opsense - NAT - VLAN

[ruffy]

Hallo zusammen,

ich hab mir schon die Finger wund gegoogelt aber scheinbar nutz keiner mein Szenario.
Vielleicht kann mir einer von euch einen Tipp geben.

Umgebung
3x VLAN
VLAN100
VLAN50
VLAN145

opnsense befindet sich im VLAN100 mit der 192.168.100.1. Soweit so gut, alle können Surfen usw.
Ich habe unter anderem einen Jellyfin laufen der auch aus dem Internet erreichbar sein soll. Aktuell befindet er sich im VLAN100, Portforwarding ist aktiv sowie auch "Automatic outbound NAT for Reflection. Funktioniert einwandfrei.

Jetzt möchte ich diesen und andere Server in das VLAN145 umziehen. Sobald ich das tue und die Regeln anpasse, erreiche ich ihn aus dem Internet nicht mehr. Es sieht so aus, als würde er den Port nicht in das andere VLAN durchreichen.

Hab ihr Ideen? Ich bin für jeden Tipp dankbar.

Gruß Ruffy

[Patrick M. Hausen]

Ohne alle betroffenen IP Adressen und Ports und alle betroffenen Regeln vorher und nachher - wie soll man da zu einer Diagnose kommen?

Du erwartest: "Ah - das ist das VLAN-foo Problem, du hast vergessen, den Schwurb in den Twerp einzutragen."

Ich schätze: "Bei dir ist eine Kleinigkeit falsch konfiguriert, die gilt es in dem Heuhaufen zu finden."

Dazu brauchen wir den ganzen Heuhaufen.

[ruffy]

Ich hatte tatsächlich gehofft es wäre "wenn vlan dann musst du hier noch was setzten" Problem.
also eigentlich habe ich nur eine Regel erstellt.
Und die IP vom Sever von 192.168.100.7 auf 192.168.145.7 gewechselt.

[Patrick M. Hausen]

Wie sieht denn die "Rule JELLYFIN" aus? Alternativ kannst das auch auf "Pass" stellen in der Filter Rule Association. Wenn man einen Dienst wirklich öffentlich erreichbar machen will, ist das der einfachere Weg. Spart die extra Regel.

[ruffy]

Die "Rule JELLYFIN" wurde automatisch erstellt. Warum funktioniert das nur beim VLAN100 (in dem auch die opnsense) ist. Das erklärt sich mir nicht.

[Patrick M. Hausen]

Setz das doch mal auf "Pass" wie von mir vorgeschlagen.

[JeGr]

> Die "Rule JELLYFIN" wurde automatisch erstellt. Warum funktioniert das nur beim VLAN100 (in dem auch die opnsense) ist. Das erklärt sich mir nicht.

Was heißt eigentlich "warum nur im Netz in dem die OPNsense ist"? Ist die im VLAN145 nicht drin? Oder im 50er? Wie soll die dann dahin Pakete schicken wenn sie da nicht drin ist? 

[ruffy]

Nein die opnsense ist im VLAN100.
Sobald Port forwarding in ein anderes vlan welches nicht das vlan100 ist, funktioniert es bei mir nicht.

[Patrick M. Hausen]

Die Sense braucht dazu natürlich in jedem VLAN ein Interface und eine IP-Adresse oder wie soll das sonst funktionieren?

Oder hast du einen anderen Router zwischen den VLANs? Davon hast du bisher nichts geschrieben ...

[ruffy]

Ja sie hat in jedem vlan ein Interface mit IP. Surfen funktioniert aus jedem Netz einwandfrei.

[Patrick M. Hausen]

Wieso schreibst du dann, sie sei im VLAN100?

Nächster Schritt: tcpdump anwerfen und gucken, was da für Pakete wo langlaufen ...

[ruffy]

OPNsense vlan100
Jellyfin vlan100 funktioniert einwandfrei
Jellyfin vlan145 Port forwarding funktioniert nicht, Rest schon.

Tcpdump guter Tipp, probier ich aus…

[ruffy]

Danke für eure Unterstützung.

Ich konnte den Fehler finden, es war tatsächlich noch ein Routingproblem auf meinen Switch. Ich weiß es sollte nur einer routen ;-)

[JeGr]

> Ich konnte den Fehler finden, es war tatsächlich noch ein Routingproblem auf meinen Switch. Ich weiß es sollte nur einer routen ;-)

OK freut uns natürlich zu hören, aber auch für die Zukunft an andere die hier mitlesen:

Bitte schildert eure Probleme organisiert und sinnvoll, damit man euch helfen kann. Du schreibst nämlich jetzt schon wieder in den Replys erst "nein die ist in VLAN100", dann "Ja sie ist in allen VLANs", dann aber wieder "Sense in VLAN100, Jellyfin100 geht  aber 145 nicht". Davon, dass die Sense - hoffentlich - Interfaces in allen VLANs hat wie mehrfach gefragt steht da nichts

Darum wird ja u.a. von Mic auch gerne per default schon eine Netz-Skizze oder Plan angefragt, eben weil wir uns sonst nicht vorstellen können, was genau bei euch los ist und wie man am Besten helfen kann.

Darum: Macht es uns doch ein klein wenig einfacher euch zu helfen mit genauerer Beschreibung!

Cheers
\jens