Portweiterleitung Einstellungen

[SensenNeuling]

 Ich habe mich die letzten Tage damit beschäftigt bei einer Portweiterleitung weiter zu kommen.
Im Forum und Internet gibt es viele Anleitungen die oft ins Leere laufen.
Leider auch bei mir ☹

Aktueller Zustand bei mir:
Vodafone Fritzbox 6591 cable Öffentliche IP
Internet --- Freigaben --- Portfreigaben --- Exposed Host
Heimnetz --- Netzwerk --- DNS-Rebind-Schutz (Domain eingetragen welche auf die Öffentliche IP verweist)

Die 1. IP-Adresse ist reserviert als Vodafone Business-Netzwerk Adresse                             109.90.xxx.8
Die 2. IP-Adresse ist reserviert als Vodafone Business-Gateway-Adresse (Modem)           109.90.xxx.9
Die 3. IP-Adresse ist frei und kann von Ihnen genutzt werden. (www.wasistmeineIP.de) 109.90.xxx.10
Die 4. IP-Adresse ist reserviert als Vodafone Business-Broadcast-Adresse                            109.90.xxx.11

Meine eigenen Ports (2. IP-Adresse und 3. IP-Adresse) scanne ich hiermit:
http://www.dnstools.ch/port-scanner.html

OPNSense (Feste Lan Anschlüsse, kein VLan)
igc0WAN                             (wan, igc0)          109.90.xxx.10/30             (IPv4 Upstream Gateway 109.90.xxx.9)
igc1LAN                               (lan, igc1)            192.168.1.1/24
igc2Synology-Extern           (opt1, igc2)         192.168.10.1/24
igc3Frei                                (opt2, igc3)         192.168.20.1/24

Firewall --- Einstellungen --- Erweitert
Reflektion für Portweiterleitungen                                        Haken rein
Reflektion für 1:1                                                                  Kein Haken
Automatisches ausgehendes NAT für Reflektion                   Haken rein

Firewall --- NAT --- Portweiterleitung
Weiterleitungseintrag bearbeiten
Deaktiviert                         Diese Regel deaktivieren
Kein RDR (NICHT)            Kein Haken
Schnittstelle                       WAN
TCP/IP Version                 IPv4
Protokoll                             TCP
Ziel / Umkehren               Kein Haken
Ziel                                        WAN Adresse
Zielportbereich                von:       HTTP     an:         http
Ziel-IP umleiten                Einzelner Host oder Netzwerk                   feste IP von Synology NAS
Zielport weiterleiten      HTTP
Pooloptionen:                  Standard
Protokoll                             Kein Haken
NAT reflection                  Aktivieren
Filter Regel Zuordnung Erlauben

Das gleiche auch bei HTTPS

Wo ist mein Fehler, was habe ich übersehen oder wo kann ich was nachlesen wo mir helfen könnte?

[SensenNeuling]

Gerade weitere Beiträge hier durchgelesen aber keine Lösung gefunden:Forum Beitrag 1Forum Beitrag 2Forum Beitrag 3Forum Beitrag 4
Was könnte ich falsch machen?

[Patrick M. Hausen]

Hast Du das Firewall UI auf 80/443? Mach mal das Anti-Lockout-Gedöns aus, das ist m.E. sowieso Quatsch. Nachdem du sichergestellt hast, dass du LAN-Regeln hast, durch die du auf das UI kommst.

[SensenNeuling]

Hallo pmhausen,
meinst Du unter Firewall - Nat - Ausgehend umstellen von Automatisch auf Manuell?

[Patrick M. Hausen]

Nein, Firewall > Settings > Advanced > Disable anti-lockout

[SensenNeuling]

Hallo pmhausen,
ich habe mich die Tage nochmal damit beschäftigt.Ich habe Regeln geschrieben das ich vom Lan auf die Oberfläche mit Ports 80 und 443 Zugriff habe. Trotzdem sperre ich mich aus wenn ich Disable anti lockout mache.
Ich habe meine Sicherung wieder eingespielt.Das andere Problem ist das ich mich nicht mal von außen (Internet) richtig anpingen kann.Ich habe diese Anleitung hier im Forum dazu gelesen und genau so umgesetzt.Leider kein Erfolg.

[Patrick M. Hausen]

Du brauchst doch auf LAN keine Portweiterleitung. Die Standard allow Regel sorgt dafür, dass der Zugriff auf das UI funktioniert.

[SensenNeuling]

Alle Portweiterleitungen auch alle Ports von Wan offen zum Test führen zu keinem Ergebnis.Es kommt immer alle Ports geschlossen und auch kein Ping von Online (Handy oder http://www.dnstools.ch).

[Patrick M. Hausen]

Nochmal ...

* du hast auf deinem LAN eine "allow all" Regel
* du hast dein Web UI auf Listen Interface - all (recommended)
* du machst die Anti-Lockout Nummer aus

Dann solltest du von LAN auf das Web UI kommen aber von außen sollte noch alles dicht sein.

Dann kannst du von außen nach innen ein Port-Forwarding anlegen:

* Interface: WAN
* Source: any
* Destination: WAN_Address
* Destination Port Range: 80 - 80
* Filter rule association: pass
* Redirect target IP: IP-Adresse von deinem internen Server

Dasselbe für 443, und am besten legst du dir für den internen Server einen sinnvoll benannten Alias an.

HTH
Patrick

[SensenNeuling]

Ich habe Deine Schritte bis hoffentlich richtig umgesetzt:
Dann solltest du von LAN auf das Web UI kommen aber von außen sollte noch alles dicht sein.

Wenn ich diese beiden Haken bei Interface und Anti Lockout rein setze sperre ich mich aus.

[Patrick M. Hausen]

Wie sieht denn System > Settings > Administration > Listen Interfaces aus?

[SensenNeuling]

Da steht im Dropdown:All (recommended)
Oder muss ich alle 4 manuell anklicken?

[Patrick M. Hausen]

Nein, All ist prima.

Also du hast keinerlei Port Forwardings aktiv? Du hast ein "allow all" auf LAN? Und wenn du die Anti-Lockout-Geschichte aus machst, sperrst du dich aus?

Das geht m.E. nicht. Ich hab das hier genau so. Also - das einzige, was wir bisher noch nicht hatten, waren evtl. irgendwelche Port Forwardings. Mach die doch mal weg.

Listen All
Allow all auf LAN
Disable Anti-Lockout

Das muss so in dieser Kombination funktionieren, wenn sonst nichts rein pfuscht.

Und wenn du das hast, dann gucken wir nach den eingehenden Port Forwardings.

[SensenNeuling]

Supi, es geht.
Jetzt an einen Test das ich von außen irgendwie einen Ping/Port sonst was Rückmeldung bekomme.

[SensenNeuling]

Erster Versuch der Portweiterleitung fehlgeschlagen.