Nextcloud hinter 2 Firewalls

[JonnyKnipst]

Hey Leute,

ich habe eine ganze Zeit lang ein Nextcloud auf meinem Heimserver betrieben und auch aus dem Internet zugreifbar gemacht.
WAN -> Unitymedia ConnectBox -> Nextcloud-Server
Portweiterleitungen hierfür für 80:80 und 443:443 von ConnectBox zu Server hatte geklappt!

Nun dachte ich mir, "Probier dich mal mit OPNsense" und habe mir eine Box gebaut und dort selbiges installiert.
Mein aktuelles Netzwerkdiagramm sieht nun so aus:

Code: [Select]

      WAN / Internet
            :
            :  Unitymedia
            : (PublicIP)
      .-----+-----.
      |  Router   |  (Unitymedia ConnectBox)
      '-----+-----'
            | 192.168.0.1
            |
            | 192.168.0.2 (WAN)
      .-----+------.   
      |  OPNsense  |
      '-----+------' 
            | 10.0.10.1/24 (LAN)
            |
            | 10.0.10.11
      .-----+------.
      |  SERVER    |
      '-----+------'

Auf der ConnectBox sind die Portweiterleitungen eingerichtet:
80 -> 192.168.0.2:80
443 -> 192.168.0.2:443

Und in OPNsense:

Schnittstelle: WAN
Protokoll TCP/UDP
Quelle: jeglich:jeglich
Ziel: Diese Firewall:80
NAT: 10.0.10.11:80

selbiges nochmal für port 443

Die Regeln scheinen laut Firewallprotokoll auch zu funktionieren, jedoch schaffe ich es nicht, Nextcloud zu erreichen. Habe ich irgendwas vergessen?

OPNsense ist frisch installiert. Ich habe nur diese 2 Regeln angelegt.

NextCloud läuft auf Docker mit Reverse-Proxy und lässt sich nur über nextcloud.meinedomain.de erreichen.
Ich habe an meinem Rechner mal die Serveradresse in die hosts-Datei eingetragen, und es lokal probiert. Hier funktioniert es. Allerdings nicht aus dem WWW.

Schöne Grüße:
Jonas

[micneu]

Ok, nur leider sehe ich keine Frage, was ist jetzt dein Problem, wo brauchst du hilfe?


Gesendet von iPad mit Tapatalk Pro

[JonnyKnipst]

Ok, nur leider sehe ich keine Frage, was ist jetzt dein Problem, wo brauchst du hilfe?


Gesendet von iPad mit Tapatalk Pro

Hab versehentlich auf "Post" gedrückt, anstatt auf "Preview"
Jetzt sollte alles in dem Post drin sein

[micneu]

hast du einen dyndns eingerichtet?
oder mit deiner WAN IP von deinem Modem?
https://www.wieistmeineip.de
probiere es mal mit deiner ip die dir angezeigt wird


Gesendet von iPad mit Tapatalk Pro

[JonnyKnipst]

hast du einen dyndns eingerichtet?
oder mit deiner WAN IP von deinem Modem?

Ja dyndns ist eingerichtet und die subdomain zeigt auch auf meine aktuelle öffentliche IP. Das ganze hat soweit auch vorher alles funktioniert. Ich habe nun wie gesagt nur zwischen ConnectBox & Server OPNsense gehangen und die genannten NAT-Regeln erstellt.

Laut Firewall-Protokoll wird nichts geblockt, angeblich kommunizieren Client (mein Handy) & Server auch, allerdings baut sich die Webseite leider nicht auf.

Sind meine Regeln falsch oder funktioniert doppeltes NAT nicht so einfach wie ich mir das vorstelle?

[micneu]

hänge doch mal einen rechner per eth an das modem/router deines providers und probiere mal mit der ip die deine opnsense von deinem modem bekommen hat. so können wir eingrenzen ob die regel der opnsense geht oder nicht.

ich würde kein doppeltes NAT machen, macht nur probleme
2. könntest du die opnsense auf deinem modem als exposehost eintragen

Gesendet von iPad mit Tapatalk Pro

[JonnyKnipst]

PC am Provider-Moden:
http://192.168.0.2 -> OPNsense Box
Browser sagt: Webseite nicht erreichbar

Ich habe den Nextcloud-Stack gerade deaktiviert und einen simplen nginx-Webserver installiert.
Dachte evtl. macht der Reverse-Proxy Probleme. Aber auch hier kein Erfolg.

Im 10.0.10.0/24 wird mir die Webseite richtig angezeigt, also im "LAN"-Netzwerk
Sobald ich Anfragen von WAN schicke, egal ob aus dem Internet oder lokal, wird mir nichts angezeigt.

Firewall-Protokoll sagt nur:

Code: [Select]

lan <- Mar 9 21:46:40 192.168.0.94:49486 10.0.10.11:80 tcp let out anything from firewall host itself
wan -> Mar 9 21:46:40 192.168.0.94:49486 10.0.10.11:80 tcp USER_RULE: NAT
Beide Meldungen sind grün.

So wie es aussieht, kommen die Anfragen aber nie beim Server an. Im Log vom Webserver steht kein Request , wenn ich vom WAN Anfragen stelle.

Ich bin verwirrt :/

[JonnyKnipst]

Okay,

ich habe eine Lösung, von der ich aber noch nicht genau weiß, wieso sie klappt.
Nachdem ich  in den Regeln ganz unten unter "Filter Regel Zuordnung" "Erlauben" ausgewählt habe, klappt es nun.

Jetzt muss ich nur herausfinden, was genau diese Option macht und ob ich das auch wirklich will

[superwinni2]

Legt vermutlich eine Firewall Regel auf den WAN Anschluss fest oder?

Gesendet von meinem LG-H815 mit Tapatalk

[MiFi]

Habe exakt das gleiche Problem und wollt fragen, ob du jetzt weißt was dieses "Filter Regel Zuordnung" "Erlauben" macht?

LG

[JeGr]

Och Kinder - wenn ihr solche Probleme beschreibt, dann kommt doch nicht mit "Ja ich auch!" ums Eck, wenn der OP schon fast keine Infos postet! Wie sollen wir denn hier hellsehen WAS euer Problem ist?

Wenn ihr was wissen wollt, beschreibt es ordentlich, macht ggf. nen extra Thread und postet ggf. auch mal EIN BILD von euren Regeln oder was auch immer ihr schon eingerichtet habt. Ich kann nicht mehr zählen wie oft ich lese/höre "ja da und da ist kein Fehler drin, das muss was dort sein und da hab ich <xy> eingerichtet". Und am Ende vom Lied schaut man sich das im Remote Support an und es war dann doch "dort, wo kein Fehler sein kann".

Also bitte, ordentlich beschreiben, Screenshot dazu, Frage, posten. Dann kann man auch ne Antwort geben. Es soll Leute wie mich geben, die ihre Kiste eben nicht auf DE stehen haben, weil die Übersetzung stellenweise (leider) gruselig ist und ich sie als eher konfus und verwirrend sehe als dass es jemand hilft, der kein Englisch kann (I'm looking at you, DNS Forwarder/Resolver!).

Also auch an @MiFi: Wenn du Lösung deines Problems suchst, bitte beschreibe es mir, damit ich es auch verstehe