Wie konfiguriere ich hinter einem PPPOE ein IPv4er Netz richtig?
-
@viragomann Gerne hier die Screenshots zum besseren Verständnis, da ich inzwischen auch etwas aufgeräumt habe:
Virtuelle IPs (die 2 verfügbaren aus dem 4er IPv4 Netz):
Die Firewall-regeln des WAN:
Die Firewall-Regeln der Nextcloud Instanz:
Das Gateway mit der xxx.xxx.xxx.150 (andere statische IPO - nicht im selben 4er Netz):
Das Interface mit dem VLAN für OPT1:
Und hier noch das 1:1 NAT:
Wen ich ein DNS Lookup mache, dann kann die Domain nicht erreicht werden. Wenn ich die IP anpinge wird der Host nicht erreicht.
Der Reverse Lookup zeigt aber das die Domain korrekt auf die IP aus dem 4er Netz geroutet ist. Und in den System Logs wird angezeigt, dass der Versuch die IP auf dem HTTPS Port zu erreichen geblockt wird:
-
@filontheroad
Kann hier kein Problem erkennen.Wen ich ein DNS Lookup mache, dann kann die Domain nicht erreicht werden.
Nicht auflösen, meinst du? NS Lookup versucht nichts zu erreichen.
Wenn ich die IP anpinge wird der Host nicht erreicht.
Von außen? Das musst du erst erlauben auf der pfSense. Ich gehe davon aus, das es auf dem internen Server erlaubt ist, denn dahin wird es bei NAT 1:1 weitergeleitet.
Und in den System Logs wird angezeigt, dass der Versuch die IP auf dem HTTPS Port zu erreichen geblockt wird:
Ich verstehe hier nicht, warum deine eigene WAN IP die Quelle der Zugriffs ist. Wie provozierst du das? Doch irgendwie weitergeleitet. Aber wie?
Dennoch dürfte das nicht blockiert werden. Kannst du mal die Regel ausfindig machen, die das blockiert?
Dazu kannst du in Diagnostics > Command Prompt diesen Befehl absetzen:cat /tmp/rules.debug | grep <Tracking ID>Tracking ID ... die im Log angezeigt wird.
-
@viragomann said in Wie konfiguriere ich hinter einem PPPOE ein IPv4er Netz richtig?:
cat /tmp/rules.debug | grep
Also ich provoziere das gar nicht - glaube ich. Alle IPs laufen auf dem WAN an. Also sowohl die statische mit der 150 am Ende, als auch die anderen IPs aus dem 4er Netz.
Das Auslesen des Logs hat folgendes ergeben:
Und ja ich meinte auflösen, sorry für die falsche Wortwahl. Bin schon langsam selbst durcheinander, weil für mich auch alles okay aussieht.
Aber irgendwo hängt es noch, denn wenn ich mich in das VLAN hänge dann kriege ich keine IP aus dem DHCP Server Kreis sondern nur eine selbst zugewiesene 169.xxx usw. - Und ja für das Interface/VLAN ist ein DHCP Server aktiviert ;-) - bevor Du fragst.
-
@filontheroad said in Wie konfiguriere ich hinter einem PPPOE ein IPv4er Netz richtig?:
Also ich provoziere das gar nicht - glaube ich.
Die Frage wäre eben, wie du hier genau auf deine IP zugreifst. Machst du das von einem Geräte, das keine interne Verbindung zu deinem Netzwerk hat? Bspw. Handy via LTE, WLAN deaktiviert.
Dass die Antispoof-Regel hier aktiv wird, ist nachvollziehbar.
Du kannst den Hostnamen nicht auflösen, nicht von intern und nicht von extern? Dann solltest du dieses Problem mal lösen.
Wenn du das im DNS (ich nehme an, ein externer DNS-Provider) korrekt gesetzt hast, sollte es ja funktionieren.
Mittlerweile sollte es schon soweit durchrepliziert sein.Bei der DHCP-Sache könnte es sein, dass deine Firewall-Regeln das blockieren.
Grundsätzlich ist es so, dass die pfSense das Protokoll automatisch zulässt, wenn der DHCP-Server am Interface aktiviert ist. Es ist also keine Pass-Regel erforderlich, um es zu erlauben. Ob man das aber dennoch mit einer Block-Regel blockieren kann, weiß ich aber jetzt nicht. -
@viragomann Also wie eingangs beschrieben ist doe pfsense direkt am ONT angeschlossen. Da ist kein Modem oder anderer Router dazwischen (auch kein Handy etc.).
Der ONT liefert das FTTH via PPPOE über LAN direkt vom ONT. Deshalb ist das WAN in der pfsense auch direkt mit den PPPOE Zugangsdaten konfiguriert. Die IP mit dem xxx.xxx.xxx.150 am Ende hat er sich selbst automatisch gezogen. Das ist auch die statische IP, die dem FTTH Anschluß zugewiesen ist vom ISP (ist ein Businessanschluss). Zusätzlich gibt es das IPv4 4er Netz, das ebenfalls am gleichen Anschluß ankommt.
Hoffe ich habe Deine EIngangsfrage damit beantwortet. ich mache mich mal nun mmal weiter ans debuggen.
-
Mir erschließt sich nicht ganz wieso du einen PPPoE WAN und darauf auch noch einen 4er Block hast. Aber gut, kann ja sein.
Zum generellen Verständnis mit deinen IP. Du schreibst der ISP stellt dir einen einen .x14/30 Block zur Verfügung. Die Adressberechnung mit dieser Angabe kann irgendwie nicht stimmen. Egal ob der Block mit .14 oder .114 oder .214 endet so sind die letzten beiden Bit immer ungleich 0. So startet kein 30er Block. In so einem IP Block gibt es auch keine .xx5 oder .xx6 wie du in deinem Screenshot zeigst. Hast du vielleicht einen 4er Block mit .x12/30 bekommen und die erste und einzige nutzbare IP ist die .x14? Dabei wäre dann die .x12 die erste IP des Blocks und nicht nutzbar, die .x13 evtl. der Gateway, die .x14 die eine nutzbare öffentliche IP und die .x15 ist auch wieder nicht nutzbar in dem Block. Die .xx6 kommt da gar nicht mehr drin vor.
Diesen Gedankengang weiter folgend hättest du in Summe (nur) 2 feste nutzbare IP: die per PPPoE gezogene und die .x13 aus dem 4er Block. In den Screenshots sieht man nur noch die letzte Zahl. Der eine Pixel der ausradierten Zahl davor sieht mir auch nicht aus wie eine 1. Was also steht da wirklich? Hast du dich evtl. 2x vertippt in deiner Beschreibung im ersten Post? IP Blöcke die mit der Netzmaske 30 funktionieren und auf 4 enden sind: .4, .24, .44, .64 usw. .In so einem Block gäbe es eine .xx5 und eine .xx6 wobei vmtl. nur die .xx6 nutzbar wäre. Eine IP des Blocks müsste ja Gateway sein und die .xx4 und die .xx7 sind es schon mal nicht. Aber das sollte aus den Unterlagen des ISP doch hervorgehen.
Das mit der virtuellen IP an einem PPPoE Anschluss kann ich hier nicht testen, müsste ich nachbauen, mir grad eben zu aufwändig. Man kann das zwar so zuweisen aber ob das wirklich funktioniert ist fraglich, beim Start ist das WAN Interface noch nicht funktional wenn die virtuelle IP zugewiesen wird. Ich würde einmal probieren das LAN Interface an dem die PPPoE Einwahl erfolgt mit einer statischen IP zu versehen, damit zu WAN2 zu machen, den Gateway mit der .x13 an WAN2 festzulegen und dann versuchen darüber mal rauszukommen. Dann auch kein 1:1 NAT sondern Port Forward von der einen ext. IP des 4er Blocks an die IP der Nextcloud (ich nutze wenn möglich stattdessen immer haproxy).
Nslookup sollte von extern auf jeden Fall funktionieren. Wie viragoman schon schreibt: da stimmt wohl etwas an den DNS Einstellungen des Nameservers der für die Domain zuständig ist nicht. Intern kann sich gern ein DNS Server darum kümmern, Stichwort Split DNS.
Thema Screenshot des Firewall Log. Ich bin der Meinung (weiss es im Moment nicht besser) dass wenn du versuchst aus dem normalen LAN Netzwerk mit deinen bis jetzt getroffenen und beschriebenen Einstellungen auf die IP der nextcloud zuzugreifen dann gehen die Päckchen aus LAN erstmal an die pfSense, dann an Standardgateway (du hast da grad wohl nur einen, den PPPoE) und von da an die IP die du dort als virtuelle IP definiert hast. Die werden geblockt. Genau das zeigt das Log. Aber das ist nur eine Folgeerscheinung, s.o. WAN 2. Falls das irgendwann mal über die IP klappt dann Split DNS nicht vergessen einzurichten dass es auch über den FQDN funktioniert und die nextcloud dich auch rein lässt oder eben mehr definieren wie viragoman schon schreibt. Nextcloud Anfragen per IP sind suboptimal.
-
@filontheroad said in Wie konfiguriere ich hinter einem PPPOE ein IPv4er Netz richtig?:
Also wie eingangs beschrieben ist doe pfsense direkt am ONT angeschlossen. Da ist kein Modem oder anderer Router dazwischen (auch kein Handy etc.).
Ja, leider ist die Beschreibung nicht so ganz klar, wie schon mal angemerkt.
Der ONT liefert das FTTH via PPPOE über LAN direkt vom ONT. Deshalb ist das WAN in der pfsense auch direkt mit den PPPOE Zugangsdaten konfiguriert. Die IP mit dem xxx.xxx.xxx.150 am Ende hat er sich selbst automatisch gezogen. Das ist auch die statische IP, die dem FTTH Anschluß zugewiesen ist vom ISP (ist ein Businessanschluss).
Ich fasse das mal mit meinen Worten zusammen, um es zu verstehen. Berichtige es ggf.:
Das WAN Interface der pfSense ist als PPPoE konfiguriert.
Dieses bekommt die IP xxx.xxx.xxx.150 automatisch vom ISP zugewiesen. Diese IP ist immer gleich, daher statisch.Wenn das soweit stimmt, sollte es für das Weitere keinen Einfluss haben.
Zusätzlich gibt es das IPv4 4er Netz, das ebenfalls am gleichen
Anschluß ankommt.Dem, was @bon-go über das /30 Netz schreibt, muss ich beipflichten, ich hatte es allerdings genauso wie hier formuliert verstanden, dass du einfach zusätzlich zu der PPPoE (statischen) IP vier weitere erhalten hast.
Ein /30 Netz nach CIDR RFC ist das nicht, sondern einfach 4 IPs (4 x /32). Das kann der ISP ja machen.Nachdem du eine PPP-Verbindung hast, auf welcher du ein Standardgateway eingerichtet hast (sollte ebenfalls automatisch geschehen), sollte auch kein weiteres Gateway nötig sein. Heißt, es ist schon möglich, dass alle 4 nutzbar sind.
Was aber aus deinem ersten Post nicht klar hervorgeht und aufgrund der Screenshots vermutlich auch nicht richtig gelöst ist, ist die Konfiguration dieser zusätzlichen 4 IPs.
Es sollte so aussehen.
Auf der Netzwerkschnittstelle, auf welcher das PPPoE WAN konfiguriert ist, musst du zuerst ein weiteres Interface hinzufügen (Interfaces > Interface Assignments). Nenne es bspw. WAN2 und konfiguriere die erste IP aus dem Set statisch mit /32er Maske.
Alle weiteren IPs kannst du dann als IP Aliases auf diesem WAN2 aufsetzen, ebenfalls mit /32er Maske. Also nicht auf das WAN_PPPoE!Dein Screenshot zeigt hier das WAN Interface, was vermutlich PPPoE ist. Interface Settings oder Status, wo das erkennbar wäre, hast du ja nicht gepostet.
-
@bon-go Danke für Deine richtige und ausführliche Erklärung zu den IPs. Natürlich handelt es sich um ein xxx.xxx.xxx.x44/30 Netz mit den IPs:
xxx.xxx.xxx.x44
xxx.xxx.xxx.x45 => Nutzbar
xxx.xxx.xxx.x46 => Nutzbar
xxx.xxx.xxx.x47Ich habe ide IPs einfach vereinfacht, da dies nicht wirklich eine Rolle für die Lösung des Problems spielt. Aber der Richtigkeit halbar macht es schon Sinn diese korrekt zu benamen.
Mein ISP stellt FTTH /Fiber to the home) zur Verfügung und im Rahmen eines Businessanschlusses bekomme ich am PPPOE nicht nur eine statische IP, sondern konnte zusätzlich noch ein IP 4er Netz dazu buchen.
Die IPs liegen alle am PPPOE an, wie ich aus den Logs der Firewall sehen kann, die mir die geblockten Anfragen auf den Ports des 4er Netzes genauso zeigt, wie die geblockten Ports der statische IP.
Scheine das Problem gefunden zu haben. Das VLAN, das ich an dem Interace zugewiesen habe, hat trotz eingerichtetem DHCP Server keine internen IPs zugewiesen.
Lösung: Ich habe das VLAn entfernt, da es in nicht im LAN anliegt und komplett den Bereich für die Nextcloud mit eigenem "Ausgang" an der Netzwerkarte konfiguriert (OPT2), dort einen Switch zum testen dahinter und den Nextcloudserver an den Switch. Und sieh da: Es geht.
Werde Deine empfhole Lösung mit WAN2 auch noch einmal separat testen und hatte noch eine Lösung im Netz gefunden die Public IPs direkt dem Interface zuzuweisen, die ich auch noch testen möchte.
Danke auf jeden Fall für Deine ausführlichen Erläuterungen.
-
@viragomann Ja, Du hast Recht ich habe mich unklar ausgedrückt, siehe Antwort an bon-go.
Und wie gesagt ich habe wirklich ein /30 IPv4 Netz - steht auch so in den Vertragsunterlagen und der Bestätigung des ISP. Zwei davon kann ich nutzen.
Und der Grund warum ich die IPs zum Teil ausgeblendet habe liegt einfach daran, dass ich einfach ein wenig Sicherheit walten lassen möchte bis ich alles so am Laufen habe, dass es sicher ist. Also nichts für ungut.
Danke für Deine Hilfestellungen, die mich auch noch mal dazu gebracht ahben die Dinge aus einem anderen Blickwinkel zu sehen.
Habe es zum Laufen gebracht und der Fehler lag im VLAN. Dem werde ich noch ein wenig auf die Spur gehen, weil es mich interessiert, warum dem so war.
-
@filontheroad
Also meine Clients in VLAN mit eingerichtetem aktiviertem DHCP Server bekommen eine IP, aber dazu evtl. später nochmal ;)Zu deinem /30 Netz: i.d.R. ist da nur eine IP nutzbar. Die Erklärung von mir ist nicht so unnütz wie sie dir scheint und ist sehr wohl wichtig für die Lösung deines Problemes. Hatte ich schon weiter oben so geschrieben. Mach mal testweise das was ich auch schon geschrieben habe: nimm das LAN Interface über dass das PPPoE Interface läuft, mach daraus ein WAN2 Interface mit der statischen IP .x46, richte für dieses Interface den WAN2 Gateway mit der IP .x45 ein, nimm einen ext. DNS Server als Resolver für diesen Gateway und teste ob du über WAN2 als default Gateway raus und rein kommst. Das ist das übliche Szenario bei einem /30er Netz. Muss bei dir nicht sein aber sieht erstmal so aus wenn dein ISP dir für dieses Netz keinen Gateway angegeben hat. Das war schon einer meiner vorigen Fragen.
Quizfrage: angenommen du richtest an diesem WAN2 keinen Gateway (mit der IP .x45) ein - wie gehen die IP Päckchen darüber raus in's Internet und noch spannender: wie wieder rein? Wenn du das beantworten kannst und das Sinn ergibt dann denk mal über die andere Richtung nach. Speziell auch in der Hinsicht des dann fehlenden Gateway aus dem Subsegment des /30 Netzes.
-
@bon-go said in Wie konfiguriere ich hinter einem PPPOE ein IPv4er Netz richtig?:
Quizfrage: angenommen du richtest an diesem WAN2 keinen Gateway (mit der IP .x45) ein - wie gehen die IP Päckchen darüber raus in's Internet und noch spannender: wie wieder rein?
Sie werden zum Standardgateway geschickt, wohin sonst?
Jedes Paket, dessen Zieladresse nicht einem zugewiesenen Subnetz angehört und kein spezifiziertes Gateway hat, wird zum Standardgateway geroutet. Ankommende Pakete werden auf die PPPoE-Adress geroutet.
So funktionieren Netzwerke schon seit vielen Jahren.Ich hatte jahrelang auf einer pfSense 3 öffentliche Subnetze betrieben, die alle auch tatsächlich ein eigenes Gateway hatten, also Anzahl der IPs im Subnetz minus 3 nutzbar. Doch nur eines dieser Gateways war auf der pfSense eingerichtet und als Standard gesetzt. Alle nutzbaren IPs wurden verwendet. Da gab es keine Probleme.
-
Meine anderen Vlan Clients kriegen aus allen anderen VLAN Netzten auch eine IP durch ihren DHCP Server ;-) nur bei diesem war es nicht der Fall und da bin ich noch am recherchieren wieso.
Laut Subnett Plannig sind zwei IPs nutzbar und nicht nur eine bei einem 30er Netz (wie kommst DU darauf das bei einem /30 nur eien Nutzbar sein soll? Das geht aus keine IPv4 Doku hervor, die bisher zum Thema gelesen habe - alle sprechen von 2), was mir auch eben vom Kundendienst des ISP so bestätigt wurde.
Wie Du aus dem folgenden Screenshot sehen kannst, sollten all Deine Fragen zu den IPs beantwortet sein bzw. werden:
Und bezüglich Deiner "Quizffrage", wurde diese dankenswerterweise bereits von @viragomann beantwortet.
-
@bon-go said in Wie konfiguriere ich hinter einem PPPOE ein IPv4er Netz richtig?:
Quizfrage: angenommen du richtest an diesem WAN2 keinen Gateway (mit der IP .x45) ein - wie gehen die IP Päckchen darüber raus in's Internet und noch spannender: wie wieder rein?
Sie werden zum Standardgateway geschickt, wohin sonst?
Jedes Paket, dessen Zieladresse nicht einem zugewiesenen Subnetz angehört und kein spezifiziertes Gateway hat, wird zum Standardgateway geroutet. Ankommende Pakete werden auf die PPPoE-Adress geroutet.
So funktionieren Netzwerke schon seit vielen Jahren.Richtig, Anfängerkurs, ich weiss das. Die Fragen waren ja auch für @filontheroad ;)
Ich hatte jahrelang auf einer pfSense 3 öffentliche Subnetze betrieben, die alle auch tatsächlich ein eigenes Gateway hatten, also Anzahl der IPs im Subnetz minus 3 nutzbar.
Genau das schreibe ich doch die ganze Zeit, s.o.. Damit wäre bei seinem /30er Netz nur eine IP nutzbar. Wenn nun sein ISP direkt nur die IP des /30 Netzes vergibt ohne Standardgateway für dieses Netz (so wie er es grad eben noch geschrieben hat) dann geht halt darüber nie etwas raus ausser Antworten auf eingehende Pakete von irgendwoher. Ja, auch das ist möglich.
Zurück zu @filontheroad: funktioniert es denn nun jetzt? Wenn du wirklich für dieses /30 Netz keinen Gateway mitbekommen hast dann halt - wie ich schon geschrieben hatte - die erste nutzbare IP (in deinem Fall die .x45) auf dem WAN2 Interface als einzelne statische IP konfigurieren aber dann halt ohne Angabe eines Gateway. Die zweite nutzbare IP des Segmentes (in deinem Fall die .x46) dann als einzelne VIP an diesem WAN2 einrichten. Port forward (keine 1:1 NAT) von dieser IP zu deiner nextcloud und diese sollte damit von aussen erreichbar sein - eine richtige und funktionierende ext. FQDN Auflösung vorausgesetzt.
Was ich gerade noch sehe:
@filontheroad said in Wie konfiguriere ich hinter einem PPPOE ein IPv4er Netz richtig?:Im NAT habe ich Outbound mit Hybrid NAT die interne IP des Webservers aus dem VLAN mit der Translation der xxx.xxx.xxx.x15 zugewiesen.
Ich nehme an du meinst die .x45. Wozu soll das gut sein? Bei Hybrid NAT sind die Regeln für NAT der int. Netzwerke - auch deines nextcloud Netzwerkes über ein VLAN) - automatisch da. Mach sonst mal ein Bild davon.
Thema VLAN zu der nextcloud: der vmtl. dazwischen liegende Switch hat an dem entspr. Port vo die pfSense und an dem wo der proxmox dran hängt diese VLAN auch eingetragen? Für VLAN Nutzung in einer proxmox VM gibt es drei Möglichkeiten: a) im Proxmox das neues VLAN Interface anlegen, dieses einer neuen Bridge zuweisen und der VM diese Bridge oder b) der bestehenden Bridge des Proxmox das Attribut 'VLAN aware' verpassen und der NIC der nextcloud VM diese Bridge mit dem VLAN Tag zuweisen oder c) der bestehenden Bridge des Proxmox das Attribut 'VLAN aware' verpassen und in der nextcloud VM das Interface der NIC der mit dem VLAN Tag ausstatten. Ich bevorzuge meist a. Sind dann zwar immer mehr und mehr Interfaces im proxmox aber man kann die besser auseinanderhalten und beschriften. Gerade für andere besser ersichtlich was wo passiert.
-
@bon-go said in Wie konfiguriere ich hinter einem PPPOE ein IPv4er Netz richtig?:
Genau das schreibe ich doch die ganze Zeit, s.o.. Damit wäre bei seinem /30er Netz nur eine IP nutzbar. Wenn nun sein ISP direkt nur die IP des /30 Netzes vergibt ohne Standardgateway für dieses Netz (so wie er es grad eben noch geschrieben hat) dann geht halt darüber nie etwas raus ausser Antworten auf eingehende Pakete von irgendwoher. Ja, auch das ist möglich.
Wenn der ISP aber wie schon mehrfach von ihm geschrieben ein /30 delegiert hat - also routet - dann ist da nix Gateway drin, sondern das komplette /30 mit zwei Adressen weitergeroutet auf die Adresse, die die Sende bei PPPoE Einwahl eh bekommt. Standard Routing und gut.
@filontheroad said in Wie konfiguriere ich hinter einem PPPOE ein IPv4er Netz richtig?:
Meine anderen Vlan Clients kriegen aus allen anderen VLAN Netzten auch eine IP durch ihren DHCP Server ;-) nur bei diesem war es nicht der Fall und da bin ich noch am recherchieren wieso.
Kannst du dazu bitte nochmal aufdröseln, ggf. mit Screenshots, was du wo wie warum konfiguriert hattest und was dann ging und was nicht?
Ansonsten verstehe ich beim Drüberlesen gerade nicht , wo du da wie ein VLAN im Spiel hast und welche Adressen da vergeben oder nicht vergeben werden :)
