NAT: Port Forwarding (IN) von 2.1.5 auf 2.2.2 funktioniert nicht mehr

[databjowi]

Danke für die Infos.
Ich habe u.a. auch von Außen probiert, mit Mail und den Sonden die extern stehen.
Wenn hier kein Fehler bekannt ist, werde ich mit der Version 2.2.2 noch einmal probieren.

Kann ich mir vielleicht die erstellten NAT Rules komplett anzeigen lassen?

–-----------------------------
Unten in den Optionen:
NAT reflection: "Pure NAT" oder "NAT+Proxy"
Filter rule association: Pass

Im Firewall-Log habe ich die Verbindungen als geblockt gesehen.
Easy Rules brachte keinen Erfolg, obwohl diese unter Rules erschien.

...(z.B. Mail vom speziellen Host von Extern und Probes auch von Extern)
<nat><rule><source>

<address>HierALIASmitIPs</address>

<destination><network>wanip</network>
<port>6625</port></destination>
<protocol>tcp</protocol>
<target>192.168.xxx.104</target>
<local-port>25</local-port>
<interface>wan</interface>

<associated-rule-id>nat_5569a69b19e0d2.67598376</associated-rule-id></rule>
<rule><source>
<any><destination><network>wanip</network>
<port>12345</port></destination>
<protocol>tcp</protocol>
<target>192.168.xxx.134</target>
<local-port>12345</local-port>
<interface>wan</interface>

<associated-rule-id>nat_5569a6f2c2c096.08494504</associated-rule-id></any></rule></nat>
…

[flix87]

@databjowi:

Im Firewall-Log habe ich die Verbindungen als geblockt gesehen.
Easy Rules brachte keinen Erfolg, obwohl diese unter Rules erschien.

Die Regel saß dann aber auch über den möglicherweise vorhandenen Block Regeln? Firewall arbeiten ja immer von oben nach unten.
Öffentliche IP Hast du direkt auf der PfSense? Weil private werden ja druch eine spezielle Regel auf den WAN Interface geblockt die du nur am Interface selbst rausnehmen kannst.

Ansonsten wäre Screenshots schön da sieht man vielleicht mehr.

[flix87]

da fehlen die Regeln auf dem WAN Interface.

Beim anlegen der NAT Regel unten bei "Filter rule association" habe ich noch nie mit Pass gearbeitet immer mit add assosicated filter rule.

Also am besten die Regel löschen und dann neu anlegen und statt pass einfach add assosicated filter rule auswählen (sollte auch Standard sein)
Dann solltest du auf dem WAN Interface auch die Regel sehen.

[flix87]

hat die PfSense denn direkt die Öffentliche IP oder hängt die noch hinter einer anderen Firewall.

Was verbirgt sicht denn hinter dem Alias Block? nicht das der das vielleicht schon weg blockt.

[databjowi]

Der Alias-Block sind externe IP's - in der Version 2.1.5. die ich als Referenzsystem habe, weil hier alles funktioniert.

Jetzt zum Test in der Version 2.2.2  ist hier (*).

Was mich aber wundert, dass ich mit dem Befehl "pfctl -vvsa | grep 10.0.2.4" keine Filtereinträge finde.

Wie oben im Bild sind diese aber in der WebUI vorhanden?

[flix87]

Im Log sieht man ja das es geblockt wird.

Wenn externe IP's geblockt werden von dieser Regel kommt die Firewall ja gar nicht zu den allow Regeln.

Wenn jetzt ein * drin steht wird ja alles geblockt?

Die Firewall arbeitet immer von Oben nach Unten wenn eine Regel greift geht es nicht weiter.
Wenn du also * machst und dann block kommt er gar nicht zu den Regel.

Mache diese Regel dann einfach nochmal raus zum testen und schaue ob es dann geht.

Und du hast immer noch nicht gesagt ob die Pfsense direkt die öffentliche IP hat ;) weil wenn nicht und sie eine private hat gibt es immer noch die default Regel die auch alles blocken was privat ist.

Daher beantworte die Fragen dann kommen wir sicher weiter :)

[flix87]

wenn du speicherst und apply drückst wird die config direkt aktiv.

habe im Log sehen du hast es mal mit 4443 versucht war das vertippt oder absicht? weil deine NAT Regel Leitet ja extern 443 zu inten 443 um.

Wenn dann müsstest du da extern 4443 und intern 443 machen und dann nochmal testen

ansonsten wüsste ich auch nicht weiter weil das muss so gehen.

[databjowi]

Danke trotzdem.

Habe auf beiden Systemen eine Änderung in einer NAT Regel gemacht.

Unter Diagnostics: Execute command
pfctl -vvsa | grep NAT

auf dem System 2.1.5 wird die Konfigurationsänderung korrekt angezeigt
auf dem System 2.2.2 wird kein Änderung angezeigt.

Hast Du einen Tipp.

[databjowi]

Vielleicht ist das hier das Problem, ich weiß aber auch nicht weiter wie ich das lösen könnte.
Wäre schön wenn jemand einen Tipp hat  :)

Habe die pfS 2.2.2 zurückgesetzt und erneut probiert.

1. Befehl ausgeführt: pfctl -vvsa
Im Defaultzustand sind FILTER RULES: @0 bis @73

2. Habe eine NAT Rule angelegt:
keine Änderung - also der Filter ist hier nicht vorhanden, obwohl die WebUI alles korrekt anzeigt.

3. Diagnostics: Execute command
pfctl -vvsa | grep 10.0.2.52

[databjowi]

Erledigt:
Folgendes war das Problem.

Ich hatte von der Version 2.1.5 die "ALIAS" übernommen, hier gab es auch ALIAS-URLs.

Der Befehl: "pfctl -f /tmp/rules.debug"
gab folgenden Fehler aus:
…
/tmp/rules.debug /tmp/rules.debug:32:
/var/db/aliastables/Suchen.txt"
...

Alle ALIAS-URLs entfernt und der Befehl: "pfctl -f /tmp/rules.debug" gab keinen Fehler aus = OK.

Nun REBOOT
Und nun werden alle Firewall-Rules sofort mit dem Befehl: "pfctl -vvsa" angezeigt. (ggfs verfeinern pfctl -vvsa | grep NAT)

Also wurden wahrscheinlich durch die "defekte'" ALIAS Table die Konfigurationen nicht korrekt übernommen.

Noch ein Hinweis: in Version 2.1.5 gab es keine Fehlermeldung.

[JeGr]

Hast du zwischenzeitlich die Aliase wieder angelegt? Ich habe in meiner Konfiguration auch URL basierende Aliase und hier gabs beim Update keine Probleme. Hattest du evtl. in deinen URLs zufällig irgendwelche Sonderzeichen abseits normaler Konventionen? Ansonsten kann das an dieser Stelle natürlich auch sehr ungeschickter Zufall gewesen sein, interessant wäre bspw. gewesen, was in der Zeile 32 der Alias Tabelle stand. Vielleicht gabs hier auch ein DNS Problem beim Auflösen der URLs und der Parser hat dann Unfug da reingeschrieben.

Grüße

[databjowi]

Die beiden Aliase hatte ich, wobei nach dem ich "Suchen" entfernt hatte, war der Fehler weg.
Ich habe aber beide entfernt und noch nicht neu angelegt.
Bin erstmal froh das es läuft.

<alias><name>Suchen</name>
<url>www.google.de</url>
<updatefreq>32</updatefreq>

<address>www.google.de</address>

<descr><type>urltable</type>
<detail></detail></descr></alias>
<alias><name>Updates</name>
<url>http://updates.pfsense.org</url>
<updatefreq>128</updatefreq>

<address>http://updates.pfsense.org</address>

<descr><type>urltable</type>
<detail></detail></descr></alias>