Zugriff auf einen lokalen Service über publik IP anstatt interne IP

[vintschi]

Hallo zusammen,

ich würde gerne von einem internen Gerät mit interner IPv4-Addresse auf einen "lokalen" Webservice zugreifen, jedoch soll beim Webservice als Absender nicht die interne IPv4-Addresse des Gerätes ankommen sondern die publik IPv4 des WAN interfaces der OPNsense. Die OPNsense hat auf dem WAN interface direkt eine publik IPv4 hinterlegt.
Die OPNsense hat auf dem WAN interface zwei zusätzliche publik IP-Addressen als VIP konfiguriert.
Für eine dieser VIPs ist ein Port Forward konfiguriert, der Port Forward zeigt auf einen Reverse Proxy (und dieser danach auf den Webservice).

Der Zugriff auf den Webservice funktioniert grundsätzlich von einer publik IPv4-Addresse (Internet).
Bisher funktioniert der Zugriff nicht, wenn ein internes Gerät den Webservice unter der Publik IPv4-Addresse erreichen möchte.

Ich habe schon verschiedene NAT Einstellungen ausprobiert, wie z.B. ein Outbound NAT für interne Geräte mit dem Ziel des Webservices (VIP und Reverse Proxy IP) oder NAT reflection eingeschaltet, aber leider ohne erfolg. Bei einer Analyse durch Live View logs konnte ich keinen Block von Traffic erkennen. ( Gibt es vielleicht weitere Analyse Tools die ich verwenden könnte?)

Ich weiss nicht, ob NAT der einzige und oder richtige Ansatz ist, allerdings fällt mir leider nichts mehr ein was ich sonst noch ausprobieren könnte. Falls ihr mich in eine Richtung weisen könntet oder sonstige Tipps habt, bin ich dankbar um jeden Hinweis.

Kann es vielleicht damit zusammen hangen, das auf die publik Webservice IPv4-Addresse ein Port Forward eingerichtet ist, und der Port Forward nicht ausgeführt wird, wenn für diese IPv4-Addresse zuvor ein Outbound NAT gemacht wurde?
Oder dass diese WAN IP und die Webservice IP eigentlich am gleichen interface hängen und die OPNsense deswegen kein NAT macht?


P.S.: Ein Split DNS ist leider keine Lösung, weil die internen Geräte teilweise eine VPN-Verbindung aufbauen müssen und daher die DNS Einstellungen überschrieben werden. (Dies sind Geräte von Kunden auf denen ich keine Administratorenrechte habe.) Daher wird das Gerät nur die publik IPv4-Addresse kennen.

Danke fürs lesen.

Gruß,
Vincent

[micneu]

konfiguriere dir den ha-proxy, hier im forum war sogar ein guter link für eine anleitung (einfach suchen)