NAT / Port Forwarding zu OpenVPN Client

[Toxidi]

Hallo,

ich versuche gerade eine Watchguard Firewall abzulösen und ein Port Forwarding / NAT funktioniert nicht.
Port Forwarding zu Servern (Mail, NAS, etc.) ins LAN funktioniert.
Problem: Port Forwarding zu einem Webserver (Verbunden über einen Hop via OpenVPN) funktioniert nicht.

Code: [Select]

      WAN / Internet
            :
            :
            :
      .-----+-----.
      |  Gateway  |  (Router: FritzBox)
      '-----+-----'
            |
        WAN | 192.168.178.1
            |
      .-----+------.   Open VPN      .----------------------.  Remote LAN      .-------------.
      |  OPNsense  +-----------------+ Raspberry VPN Client |------------------+  Webserver  |
      '-----+------' 192.168.13.0/24 '----------------------'  192.168.52.0/24 '-------------'
            |                         
        LAN | 192.168.1.0/24
            |
      .-----+------.
      | LAN-Switch |
      '-----+------'
            |
    ...-----+------... (Clients/Servers)

Der VPN Client hat folgende Firewall Regeln, damit der Traffic (TCP, Port 8181) an den Webserver weiterleitet wird:

-A PREROUTING -p tcp -m tcp --dport 8181 -j DNAT --to-destination 192.168.52.250:80
-A POSTROUTING -j MASQUERADE

-> Bitte nicht Fragen warum das kein SSL ist und immer noch Port 80, ja ich weiß...

Der Webserver (192.168.52.250) ist aus dem LAN (192.168.1.0/24) über die IP des Raspberry (192.168.13.10:8181) erreichbar. Das Weiterleiten des Traffics an den Webserver und der entsprechende Rückweg funktionieren.
Portforwarding und Firewall Regel sind wie folgt:
Portforwarding
Interface   Proto   Address   Ports      Address           Ports      IP                         Ports
WAN           TCP            *            *   WAN address   8181      192.168.13.10     8181

WAN Regel
Protocol   Source   Port   Destination   Port      Gateway       Schedule
IPv4 TCP   *           *   192.168.13.10    8181      *                *   


Die beiden Interface LAN und OpenVPN haben die Standard ANY Regel aktiviert.
Das angehängte Log ist der Web-Aufruf von einem externen Gerät aus dem Internet.

Irgendwie stehe ich auf dem Schlauch und komme nicht weiter.
Was vergesse ich hier?

Danke im Voraus

[Toxidi]

Obwohl im Log alles OK zu sein scheint, bekomme ich nur ein Timeout am Webbrowser angezeigt...

Hat keiner eine Idee? Soll ich mehr Infos liefern?

Danke im Voraus

[JeGr]

Hey,

ja es wäre schön wenn du das nochmal bildlich zeigen könntest, was wo wie steht und was nicht erreichbar ist. Nur aus den Textdaten werde ich da irgendwie nicht wirklich schlau draus.

[Toxidi]

Hi,

ok dann erstmal ein paar Bilder im Anhang.

Der Netzplan zeigt den funktionierenden Zugriff aus dem LAN (grün) und den NICHT-funktionierenden Zugriff aus dem Internet (rot).

Ich habe nochmal ausschnittweise WAN Regel und NAT Regeln angehängt.

Das Firewall Log zeigt den Zugriff aus dem LAN und aus dem WAN auf den Webserver.
Für den Zugriff werden folgende URLs benutzt:
LAN: http://192.168.13.10:8181
WAN: http://irgendein.dyndns-eintrag.com:8181

Nochmal zur Problemstellung:
Problem: kein Zugriff aus dem Internet auf den Webserver am Interface OPT1
Ziel: Zugriff auf einen Webserver, der hinter einem VPN-Client (Interface OPT1) im Remote-LAN steht

Info bzgl. des Raspberry: Der Raspberry Pi ist notwendig, da der Internet-Anschluss am Remote-Standort nicht per DynDNS erreichbar ist. Es wird eine IP aus dem privaten Netz übermittelt, per VPN ist jedoch eine öffentliche Adresse zu sehen. Dies scheint jedoch nur der Internet-Breakout für mehrere Anschlüsse zu sein.

Ich bin für jeden Denkansatz dankbar.