Probleme beim erreichen eines entfernten Netzes - NAT?

[murmelbahn]

Hallo,

ich habe ein Problem zu dessen Lösung ich einen Denkanstoss benötige. Ich habe ein LAN Netz auf meiner Opensense. Über eine IP
dieses Netzes ist es möglich ein weiteres Netz zu erreichen. Damit ich dieses Netz erreichen kann habe ich ein zuerst ein neues
Gateway angelegt welches das gleiche Interface benutzt wie das reguläre LAN. Als nächstes habe ich dann eine Route angelegt, die
das entfernte Netz über dieses Gateway erreichbar macht. Ich kann jetzt auch toll hin und her Pingen, das funktioniert super.
Ich kann auch aus meinem LAN auf jeden Port in das entfernte Netz zugreifen. Leider funktioniert das ganze aber nicht umgekehrt.
Wenn ich beispielsweise eine SSH Session aus dem entfernten Netz auf eine IP im internen Netz machen möchte bekomme ich eine Fehlermeldung
im Log zu sehen. Die Fehlermeldung hänge ich euch an. Falls ich SSH von meinem Netz in das entfernte Netz machen möchte funktioniert das
ohne Probleme. Ich vermute das hat irgendwas mit den NAT Einstellungen zu tun. Leider finde ich da aber keine Lösung.
Kann mir jemand einen Tipp geben?


Hier ein kleines Diagramm dazu.

Code: [Select]

      .-----+------. Gateway         .-----------------.
      |  OPNsense  +-----------------+ entferntes Netz |
      '-----+------'   192.168.10.1  '-----------------'
            |                         192.168.101.0/24
        LAN | 192.168.10.2/24 (.2 ist die IP der OPNSense)
            |
      .-----+------.
      | LAN-Switch |
      '-----+------'
            |
    ...-----+------... (Clients/Servers)


[Gauss23]

Dir fehlt offenbar eine Firewall Regel auf dem Interface LAN2, die eingehenden Traffic erlaubt.

[murmelbahn]

Hallo Gauss23,

vielen Dank für deine Antwort! Auf deinen Rat hin habe ich eine Regel für das Interface LAN2 angelegt. Siehe Screenshot. Leider ändert sich dabei aber nichts am Verhalten. Habe ich die Regel falsch angelegt?

[micneu]

Kennt denn das andere Netz dein Netz, fehlt dort eine Route in Dein Netz?


Gesendet von iPhone mit Tapatalk Pro

[murmelbahn]

Hi, das andere Netz kennt die Route. Die beiden IP Adressen können sich auch gegenseitig pingen. Nur Dienste wie SSH funktionieren nur von meinem LAN zum entfernten.

[Gauss23]

Was ist denn LAN und LAN2? Also IP/Netzwerk?

Die Deny rule reagiert auf Interface LAN2 incoming mit Source 192.168.10.12 und dest 192.168.101.50.

Kann das überhaupt hinkommen?

[murmelbahn]

Was ist denn LAN und LAN2? Also IP/Netzwerk?

Die Deny rule reagiert auf Interface LAN2 incoming mit Source 192.168.10.12 und dest 192.168.101.50.

Kann das überhaupt hinkommen?

LAN2 ist mein internes Netz mit dem IP Kreis 192.168.10.0/24. Das Netz 192.168.101.0/24 ist das Netz, dass über die IP 192.168.10.1 erreicht wird. Die Deny Meldung interpretiere ich so, dass die Antwort von der 10.12 zur 101.50 denied wird. Es scheint also so, dass die 101.50 das Paket richtig bei der 10.12 "abliefert" aber die Antwort dann nicht zurück kommt. Irre ich mich da?

[murmelbahn]

Hi,

wenn ich auf der 192.168.10.12 eine Route in das Netz 192.168.101.0/24 mit dem Gateway 192.168.10.1 setze funktioniert das ganze. Kann mir jemand erklären warum das nicht über die OPNsense funktioniert?

[Gauss23]

Ich schlage vor du bohrst Dein Netzwerkdiagramm mal etwas auf.

Deine Bezeichnungen und Netzwerkadressen sind so einfach schwer nachzuvollziehen.

Grundsätzlich gilt: der default Gateway eines Hosts muss wissen wohin mit den Paketen. Sonst schiebt er die Pakete an seinem default Gateway weiter.

Was ist denn der default Gateway vom Host 192.168.10.12? Aus dem was du bisher geschrieben hast, ist es offenbar NICHT die 192.168.10.1, da sonst eine Route auf 192.168.101.0/24 über genau dieses Gateway keine Rolle spielen würde.