Port forwarding - non funziona
-
Buongiorno,
mi rendo conco di domandare una cosa banale, ma non ne esco. Vi domando aiuto. Ho un PFSense con 4 schede di rete, due WAN, nominate Wan1 e Wan2 (load balancer con failover) Una LAN su cui ho appoggiato una rete in classe C 192.168.168.X ed un OPT2 sulla quale ho attivato un captive portal.Controllo da remoto il PFSense senza problemi, dopo aver creato le opportune regole, da entrambi gli IP pubblici su cui cadono le WAN.
Il gestore è Fastweb, premetto, tutti i pubblici sono nattati 1:1 sui privati e tutte le porte sono quindi aperte.
Nonostante abbia provato un fiume di configurazioni non riesco a raggiungere un copiatore posto sulla LAN (192.168.168.230).
Ecco la regola in forwarding...
Help, please!
alessandro -
Ciao,
Source address e source port devono essere impostati come any. Stanno ad indicare ip e porta da cui si connette il client.
Ciao Fabio -
Intanto grazie mille, epr la gentilezza. Ho fatto quanto mi hai detto, che tra le mille prove avevo già testato, ma non arrivo sulla stampante. Se fai caso, in basso, ho messo il forwarding in "Pass", non abbinandolo a nessuna regola. D'altra parte, come dicevo, il pubblico di fastweb (ne ho dieci) è nattato 1:1 sui privati, lato LAN del router. Davvero non comprendo...
Per essere chiaro io desidero che dal pubblico un 93.nn.nnn..nn:porta (come porta ho messo arbitrariamente la 1492) io riesca ad arrivare sul 192.168.168.230:443, ovvero la web interface di questo copiatore. Colui che naviga, quindi, deve specificare la porta nel browser, perché se nn lo fa arriva sulla 443 della web interface del firewall.
Ecco la modifica che mi suggerivi:
-
@alexthunder75 said in Port forwarding - non funziona:
192.168.168.230
controlla anche che il gateway sia impostato correttamente sul copiatore
la regola così è giusta, con wireshark/packet capture puoi capirne di più eventualmente -
@alexthunder75, se crei un nat non ti serve usare anche Nat 1:1, ne devi usare uno alla volta e comunque devi avere una rules dedicata. Stessa cosa vale se fai Nat 1:1 devi comunque avere una rules dedicata.
Tornando al tuo caso associare un IP pubblico ad una stampante mi sembra uno spreco e pure assurdo. Il lascerei tutti gli ip pubblico "sul firewall" come virtuali io, poi crei una regola di Nat specifica con relativa rules. Ricorda che se usi un IP pubblico diverso da quello assegnato alla Wan del firewall, devi creare anche il Nat outbound dedicato altrimenti tu fai la richiesta su un ip e la stampante risponde ma esce da un altro ip invalidando la sessione.
Non dimenticare di controllare che sulla stampante sia impostato correttamente il default gateway corretto altrimenti non riuscirai mai a contattare la stampante dall'esterno della rete locale.
Ciao -
Ciao Fabio,
ancora grazie. Il gateway è impostato correttamente, tanto che esco tranquillamente in scan to mail. Nello spacifico è 192.168.168.1.In realtà di pubblici ne ho inutilizzati, pertanto non sarebbe quello il problema. Io però desidero utilizzare lo stesso IP nattato sul privato (192.168.0.10) della mia interfaccia WAN1 del firewall.
Il pubblico, come dicevo, è nattato 1:1 con ogni porta aperta, pertanto pubblico:porta dovrebbe mi porta se porta 443 direttamente su 192.168.168.1, ovvero LAN interface e posso gestire la macchina da remoto. Io, come dicevo, vorrei che dallo stesso pubblico, esplicitando una porta differente, essere rediretto su un IP della LAN, l'192.168.168.230 sulla porta 443.
Dimmi se sto sbagliando nella logica, per favore...
Alessandro -
@kiokoman Ti ringrazio. Il gateway pare corretto...
Grazie!
Alessandro -
le regole di port forward hanno la precedenza sul nat 1:1 percui qualsiasi cosa tu abbia configurato dopo, che non mi è molto chiaro, non dovrebbe influire. se non funziona verifica le regole del firewall sulla interfaccia WAN e sulla interfaccia della copiatrice, controlla il log del firewall o ripeto usa packet capture per vedere dove si fermano i pacchetti
-
@kiokoman Ti giro il printscreen della regola che apre ogni porta verso l'interfaccia da me nominata WAN1, connessa ad una porta LAN del Cisco. In teoria ogni IP navigante, su ogni porta, dovrebbe riuscire ad arrivare in modo secco su WAN1. Quando navigo il pubblico in modo automatico vengo rediretto sulla porta 443 ed amministro il firewall da remoto. Ancora non riesco però, specificando una porta differente, a essere rediretto su quel 192.168.168.230 che non raggiungo. Considera che prima di mettere su il balancer il copiatore lo raggiungevo senza problemi, usando la logica del medesimo pubblico su porta differente; da quando ho messo su la nuova situazione non riesco più e davvero non comprendo.
