife erhalte ich im Browser einen NET::ERR_CERT_AUTHORITY_INVALID Fehler

Dies ist keine sichere Verbindung
Hacker könnten versuchen, Ihre Daten von xxx.yyy zu stehlen, zum Beispiel Passwörter, Nachrichten oder Kreditkartendaten. Weitere Informationen
NET::ERR_CERT_AUTHORITY_INVALID
Subject: OPNsense

Issuer: OPNsense

Expires on: 22.08.2019

Current date: 23.08.2018

PEM encoded chain:
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

 
Ich möchte automatisch einige Systeminformationen und Seiteninhalte an Google senden, um bei der Erfassung schädlicher Apps und Websites zu helfen. Datenschutzerklärung

Wie man sieht wird von OPNSense das Zertifikat ausgeliefert. Ich weiß nur nicht warum.
OPNSense ist noch in der Standardinstallation, also noch keine weiteren Einstellung gemacht.

Die Logs im reverse Proxy zeigen, dass die Anfrage nicht mal an kommt.
Und der Trace vom Client zeigt einen Hop an.
Hat jemand eine Idee woran das liegt?

Danke
shb

[guest17773]

Das funktioniert so auch nicht. Da hast du zwei Möglichkeiten: 1. NAT Reflect bei Hybridem NAT oder 2. einfach im DNS für die Domäne (xxx.yyy) die interne IP hinterlegen.

[JeGr]

Oder um einen Satz mehr dazu zu schreiben: Port Forwardings gelten NUR auf dem Interface auf dem sie aufliegen -> bei dir also WAN. Ein Test von Innen vom LAN ist somit nicht ohne weiteres möglich, sondern es wird dir einfach nur das Zert der WebUI zurückgeliefert (so sieht es jedenfalls aus), was bei anderem Domainnamen natürlich den o.g. Fehler produziert. Entweder also NAT Reflection anmachen - was aber auch nicht so wirklich schön ist - oder intern mittels des DNS Forwarders oder Resolvers einfach die URL umschreiben auf die interne Server IP. Das geht dann auch nicht an den Proxy - muss es dann ja aber auch gar nicht.

Grüße