network reflection - webserver - ssl zertifikat problem

[p.dungel]

ich habe nach dieser Anleitung https://docs.opnsense.org/manual/how-tos/nat_reflection.html#nat-method1 network reflection eingerichtet, damit kann ich endlich von meinem router auf den lokalen webserver über seine externe ip adresse zugreifen - das ging vorher nicht, für andere lan clients hat das problemlos funktionert.

das problem ist, dass wenn ich curl https://meinedomain.com ausführe einen fehler bekomme (curl: (60) SSL: no alternative certificate subject name matches target host name 'meinedomain.com')
ich habe ein letsencryp wildcard zertifikat für die domain, und sowohl von extern als auch anderen lan clients funktioniert alles ohne probleme.

irgendjemand eine idee woran das liegen kann?

mein setup:

                ISP
                   |
                   |
        Router 192.168.0.1
                    |
                  /   \
                /       \
              /           \
webserver       andere lan clients
192.168.0.2    192.168.0.3-100 (von dhcp zugewiesen)

[meyergru]

Ja. Weil Du vermutlich den Port für die GUI noch auf 443 gelassen hast. Ändere ihn.

[p.dungel]

ja damit hattest du recht, das behebt das "curl ssl problem"
Allerdings nicht so wie ich das wollen würde. Die antwort wohl vom gui und nicht vom webserver, weil nun bekomme ich wieder keine antwort vom server

[meyergru]

Dann stimmt Dein Port Forward nicht.

[p.dungel]

ich habe bei
NAT -> Port Forward:

• Interface: LAN und WAN
• Protocol: TCP
• Source: any
• Source port range: any
• Destination: meine externe IP
• Destination Port Range: HTTPS/443
• Redirect target IP: 192.168.0.2 (IP von meinem Webserver)
• Redirect target port: HTTPS/443

und bei
NAT -> Outbound

• Interface: LAN
• Protocol: TCP
• Source Address: 192.168.0.0/24 (das interne LAN)
• Source Port: any
• Destination Address: 192.168.0.2 (LAN Adresse des Webservers)
• Destination Port: HTTPS/443
• Translation/target 192.168.0.1 (LAN Adresse des Routers)

Für alle LAN-Clients außer dem Router funktioniert alles, bemerkt habe ich das ganze, weil ich meine Config auf eine lokale Nextclound Instanz über ihre externe Domain backupen wollte.

[meyergru]

ich habe bei
NAT -> Port Forward:

• Interface: LAN und WAN
• Protocol: TCP
• Source: any
• Source port range: any
• Destination: meine externe IP
• Destination Port Range: HTTPS/443
• Redirect target IP: 192.168.0.2 (IP von meinem Webserver)
• Redirect target port: HTTPS/443

LAN? Soweit ich weiß, brauchst Du da nur WAN. Den Rest regelt die NAT Reflection, wie bei Methode 2 aus der Anleitung. So mache ich das und das funktioniert.

[p.dungel]

Ich hab das LAN nur auch noch dazugenommen in der Hoffnung, dass das was bringt - leider nicht - war beim ursprünglichen Setting nicht dabei.

Prinzipiell bin ich mir ziemlich sicher, dass mein NAT passt (ist ja eigentlich nicht so kompliziert), fällt dir noch eine andere Möglichkeit ein, warum ich genau vom OPNsense Client nicht auf den Webserver zugreifen kann, von allen anderen Clients im LAN aber schon?

Kann es sein, dass ich irgendwie OPNsense (also den Router) durch eine Einstellung (Interface, ...) geblockt habe.



Danke im voraus