OPNsense
  • Home
  • Help
  • Search
  • Login
  • Register

  • OPNsense Forum »
  • International Forums »
  • German - Deutsch »
  • NAT Port-Forward will nicht
« previous next »
  • Print
Pages: [1] 2

Author Topic: NAT Port-Forward will nicht  (Read 8308 times)

jinn

  • Newbie
  • *
  • Posts: 40
  • Karma: 5
    • View Profile
NAT Port-Forward will nicht
« on: April 13, 2018, 04:02:57 pm »
Nachdem ich alle schwereren Probleme behoben habe, wollte ich noch ein simples Port-Forward einrichten.

Leider klappt dieses momentan nicht, wie es soll.

Interface: WAN
TCP/IP: IPv4
Protocol: TCP/UDP
Destination: 86.167.153.109 (externe IP als Virtual IP angelegt)

Destination port range
from: SSH to: SSH
(optional habe ich es auch mit http versucht)

Redirect target IP: Single host or Network
172.16.18.41
Redirect target port: SSH

NAT reflection: Disable
Filter rule association: Pass


Egal ob mit SSH oder HTTP die Anfragen kommen bei den Servern nie an, in den OPNsense logs sehe ich immer nur folgenden Eintrag:
Interface: lan
Source: 1.2.3.4:####
Destination: 86.167.153.109:22
Proto: tcp
Label: let out anything from firewall host itself
« Last Edit: April 13, 2018, 04:10:30 pm by jinn »
Logged

JeGr

  • Hero Member
  • *****
  • Posts: 1945
  • Karma: 227
  • old man standing
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #1 on: April 16, 2018, 02:14:48 pm »
Wenn du nen Eintrag auf dem LAN bekommst, testest du gerade einen NAT Port Forward von INNEN also dem LAN wo der Forward eigentlich hin soll? Das ist Quark und funktioniert ohne Helfer nicht. Entweder NAT Reflection (BÄH) oder Split DNS und den Host intern direkt aufrufen. Aber den Forward zu testen indem man von innen nach außen wieder nach innen geht kann auf Grund der Natur von NAT nicht gehen.
Logged
"It doesn't work!" is no valid error description! - Don't forget to [applaud] those offering time & brainpower to help you!
Better have some *sense as no(n)sense! ;)

If you're interested in german-speaking business support, feel free to reach out via PM.

jinn

  • Newbie
  • *
  • Posts: 40
  • Karma: 5
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #2 on: April 16, 2018, 03:12:14 pm »
Ich gehe zum testen über die aktive Firewall (und nicht die opnSENSE) raus, daher kommt der Zugriff auf die OPNsense auch aus dem Internet (so wie es in der Zukunft auch passieren) wird.

Zusätzlich habe ich zur Sicherheit aber auch den Zugriff von einem anderen Standort und dem mobilen Netz versucht.
Logged

JeGr

  • Hero Member
  • *****
  • Posts: 1945
  • Karma: 227
  • old man standing
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #3 on: April 16, 2018, 03:22:21 pm »
OK, ansonsten müsste man sich den Forward Eintrag nochmal genau ansehen. Wenn im FW Log die ext. IP noch steht, dann hat der FW nicht gegriffen und hat nicht auf die Verbindung gematcht, also ist was noch falsch konfiguriert. Könntest du den Screen mal zeigen?

BTW: tcp/22 genügt, auf UDP läuft da nichts :)
Logged
"It doesn't work!" is no valid error description! - Don't forget to [applaud] those offering time & brainpower to help you!
Better have some *sense as no(n)sense! ;)

If you're interested in german-speaking business support, feel free to reach out via PM.

jinn

  • Newbie
  • *
  • Posts: 40
  • Karma: 5
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #4 on: April 17, 2018, 11:07:21 am »
Gerne, hier mal als Screenshot und ein Screenshot vom Log beim versuchten Zugriff.

Unter Source steht die externe IP über die ich reinkomme, als Destination wird der Server angezeigt. Auf dem Server sehe ich aber keine Zugriffsanfrage. Ich habe auch eine neue ubuntu VM getestet, auf die ich, über das port-forward, auch nicht zugreifen kann.


« Last Edit: April 17, 2018, 11:31:05 am by jinn »
Logged

JeGr

  • Hero Member
  • *****
  • Posts: 1945
  • Karma: 227
  • old man standing
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #5 on: April 17, 2018, 11:15:04 am »
Was ich nicht verstehe ist, dass du einen Log Hit auf dem LAN siehst. Das dürfte da gar nicht auftauchen. Bzw. das sieht mir nach einem "pass" aus (ist ja grün) und sagt nur, dass er auf der 144:22 rausgeht. Was ist denn die .144? Die sehe ich sonst nirgends, weder oben als Ziel noch als Adresse?
Logged
"It doesn't work!" is no valid error description! - Don't forget to [applaud] those offering time & brainpower to help you!
Better have some *sense as no(n)sense! ;)

If you're interested in german-speaking business support, feel free to reach out via PM.

jinn

  • Newbie
  • *
  • Posts: 40
  • Karma: 5
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #6 on: April 17, 2018, 11:25:05 am »
Das war die ubuntu VM (172.16.18.144:22)
« Last Edit: April 17, 2018, 11:29:22 am by jinn »
Logged

JeGr

  • Hero Member
  • *****
  • Posts: 1945
  • Karma: 227
  • old man standing
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #7 on: April 17, 2018, 02:45:18 pm »
Die in deinem OP nicht auftaucht, deshalb meine Frage, was der Eintrag soll?
Logged
"It doesn't work!" is no valid error description! - Don't forget to [applaud] those offering time & brainpower to help you!
Better have some *sense as no(n)sense! ;)

If you're interested in german-speaking business support, feel free to reach out via PM.

jinn

  • Newbie
  • *
  • Posts: 40
  • Karma: 5
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #8 on: April 17, 2018, 04:01:38 pm »
ich habe die screenshots etwas zeitversetzt erstellt. Zu dem Zeitpunkt stand im NAT auch die 172.16.18.144.
Andersrum stand zu dem Zeitpunkt des Screenshot des NAT die andere IP im Log.
Logged

JeGr

  • Hero Member
  • *****
  • Posts: 1945
  • Karma: 227
  • old man standing
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #9 on: April 17, 2018, 04:05:36 pm »
OK das verwirrt mehr als das es hilft. Kannst du das bitte nochmal vom gleichen Setup testen und nicht mit unterschiedlichen Forwards und sonstigem?!

Und ist in der FOrward Regel auch als letztes eine Filter Rule Association an? Gibt es also eine FIlterregel für den NAT Eintrag?
Logged
"It doesn't work!" is no valid error description! - Don't forget to [applaud] those offering time & brainpower to help you!
Better have some *sense as no(n)sense! ;)

If you're interested in german-speaking business support, feel free to reach out via PM.

jinn

  • Newbie
  • *
  • Posts: 40
  • Karma: 5
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #10 on: April 17, 2018, 04:15:05 pm »
Ich habe jetzt nochmal die Screenshots mit jeweils gleicher IP angehangen (172.16.18.144)

Die Regel wird mit "Add associated filter rule" erstellt (3. Screenshot beinhaltet die aktuelle Regeltabelle)

Ich habe zwischenzeitlich auch versucht ein Port Forward mit Port 3389 zu erstellen, hier zeigt sich allerdings das gleiche Bild wie bei Port 22. Daher habe ich noch irgendwo einen Fehler in der OPNsense Konfiguration.
Logged

fabian

  • Hero Member
  • *****
  • Posts: 2769
  • Karma: 200
  • OPNsense Contributor (Language, VPN, Proxy, etc.)
    • View Profile
    • Personal Homepage
Re: NAT Port-Forward will nicht
« Reply #11 on: April 17, 2018, 04:25:22 pm »
Nachdem deine Zeile immer noch grün ist, würde ich mal auf ein Routingproblem schließen. Mach mal ein Packet capture an dem Netz, in dem der Server steht. (Idealerweise auf Port TCP/22 gefiltert)
Logged

JeGr

  • Hero Member
  • *****
  • Posts: 1945
  • Karma: 227
  • old man standing
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #12 on: April 17, 2018, 04:26:10 pm »
a) SSH ist TCP, nicht TCP/UDP. Das ist kein Problem aber unnötig in der Regel
b) Wenn du die Adressen alle totschwärzt, kann man kein Problem erkennen. Woher soll ich bspw. in meiner Glaskugel sehen, dass der schwarze Kasten bei Address in der Forward Regel die richtige Adresse vom WAN Interface der OPNsense hat?
c) Die Filterregel mit der .144 sieht soweit OK aus, die wird korrekt durch die association erstellt. Das wollte ich sehen.

Da du aber bspw. auf dem WAN noch DROPs vorher hast (Spamhaus & Co) kann niemand sagen, ob deine IP von der du testest nicht ggf. in der Filterliste drinsteht.

Zudem heißen deine Screenshots seltsam. Das was du Forward nennst, sieht mir nach Regeln aus, nicht nach NAT und das WAN_rules sieht mir wie die Forwards aus.

Privacy der IPs in allen Ehren, aber so macht hier debuggen keinen Spaß... Das ist Glaskugellesen. Versuche mal im Port Forwarding nicht irgendeine IP einzugeben, sondern zum Testen "this firewall" zu nehmen und teste dann. ZUdem editiere mal die automatisch angelegte Regel (müsste gehen) und aktiviere das Logging, dann müsste es einen sauberen Eintrag fürs WAN geloggt geben.

Gruß
Logged
"It doesn't work!" is no valid error description! - Don't forget to [applaud] those offering time & brainpower to help you!
Better have some *sense as no(n)sense! ;)

If you're interested in german-speaking business support, feel free to reach out via PM.

jinn

  • Newbie
  • *
  • Posts: 40
  • Karma: 5
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #13 on: April 17, 2018, 04:45:18 pm »
Jetzt nochmal die Screenshots mit weniger Schwarz
Die Regel konnte ich nicht bearbeiten, habe diese daraufhin manuell neu angelegt, und die automatisch erstellt deaktiviert, dadurch kam ein neuer Eintrag im Log pro Zugriffsversuch
Die Regeln habe über die Spamhaus listen gelegt, damit diese nicht geprüft werden

Leider funktioniert der Zugriff immer noch nicht, den Tipp von fabian werde ich noch nachgehen

Packet Capture am WAN gibt folgenden Eintrag:
Code: [Select]
16:59:25.138164 00:a0:c8:e8:27:gb > ac:1f:6b:63:6g:21, ethertype IPv4 (0x0800), length 66: (tos 0x0, ttl 126, id 10997, offset 0, flags [DF], proto TCP (6), length 52)
    62.25.178.21.24901 > 86.167.153.109.22: Flags [S], cksum 0xead8 (correct), seq 1894655469, win 65535, options [mss 1400,nop,wscale 7,nop,nop,sackOK], length 0
Auf dem LAN ist das File leer
« Last Edit: April 17, 2018, 05:03:25 pm by jinn »
Logged

JeGr

  • Hero Member
  • *****
  • Posts: 1945
  • Karma: 227
  • old man standing
    • View Profile
Re: NAT Port-Forward will nicht
« Reply #14 on: April 17, 2018, 05:02:47 pm »
Nein, nicht "WAN net", das ist quark. "This Firewall" solltest du beim Port Forward auswählen. Und die Destination ist nicht /21 sondern nur diese IP (/32 also genau dieser Host).

Aber ja, was Fabian sagt: dein Request kommt rein und geht wohl auf dem LAN wieder raus und durch. Wenn der dann beim Host nicht ankommt, ist auf deiner LAN Seite was schief. Kann die Sense überhaupt 172.16.18.144 pingen etc.?
Logged
"It doesn't work!" is no valid error description! - Don't forget to [applaud] those offering time & brainpower to help you!
Better have some *sense as no(n)sense! ;)

If you're interested in german-speaking business support, feel free to reach out via PM.
  • Print
Pages: [1] 2
« previous next »
  • OPNsense Forum »
  • International Forums »
  • German - Deutsch »
  • NAT Port-Forward will nicht
 

OPNsense is an OSS project © Deciso B.V. 2015 - 2024 All rights reserved
  • SMF 2.0.19 | SMF © 2021, Simple Machines
    Privacy Policy     | XHTML | RSS | WAP2