NAT treibt mich in den Wahnsinn :-D

[SkullCollector]

Hallo zusammen,

hier mal meine SPECS :
OPNsense 24.1.8-amd64
FreeBSD 13.2-RELEASE-p11
OpenSSL 3.0.13

Eingesetzt auf einem Dedizierten Rechner mit 4 Netzwerkkarten.


LAN Interface : igb1 : 192.168.250.1 / 16 static IPV4
Im LAN läuft der DHCP für die Range 192.168.0.2 - 192.168.255.254

So gut wie alle Geräte hier bekommen per Reservierung ihre IP zugewiesen.

Am WAN Interface (igb0) hängt ein Vigor 167 im Modem Modus (Bridged Mode) ha die IP 192.168.0.1/16
Verbindung ins I-Net wird über PPPOE durch die OPNSense durchgeführt.

Verbindung steht und soweit läuft alles.

Und nun hab ich ein Verständnis Problem.

Folgendes Scenario :
2 Aliase angelegt.
zum einen mit den Ports für Teamspeak Server
zum anderen mit der IP für den Teamspeak Server

Dann habe ich einen NAT Eintrag gemacht, Port Foward.
Interface WAN
Protocol : TCP/UDP
Source : ANY
Source Port Range : Any

Destination any
Destination Port Range from : TS3_Server_Ports
Redirect target IP : TS3_Server
Redirect target port : TS3_Server_Ports

NAT reflection : Use System default
Filter Rule association : NONE

Unter Rules im WAN Interface folgende Regel erstellt :

Action : PASS
Interface : WAN
Direction : IN
TCP Version : IPV4
Protocol : TCP/UDP
Source : any
Destination : TS3_Server
Destination Port Range : TS3_Server_Ports
Gateway : default


Ansonsten nichts verändert in dieser Regel.

WEnn ich nun versuche den TS3 Server zu erreichen, klappt das sehr gut.
Versuche ich nun aber einen anderen TS3 Server zu erreichen, lande ich entweder auch auf meinem eignen
oder aber es kommt zu keiner Verbindung.

Gleiches gilt auch für Port Forwarding auf meine internen Webserver.
Trage ich Regeln dafür ein also einmal NAT / Port Forward und die Regel im Anschluß bei den Rules. Komme ich auf meinen Server,aber ich kann ansonsten keine Webseite mehr aufrufen.

Muss ich zusätzlich zum NAT überhaupt noch eine Regel auf den WAN Interface erstellen oder ist die Überflüssig ?

Also entweder geht nur mein Server und nichts anderes, oder aber es geht alles andere und ich erreiche meinen eignen Server nicht mehr.

Habe ich da irgendwo einen Denkfehler ? Ist alles generell falsch ?


Ich verzweifel irgendwie. :-D

Danke schonmal vorab für die eventuelle Hilfe :-)
Grüße
Skully

[KHE]

Hi,

Sehe ich das richtig, das Interface igb0 ist WAN? Und du die OPNsense macht PPPoE?
So ganz kenne ich mich damit nicht aus, da ich diese Konfiguration verwende, aber WAN muss das durch PPPoE angelegte Interface pppoe0 (oder so) sein.

Gruß
KH

[uneu]

Dann habe ich einen NAT Eintrag gemacht, Port Foward.
Interface WAN
Protocol : TCP/UDP
Source : ANY
Source Port Range : Any

Destination any
Destination Port Range from : TS3_Server_Ports
Redirect target IP : TS3_Server
Redirect target port : TS3_Server_Ports

Destination any <= sollte hier nicht "WAN Adresse" stehen?

[SkullCollector]

Ich hab beides schon probiert.
Weder bei ANY noch bei WAN Address ändert sich das Verhalten der OPN Sense.

Gleiches gilt auch VOIP. Egal wie ich es konfigiere, ich krieg die Telefonnummern nicht konfiguriert.
Die Voip Ports werden an meine FritzBox durchgeleitet. Diese scheint das aber nicht zu interessieren.
Schon seit einigen Tagen kann ich nicht mehr über Festnetz telefonieren. Schön ruhig hier  ;D

Und ja das WAN Interface wurde durch meine Auswahl PPPoE angelegt. Habe gerade nochmals den Assistenten durchlaufen lassen, da ich dachte ich hätte das bei der manuellen Einstellung nach der Installation vergeigt.

Sieht genauso aus wie vorher. Scheint also richtig gewesen zu sein.

Gruß Skully

[SkullCollector]

Hi,

Sehe ich das richtig, das Interface igb0 ist WAN? Und du die OPNsense macht PPPoE?
So ganz kenne ich mich damit nicht aus, da ich diese Konfiguration verwende, aber WAN muss das durch PPPoE angelegte Interface pppoe0 (oder so) sein.

Gruß
KH

Ja, der Rechner auf der OPNSense läuft hat 4 Schnittstellen. igb0 - igb3
igb0 hab ich als PPPoE eingestellt, hier wird dann das WAN interface auch so angelegt.
igb1 ist mein internes Interface für alles was in meinem Netz so rumschleicht :-D

[SkullCollector]

Seltsamerweise funktioniert es nun.

was ich allerdings merkwürdig finde ist die Tatsache , das ich weder Port 80 noch 443 an meinen Reverseprox weiterleiten kann der seinerseits diese anfragen zu meinen Webservern umlenken soll.

Egal was ich mache, ich lande immer auf der Sense. Wieso zum Geier hört die OPNSense auf dem WAN Interface eigentlich auf 80 / 443 ?
Wer bitte loggt sich über WAN auf seine Firewall ein und nicht über einen VPN Tunnel ?

Das ist, meines Erachtens ziemlich Sinnbefreit irgendwie.

[Monviech (Cedrik)]

Hier steht was du machen musst um Port 80 und 443 nutzen zu können. Am Beispiel von Caddy:

https://docs.opnsense.org/manual/how-tos/caddy.html#prepare-opnsense-for-caddy-after-installation

[SkullCollector]

Hier steht was du machen musst um Port 80 und 443 nutzen zu können. Am Beispiel von Caddy:

https://docs.opnsense.org/manual/how-tos/caddy.html#prepare-opnsense-for-caddy-after-installation

Zuerstmal vielen Dank für den Hinweis. Werde ich mir durchlesen.
Was ich seltsame find , das diese Ports von Hause offen sind am Wan interface.

Danke jedenfalls für Deinen Tip.

[Patrick M. Hausen]

Was ich seltsame find , das diese Ports von Hause offen sind am Wan interface.

Sind sie nicht. Ohne ausdrückliche Regel ist an WAN alles zu.

[SkullCollector]

Was ich seltsame find , das diese Ports von Hause offen sind am Wan interface.

Sind sie nicht. Ohne ausdrückliche Regel ist an WAN alles zu.

Du hast recht, ohne regel ist alles zu. Allerdings als ich versuchte per Portforward Regel die Ports 443 und 80 auf meine Webserver umzuleiten, landete ich auf der Sense und nicht auf den Webservern.
Ich behalte das mal weiter im Auge :-)

[JeGr]

Was ich seltsame find , das diese Ports von Hause offen sind am Wan interface.

Sind sie nicht. Ohne ausdrückliche Regel ist an WAN alles zu.

Du hast recht, ohne regel ist alles zu. Allerdings als ich versuchte per Portforward Regel die Ports 443 und 80 auf meine Webserver umzuleiten, landete ich auf der Sense und nicht auf den Webservern.
Ich behalte das mal weiter im Auge :-)

Dann stimmen deine Port-Forwards nicht und die erzeugten Regeln dazu haben dann schlicht das WAN für die Ports aufgemacht, dein NAT hat aber nicht gegriffen -> darum auch die Empfehlung die WebUI genau wegen solcher Dinge weg vom Standard von 80/443 zu legen (oder/und ggf. nur auf dem Interface zu binden, auf dem man es braucht, also bspw. localhost, management und ggf. sync aber nicht auf dem WAN).

Cheers :)