NAT deaktivieren, nur routen

[bastler1220]

Hi,

ich bin mit meinem Latein am Ende. Ich versuch zwischen 3 privaten Subnetzen zu routen. Bei der Konfiguration "WAN" Schnittstelle nach "LAN" Schnittstelle komme ich NAT nicht vorbei.

Ich bin nach einigem Lesen auf Transparent Briding gestoßen. Aber irgendwie scheint das nicht richtige für mich zu sein. Da es anscheinend nur um ein Subnetz geht.

Sehe ich das richtig? Wißt Ihr einen Weg für mich?

[Gauss23]

Also etwas mehr Mühe musst Du Dir leider schon geben uns Dein Problem zu schildern. Ein Netzwerkplan https://forum.opnsense.org/index.php?topic=7216.0
ist ein guter Anfang.

[bastler1220]

Code Select Expand





                             ^
                             |
                             |
                             |
                             |
                             |"WAN" 192.168.50.0
                             |
                       +-----+------+
                       |                  |
                       | opnsense |   OPT1 192.168.40.0
                       |                 +------------------>
                       |                 |
                       |                 |
                       |                 |
                       +-----+------+
                             |
                             | "LAN" 192.168.30.0
                             |
                             |
                             |
                             v

Ist einwenig verschoben, aber das wesentliche kommt rüber.

[micneu]

Wo sind denn deine 3 privaten netze.
- 192.68.50.0/24 ist doch dein wan
- 192.168.40.0/24 ist lan
- 192.168.30.0/24 ist noch ein lan

Dein wan ist für mich internet kein lan (ist ja auf der wan Seite)
Und wo ist jetzt dein problem?

Poste mal Screenshots wo deine Probleme sind (konfiguration)


Gesendet von iPad mit Tapatalk Pro

[Maurice]

Einfach unter 'Firewall / NAT / Outbound' das Outbound-NAT deaktivieren. OPNsense läuft dann als normaler Router.

[bastler1220]

Code Select Expand

                              ^Internet
                           +--+--+
              Fritzbox     |     |
                           |     |
                           +--^--+
                              |
                              |
                              |
                              |
                              |192.168.50.0
                              |
                              |
                           +------+
             OPNsense      |      |     192.168.40.0
                           |      |----------->
                           +------+
                              |
                              |
                              |
                              |192.168.30.0
                              |
                              v

Sorry, hatte die FB vergessen.

Das Problem ist, aus dem 50er Netz möchte ich auf einen Samba share im 40er Netz zugreifen ohne eine Portweiterleitung einzurichten.

Mein Ziel ist den Zugriff einfach per Regel für mehere Hosts freizugeben. Also 50er Netz ins 40er Netz.

Wie würdet Ihr das Umsetzen?

[Gauss23]

Dazu braucht die Fritzbox eine statische IPv4 Route.
192.168.40.0/24 über die WAN IP der OPNsense 192.168.50.x (was die OPNsense dort eben hat).
Ich würde das Interface tatsächlich auch WAN nennen auf der OPNsense.

Dann kannst Du auf der OPNsense das Outbound NAT komplett ausschalten. Also manuell einstellen und keine Regel dort anlegen.

Nun legst Du auf dem WAN Interface eine FW-Regel an, die den Hosts aus 192.168.50.0/24 (Source) erlauben auf den Host 192.168.40.x/32 (destination) per SMB  (Port 445 TCP) zuzugreifen.

[bastler1220]

Danke für die ausführliche Erklärung, deiner Variante. So hatte ich mir das so ungefähr vorgestellt. Mir ist ein nur ein punkt unklar.

Warum 192.168.40.x/32  und nicht /24? Um den Zugriff auf den einen host zu begrenzen?

[Gauss23]

Naja, du schriebst, dass du nur auf EINEN Samba Server zugreifen wolltest. Daher die Beschränkung auf den einen Host. In der Gestaltung bist du frei :)

[bastler1220]

Alles klar.

Danke für Eure Hilfe und Gedanken dazu! :D