Hi,

ich denke hier lag der Fehler.
Der cache hat sich nicht mehr löschen lassen. Nach einem Reboot konnte ich den cache löschen.
Seitdem funktioniert wieder alles, wie es soll.

Danke & Gruß

@JeG:

Es gibt keine "reply-to" Rule. Traffic, der eingeht, wird auch entsprechend der incoming-Rule ins LAN gelassen. Wenn dort dann das default GW ein anderes als das eingehende Interface ist, ist es klar, dass der Traffic auf der Rückreise falsch abbiegt.

Möglichkeit 1 hast du bereits selbst gefunden, eine Regel für den entsprechenden Endpunkt im LAN zu erstellen (Quelle) und dann als Gateway das andere Interface, wo der Traffic herkommt. Natürlich ist der Port dann nur über ein WAN erreichbar, aber du hast auch oben geschrieben, dass dein Forwarding auch nur auf WAN1 eingerichtet ist. Wo ist also das Problem?

Möglichkeit 2: ein 1:1 NAT anlegen, dann wird auch der Rücktraffic natürlich wieder dorthin geroutet, wo er herkam. Das willst du aber wahrscheinlich nicht, da beim 1:1 NAT alle Ports bzw. die komplette externe IP von WAN1 dann auf die interne Adresse geschickt wird.

Ansonsten wäre es praktisch wenn du genauer sagen würdest was du zu tun gedenkst. Meines Erachtens hast du bereits das erreicht, was du im ersten Post beschreibst. Einkommende Anfragen auf 1234 auf WAN1 sollen auf Interne IP X Port Y weitergereicht werden. Dann braucht es auf dem LAN eben eine Regel die Verkehr von X/Y abgehend wieder statisch auf WAN1 herausroutet, statt auf das Default GW.

Wenn das egal auf welchem WAN klappen soll, fehlt dir eh die Grundvoraussetzung: nämlich ein dynamisches Gateway (Failover Pool), welches ein favorisiertes Interface hat (bspw. WAN1) und im Falle dessen Niederganges statt dessen auf das andere WAN routet. Gleichso muss eben auch das Portforwarding auf beiden WANs eingerichtet sein, ansonsten macht es keinen Sinn.

Grüße
JeG

Danke für deine Antwort:

Sorry wenn ich das so sage aber deine Antwort ist leider Blödsinn.
Anscheinend gibt es inmoment einen Bug in Pfsense das wenn das erste Interface gleichzeitig das WAN1 und gleichzeitig als Default Gateway funktioniert, Nating nicht richtig funktioniert.

Nachdem ich die beiden em0 und ue0 jeweils zwischen WAN1 und WAN2(opt1) getauscht hatte (assignment geändert). Klappt alles reibunglos.
Die Reply-to rules werden ohne Probleme angelegt (macht Pfsense automatisch).
Kann man sich unter rules.debug auch anschaun.

Es funktioniert nun alles so wie es soll, trotzdem danke für deinen Input.

Ich habe jetzt (wenn man von einer neuinstallation ausgeht), nur die Failover/loadbalancing route in der Lan->All Regel als Gateway hinterlegt, und zwei Nat-rules (für jedes interface eine) angelegt.

Sieht man im Bild, klappt hervorragen.

http://forum.pfsense.org/index.php/topic,57927.0.html (hier wurde das ganze auf englisch durchgekaut, bzw. die suche nach dem Fehler läuft noch)

funktionierendeNat.png
funktionierendeNat.png_thumb

Das hängt von deinem Betriebssystem ab. Für Windows gibt es Hyperterminal (lässt sich unter Win7 nachinstallieren). Ansonsten ist wirklich putty recht einfach zu nutzen. Unter Linux wäre bspw. minicom oder cutecom gut nutzbar.

Moment. Du hast das WAN und LAN Interface im gleichen Subnetz und wunderst dich, warum dein Router nicht routen kann?
Wenn ich das richtig verstanden habe, solltest du dringend nochmal nachlesen und überlegen, was du hier machen möchtest, denn das mach irgendwie gar keinen Sinn…

Oder um es konkreter zu sagen, definiere:

Hört sich ein wenig nach Overkill an, für einen einzelnen Single-Server, aber solange man das "Drumherum" nicht kennt, ist das alles obsolete Diskussion. ;)

Quelle? Hören tu ich auch viel ;)

Ich habe meine X700 auf 512 aufgerüstet. Habe auch den Prozessor getauscht. Da ist jetzt ein Pentium III drin mit maximaler Speed.

eine regel auf dem wan anlegen welche den zugriff auf die wanadresse und port 443 für https zulässt.
wenn auf dem wan mit privaten ipadressen gearbeitet wird (also wenn die pfsense hinter einem anderen router hängt) dann noch im wan interface die beiden hacken rausnehmen die private networks blocken.

jemand ne andere Idee?

das Problem ist der Server bzw der IP Range schwangt extrem.

leider geht kein wildcard beim bypass..

Vielen Dank!

Ich muss wohl wirklich etwas falsch konfiguriert haben.
Nach erneuter Konfiguration von ein paar VIPs + NAT hat das sofort funktioniert…

Hi digidax,
Wenn auf der Gegenstelle jemand "wohnt" der weiß was man wie tut, kannst Du auch am pfSense temporär den remoten Zugriff per https erlauben.
Den Zugriff über dyndns hast Du ja schon eingeplant.    ;)
Das geht notfalls auch per Telefon zu haendeln.
Dein Gegenüber darf natürlich kein DAU sein.

Gruß orcape

Hallo

Wenn du deinem Default Gateway mit IP 10.30.40.254 mitteilst das das VPN Zielnetz über die pfsense Lanadresse IP 10.30.40.253 zu erreichen ist musst du nichts weitrer tun. Der Default gateway bekommt Pakeanfragen für das VPN Netz und weiss nicht wohin er das schicken soll. Sag es mit Route ADD oder ADD Route je nach OS.

Hi
danke für die Hilfestellung. Ich hatte selbst mit Any to Any auf TCP/UDP keinen Erfolg. Nslookup ping telnet war jedoch alles kein Problem wurde immer alles ordnungsgemäß ausgeführt. Erst nachdem ich einen anderen Server (DELL R210 II mit QUAD INTEL NIC) mit pfsense 2.0.2 identisch konfiguriert habe hats funktioniert. Evtl. Hardware defekt. Da ich schon Probleme bei der Grundinstallation hatte.

Ich betrachte das Ganze mal als geschlossen.

Hi,

die Zeitzone aus deiner Konfig wird ja vermutlich erst nach der Neuinstallation gesetzt und die Basisinstallation wird eine andere Zeitzone haben. Für den User ist der "Wechsel" zwar nicht ersichtlich, aber systemintern vermutlich doch vorhanden ;-)

Das ist ja mal ne Klasse Diskussion. Vielen Dank.
Die Idee mit dem switchen der Routing Tabelle hatte ich auch schon, ich hätte das dann per heartbeat Script realisiert.
Die CARP Methode ist aber dann die besser, da Änderungen automatisch synchronisiert werden.

Solle auch gehen, da ich an WAN 1 und 2 jeweils eine öffentliche statische IP habe. WAN 3 wir mit per UMTS router geliefert aber da benötige ich kein eingehendes Portforwarding.

lg und Vielen Dank,
Frank

Und auch von mir noch ein kleiner Hinweis in der Sache: Wenn es nur um ADSL geht (VDSL und andere Verdunkelungen der Telekom und Mitbewerber einmal außen vor gelassen), dann kann man relativ günstig ein kleines aber feines ADSL2+ Modem (AnnexB) erwerben (es gibt immer wieder Margen von bspw. Congstar oder DLink o.ä. um ca. 20€), welche den DSL Part übernehmen. pfSense übernimmt den Verbindungsaufbau und der Speedport ist Geschichte. Je nachdem worauf man pfSense betriebt, gibt es auch DSL Steckkarten (PCI), um kein Extra-Gerät herumstehen zu haben, da ist aber dann ein klein wenig Bastelei angesagt.

Erledigt