Premiär! Fyndchans i SweClockers Månadens Drop

OPNsense NAT/Portforwarding av webbserver fungerar ej internt

Permalänk

OPNsense NAT/Portforwarding av webbserver fungerar ej internt

Jag bytte för ett tag sedan ut en gammal Cisco router mot OPNsense. Jag har lyckats få igång de mesta som jag vill men har en sak som jag inte lyckats lösa. Jag har några interna servrar som jag publicerar på nätet, t.ex. en webserver. Jag har öppnat 80 och 443 till denna och de fungerar kanon utifrån MEN inte om man kommer från samma VLAN som servern. Sitter jag på ett annat VLAN internt bakom min brandägg fungerar de men inte om man kommer från samma VLAN.
Nu kan detta kanske inte ses som ett jätteproblem men jag märkte nu då mina webbsidor är idag certifikat från lets encrypt och när de ska förnyas så går letsencrypt ut och försöker validera webbsidan men den kan då inte surfa till sig själv... Visst de kan gå att lösa med saker i hostfilen men vore nice at få de löst på rätt sätt.

Här är lite skärmdumpar på mina inställningar om de kan hjälpa till vad jag missat att justera.

Permalänk
Medlem

1. Kan du pinga hosten?
2. Hur försöker du nå hemsidan? Via ip eller via hostname? Jag kan inte OPNsense så bra, jag ser att du har NAT reflection enabled (varför den nu ligger i en brandväggsregel) men det kanske strular ändå. Så försök nå sidan via http://10.0.0.123/ eller vad du nu kör för ip-struktur.

Permalänk
Skrivet av Undie:

1. Kan du pinga hosten?
2. Hur försöker du nå hemsidan? Via ip eller via hostname? Jag kan inte OPNsense så bra, jag ser att du har NAT reflection enabled (varför den nu ligger i en brandväggsregel) men det kanske strular ändå. Så försök nå sidan via http://10.0.0.123/ eller vad du nu kör för ip-struktur.

Jag har testat med en Windows 10 dator och Chrome och kan inte surfa dit. Webbservern själv kan inte själv accessa sig själv via den externa IP-adressen som DNS-servern ger som svar så de är när en burk i mit server-VLAN ska nå en internt enhet publicerad med ett DNS-record som är min publika IP-adress som detta inte fungerar.
Jag har kikat på denna och de hänvisar ju till att man ska ha NAT refelction på för att trafiken ska kunna kommas åt internt, https://forum.opnsense.org/index.php?topic=6155.0

Permalänk
Medlem
Skrivet av ciscodisco:

Jag har testat med en Windows 10 dator och Chrome och kan inte surfa dit. Webbservern själv kan inte själv accessa sig själv via den externa IP-adressen som DNS-servern ger som svar så de är när en burk i mit server-VLAN ska nå en internt enhet publicerad med ett DNS-record som är min publika IP-adress som detta inte fungerar.
Jag har kikat på denna och de hänvisar ju till att man ska ha NAT refelction på för att trafiken ska kunna kommas åt internt, https://forum.opnsense.org/index.php?topic=6155.0

Problemet är eventuellt din NAT-reflection, men om vi skiter i DNS för tillfället.... i samma VLAN, kan du nå hosten/hemsidan med enbart IP?

Permalänk
Medlem

Jag använder själv pfSense och för att NAT reflection ska fungera så måste jag ställa in den på "NAT + Proxy" istället för "Pure NAT". Finns det någon sån inställning i OPNsense?

Permalänk
Skrivet av Undie:

Problemet är eventuellt din NAT-reflection, men om vi skiter i DNS för tillfället.... i samma VLAN, kan du nå hosten/hemsidan med enbart IP?

Satte min dator i samma VLAN nu och kan nå den fint på den interna IP-adressen men inte på de externa

Skrivet av No_Jah:

Jag använder själv pfSense och för att NAT reflection ska fungera så måste jag ställa in den på "NAT + Proxy" istället för "Pure NAT". Finns det någon sån inställning i OPNsense?

Nej inte vad jag hittar, jag har bara dessa val

Permalänk
Medlem
Skrivet av ciscodisco:

Satte min dator i samma VLAN nu och kan nå den fint på den interna IP-adressen men inte på de externa

Nej inte vad jag hittar, jag har bara dessa val
https://i.ibb.co/F4Pqd4Z/fw-nat.png

Då är det NAT-reflection du behöver undersöka närmare. Jag tror som någon nämnde ovan att det är på fler ställen än bara i själva brandväggsregeln du behöver fixa detta.

Permalänk
Medlem

Låter som ett NAT hairpinning problem.

Visa signatur

Intel i7 6700K @ 4,4 Ghz | MSI Z170 KRAIT GAMING 3X | be quiet! Dark Rock 4 | 16 GB Kingston HyperX Fury 2133 Mhz | Asus RTX 3060 OC | PNY XLR8 CS3030 500 GB | Samsung 860 QVO 1 TB

Permalänk
Medlem
Skrivet av ciscodisco:

Satte min dator i samma VLAN nu och kan nå den fint på den interna IP-adressen men inte på de externa

Kolla upp split-brain DNS: https://en.wikipedia.org/wiki/Split-horizon_DNS

Som pointman skrev så kan det vara en lösning på hairpinning: https://en.wikipedia.org/wiki/Hairpinning

Visa signatur

+++ Divide By Cucumber Error. Please Reinstall Universe And Reboot +++

"Real stupidity beats artificial intelligence every time." - Terry Pratchett, Hogfather

Permalänk

Hittade denna och när jag klicka i dessa val så fungerade de fint, tack för tipsen

https://github.com/opnsense/core/issues/1417#issuecomment-281...