Host Overrides klappt nicht

viragomann

Hallo,

da stellt sich erstmal die Frage: Verwenden die WLAN Geräte überhaupt die pfSense als DNS?

Auch wenn der DNS im DHCP angegeben ist, muss er nicht verwendet werden.
Vielleicht mal mit einem nslookup nachsehen, welche DNS auf dem Gerät abgefragt wird. Auch kann die ursprüngliche IP noch im Cache sein. Also auch Cache leeren versuchen und ggf. die Anwendung neu starten, denn die hat mglw. einen eigenen DNS-Cache.

Ansonsten könnte auch NAT reflection helfen, ist aber eher zweite Wahl und was für Faule wie mich. ;)

Davidaff

Ich hab gerade mal geschaut, weil ich mir unsicher war.
Die Endgeräte im WLAN nutzen den pfSense als GW (Dynamic) und DNS(OPT1 zugewiesene Adresse (10.10.10.1)).

Ich hab grad mal auf einem Endgerät den DNS geändert auf nen externen, dennoch timeout auf mail.firma.com :-\

viragomann

Was gibt nslookup oder dig zurück, wenn du mail.firma.com abfragst?

Davidaff

Vom über WLAN angebundenem Endgerät wird die WAN IP aufgelöst, was korrekt ist.
Ping klappt aber nicht.

viragomann

Wenn du keine Details preisgibst, kann es mühsam werden. :o

Jedenfalls auf ein Portforwarding der WAN IP kann ohne NAT Reflection von einem anderen Netz nicht zugegriffen werden.
Warum ist die WAN IP korrekt? Dafür brauchst du doch kein DNS Override, die bekommst du auf einem externen DNS auch aufgelöst.

Davidaff

Wenn du keine Details preisgibst, kann es mühsam werden.

welche Details brauchst du?

Jedenfalls auf ein Portforwarding der WAN IP kann ohne NAT Reflection von einem anderen Netz nicht zugegriffen werden.

Genau das ist mein Problem :-\

Warum ist die WAN IP korrekt? Dafür brauchst du doch kein DNS Override, die bekommst du auf einem externen DNS auch aufgelöst.

Vom Endgerät welches am WLAN hängt, also dem anderen Netz, wird via nslookup die korrekte öffentliche IP aufgelöst.

Eingehend vom WAN wird ein Portforwarding auf die LAN IP des Exchanges gemacht.

Wo genau muss nun das Nat Reflection eingestellt werden und von wo nach wo dann?

viragomann

Ich versteh nicht, was dein Override machen sollte, wenn die WAN IP für dich korrekt ist.

Also entweder du gibst im DNS Override die interne IP des Exchange an und sorgst dafür, dass der pfSense DNS abgefragt wird, oder NAT Reflection.

NAT Reflection wird direkt in der NAT Regel eingestellt. Vermutlich brauchst du für deinen Zweck "NAT reflection + proxy", aber das geht nur mit TCP u. UDP, sollte aber für Exchange reichen.
Global kann man es in System > Advanced > Firewall & NAT einstellen und in der Regel "System defaults" verwenden.
Damit wird auf die interne IP forwarded.

Davidaff

Hallo,

also ich hab jetzt verschiedenste Kombinationen getestet, ohne Erfolg.
Ich hänge mal 2 Screens rann, das sich mal ein Überblick der angelegten Rules verschafft werden kann.

Nochmal zum Ist-Stand:
zBsp iPhone hängt am WLAN(OPT1 GW=10.10.10.1) und hat uneingeschränkten Zugriff zum Internet.
auf dem iPhone ist der Mailserver mail.firma.com eingetragen, welcher ebenfalls am pfSense hängt an (LAN GW=192.168.100.50)
Aus anderen Netzen ist der Exchange wunderbar erreichbar, vom WLAN aus nicht.
Ein Ping vom iPhone welches im WLAN verbunden ist geht nicht durch, ein NSLookup löst jedoch die korrekte WAN IP der pfSense auf.

Ich denke, ich mache noch einen Fehler bei der Konfiguration der NAT Regeln, um vom WLAN aus den Exchange zu erreichen.

NAT2.png_thumb

NAT1.png_thumb

andreas_at_work

Moin,

ohne nat reflection kannst du von intern (also alles hinter der pfsense) nicht die externe wan ip verwenden.

du musst über das wlan die interne dmz IP Adresse hinter mail.firma.com auflösen:

Weg über das Internet:
mail.firma.com (WAN IP, z.B 20.20.20.20). Port wird umgeleitet auf auf Mailserver in der DMZ.

Weg von allen Netzen hinter der pfsense:
mail.firma.com (DMZ IP, z.B 192.168.100.2). Port wird NICHT umgeleitet, der Mail Server in der DMZ wird direkt angesprochen.

VG
Andreas

Davidaff

Weg von allen Netzen hinter der pfsense:
mail.firma.com (DMZ IP, z.B 192.168.100.2). Port wird NICHT umgeleitet, der Mail Server in der DMZ wird direkt angesprochen.

Das bedeutet dann, das ich ein 1:1 Nat Mapping machen muß oder?

viragomann

@Davidaff:

Aus anderen Netzen ist der Exchange wunderbar erreichbar, vom WLAN aus nicht.

Aus welchen? Bislang hast du nur LAN und WLAN aufgezählt. Zum ersten davon gehört der Exchange und der Traffic zwischen den LAN-Clients und dem Server passiert nicht die Firewall.
Gibt es noch weitere Netze?

@Davidaff:

Ein Ping vom iPhone welches im WLAN verbunden ist geht nicht durch, ein NSLookup löst jedoch die korrekte WAN IP der pfSense auf.

Logisch, Ping wird durch dein NAT Reflection nicht abgedeckt. Wie schon zuvor angemert wirkt das nur auf TCP u. UDP.
Das wäre mithilfe von DNS Overrides zu erreichen, aber bitte eines, das die interne IP zurück liefert. Die externe IP ist witzlos, auch schon oben erwähnt.

Davidaff

Aus anderen Netzen ist der Exchange wunderbar erreichbar, vom WLAN aus nicht.

damit war das öffentliche gemeint ::)
weitere Netze gibt es nicht. Nur (WAN GW=Standleitung Upstream, LAN 192.168.100.0 GW=50, WLAN=10.10.10.0 GW=10.10.10.1)

Das wäre mithilfe von DNS Overrides zu erreichen, aber bitte eines, das die interne IP zurück liefert. Die externe IP ist witzlos, auch schon oben erwähnt.

das habe ich bereits im DNS Resolver angelegt.
mail.firma.com zeigt auf 192.168.100.2

greift aber nicht.

viragomann

Wenn du im internen DNS die interne IP des Exchange Servers eingetragen hast und die pfSense von den WLAN-Geräten als DNS abgefragt wird (habe Zweifel), muss die auch die interne Server IP bei der Auflösung zurückkommen.
Um hier sicher gehen zu können, wollte ich zuvor die gesamte Rückgabe des nslookups sehen. Das habe ich mit fehlende Details gemeint. Du machst es einem nicht einfach, dir zu helfen. :-\