Verständnisfrage zu NAT-Reflection

[Viplex92]

Hallo,
in diesem YouTube Video:

https://www.youtube.com/watch?v=IsUFzuhwsME

erklärt jemand, wie man Portforward Regeln anlegt. Zum Punkt Interface sagt er bei Minute 4:16, dass man für eine funktionierende NAT-Reflection nicht nur das WAN-Interface sondern auch die Interfaces auswählen muss, die innerhalb des Netzwerks, also auf der LAN Seite liegen, von denen aus man auf den von außen erreichbaren Dienst zugreifen möchte. In meinem Fall ist das ein Ts3-Server. Bisher hatte ich für die Portforward-Regel immer nur das WAN-Interface ausgewählt. Wenn ich mich nun vom LAN-Interface zum Ts3-Server verbunden habe, könnte ich in den Serverlogs sehen, dass ich mich mit meiner internen Adresse (192.168....) verbunden habe, die Reflection also super funktioniert.

Deshalb frage ich mich jetzt, hat er in dem Video unrecht oder handelte es sich bei ihm (wie von ihm bereits vermutet) um einen Bug in seiner OPNsense Version? Oder habe ich das ganze falsch verstanden und meine Reflection funktioniert garnicht?

Liebe Grüße

[JeGr]

> Deshalb frage ich mich jetzt, hat er in dem Video unrecht oder handelte es sich bei ihm (wie von ihm bereits vermutet) um einen Bug in seiner OPNsense Version? Oder habe ich das ganze falsch verstanden und meine Reflection funktioniert garnicht?

Nein, das ist nicht richtig. Keine Ahnung was er da erzählt, aber er macht noch mehrere andere Fehler im Video, die er teils im Overlay korrigieren muss. Wenn man manuell den NAT Reflection Schalter auf enabled stellt in der Regel, macht das Freigeben anderer Interfaces KEINEN Sinn. Hätte er ihn auf default belassen und auf der OPNsense generell KEIN NAT Reflection aktiviert, DANN wäre es tatsächlich korrekt gewesen, denn dann hätte er mit der Mehrfachselektion genau das getan, was der NAT Reflection Schalter (im Überfluß) tut, nämlich das Forwarding ausgeweitet, dass es auch auf den internen Interfaces funktioniert. Der Schalter tut das allerdings für ALLE Interfaces, auch für die, bei denen es ggf. gar keinen Sinn macht oder es nicht gebraucht wird. Möchte man es aber manuell bauen, wäre das ein Weg es korrekt zu konfigurieren. Reflection aus lassen, WAN und das/die internen Interfaces markieren, die man haben möchte und anschließend ggf. noch Regeln, die das erlauben.

Aber hier wurden m.M.n. einfach verschiedene Sachen und vllt. Halbwissen zusammengemixt und da es funktioniert ist ja alles gut In dem Fall aber irreführend und unnötig, mehrere Interfaces auszuwählen wenn man eh schon Reflection aktiviert.

Cheers

[Viplex92]

Ok, dann deckt sich deine Antwort mit dem, was ich mir auch schon gedacht habe. Vielen Dank für deine ausführliche Erklärung