OPNWAF Troubleshooting - WAF greift nicht. - Interface/IP binding.

[behgonn]

Einen schönen guten Tag wünsche ich und hoffe auf ein zwei Tipps, oder Anhaltspunkte für mein Problem.

Das Problem, das Plugin os-OPNWAF, der Business Edition greift leider nicht, bzw. sind beim Aufruf aus dem Internet die Webseiten nicht erreichbar.
Ich habe noch nicht wirklich eine Möglichkeit gefunden wie ich (sicherlich meine) Fehler auffinden kann.

Mein Aufbau, ich habe ein Gateway, welches zwei Internetanschlüsse bereitstellt. Die OPNSense bekommt zwei WAN Interfaces, welche vom Gateway bereitgestellt werden.
Sprich ich habe ein Multi WAN Setup mit Loadbalancer.

Jeder der Internetanschlüsse publiziert eine Website im Internet. Mit der WAF/Reverse Proxy wäre es auch möglich beide über eine öffentliche IP anzubieten, aber aktuell ist dem nicht so.

Wenn ich in der OPNSense ein Portforwarding auf die Webserver einrichte, funktioniert alles und ich kann aus dem Internet auf die Websites zugreifen.
Schalte ich das Portforwarding aus und die WAF ein bekomme ich leider keine Rückmeldung mehr.

Nun weiß ich leider auch nicht, auf welchem Interface, oder IP die WAF überhaupt hört, um evtl. hier das Problem anzugehen.
Kann mir evtl. jmd. einen Anhaltspunkt geben, an dem ich mich weiterhangeln kann :)? Das wäre klasse! Danke.
Evtl. hat ja auch jmd. ein ähnliches Setup und mag seine Config (plus Firewall Rules) teilen.

Grüße

[Patrick M. Hausen]

Ist die WAF nicht ein Modul vom Squid Proxy? Du müsstest also erst einmal den Squid auf deinen beiden WAN-Anschlüssen lauschen lassen und per Firewall-Regeln auch dafür sorgen, dass Ports 80 und 443 dort erlaubt sind.

[behgonn]

Hey, ich meine das Plugin opnwaf nutzt Apache2 als Reverse Proxy. In der Doku wird auch nichts vom Squid Proxy erwähnt, cachen möchte ich auch nichts.
Die Firewall erlaubt die Ports, es wird auch zugegriffen, aber es antwortet nichts. Deswegen die Vermutung, dass die WAF irgendwo lauscht, wo ich es nicht vermute.

[Patrick M. Hausen]

OK - sorry. Dann bin ich überfragt. Guck halt mal mit dem Üblichen Werkzeugkasten:

- ps
- netstat -na | grep LISTEN
- tcpdump
- ...

[viragomann]

Hallo,

ich kenne das OpenWAF Plugin leider auch (noch) nicht.
Aber mir fällt dazu ein, du könntest auf die Firewall Regeln vergessen haben, die Port 80, 443 am WAN auf die WAN IP erlaubt.

Das Port Forwarding erstellt ja praktischerweise FW-Regeln automatisch. Nun musst du das aber explizit erlauben.

Auch denke ich, dass das Ding ein Log schreibt. Je nach dessen Einstellung müsste da ja der Zugriff ersichtlich sein.

Grüße